Quando la trasparenza è un obbligo (ovvero, come applicare l’AI Act)

Chi oggi lavora in una pubblica amministrazione si trova frequentemente in mezzo a due forze opposte: da un lato, un’irresistibile attrazione per l’intelligenza artificiale (che si traduce in chatbot, algoritmi predittivi, generatori automatici di bozze); dall’altro, la necessità di applicare correttamente l’AI Act, nei tempi e nei modi previsti, senza che questo spenga l’entusiasmo per la novità.

Un “gioco” di equilibri, di comparazioni, come capita spesso con le norme: raccontare che il Regolamento nasce per “perimetrare un rischio” o per “rafforzare la fiducia” non è sufficiente ad allontanare il timore delle scadenze previste, delle sanzioni e dell’assenza di conformità. Equilibri che rischiano di mettere a dura prova proprio quel necessario patto di fiducia tra cittadinanza e Stato.

La trasparenza nell’articolo 50 dell’AI Act

Quando tocchiamo il tema della trasparenza, che è un po’ il cuore di tutta la quotidiana operatività di chi lavora nella PA, andiamo a incidere su un aspetto particolarmente sensibile e di primaria importanza. L’AI Act non fa eccezione: se la trasparenza è essenziale nell’adozione, nell’acquisto, nello sviluppo e nell’utilizzo di questa specifica tecnologia, altrettanto essenziale diventa capire come possiamo trasformare un obbligo normativo in un piano d’azione concreto.

PA provider o PA deployer? Partiamo da qui

Per capire quali regole applicare, la prima domanda da porsi riguarda proprio il ruolo della PA rispetto all’IA. L’Articolo 50 distribuisce gli oneri di trasparenza tra provider e deployer, distinguendo nettamente tra chi l’IA la “sviluppa” e chi la “utilizza”.

Quando la PA è deployer (utilizzatore)

Nella maggioranza dei casi, le PA agiscono come deployer, ossia come “una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un’attività personale non professionale”.

Agiamo come deployer quando acquistiamo, prendiamo in licenza o usiamo sotto la nostra autorità un sistema di IA sviluppato da terzi per svolgere le nostre funzioni istituzionali o erogare servizi al territorio.

Se la PA è deployer, gli obblighi di trasparenza previsti dall’articolo 50 scattano in situazioni ben precise:

•  a) riconoscimento delle emozioni e categorizzazione biometrica (art. 50, par. 3): se la PA impiega tali sistemi, nei limiti previsti dalla legge, ha l’obbligo di informare preventivamente le persone fisiche esposte;
•  b) generazione di deepfake (art. 50, par. 4): se la PA, per campagne di comunicazione, simulazioni o formazione, genera o manipola contenuti audio, video o immagini in modo da farli sembrare autentici, deve dichiarare esplicitamente che si tratta di contenuto artificiale;
• c) testi di interesse pubblico (art. 50, par. 4): se la PA pubblica testi generati o assistiti da IA dedicati a informare il pubblico su materie di interesse generale – e in questa categoria rientra molta della produzione quotidiana di guide all’utilizzo dei sistemi, comunicati, vademecum, ecc. – è tenuta a dichiarare l’uso dell’IA.

Quando la PA è provider (fornitore)

Se la PA sviluppa internamente un sistema di IA, personalizza o evolve un sistema a riuso, oppure lo fa realizzare ex novo su proprie specifiche per metterlo in servizio, assume il ruolo di provider. Qui la trasparenza diventa “by design”, si sposta a monte della filiera e gli obblighi dell’art. 50 diventano requisiti di progettazione:

• d) interazione diretta con cittadine e cittadini (art. 50, par. 1): se la PA sviluppa un chatbot o un assistente virtuale, deve dichiarare all’utenza che sta interagendo con una macchina (fa eccezione il caso in cui sia ovvio dal contesto);
• e) marcatura dei contenuti sintetici (art. 50, par. 2): se la PA sviluppa sistemi che generano immagini, audio, video o testi, deve integrare soluzioni tecniche (watermarking, metadati machine-readable, ecc.) per tracciare l’origine artificiale dell’output.
  
  N.B. La disciplina prevede un periodo di tolleranza fino al dicembre 2026 per l’obbligo di marcatura per i sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026.

Cosa fare, come fare, quando fare: una roadmap di adeguamento in 5 tappe

Tradurre gli obblighi previsti dall’articolo 50 – il cui mancato rispetto può comportare sanzioni pecuniarie significative – in una (buona) pratica organizzativa richiede un iter chiaro, che può essere strutturato nelle seguenti cinque fasi:

Fase 1: censimento e mappatura di sistemi e strumenti di IA

Difficile rendere trasparente ciò che non si conosce o non si sa di avere. Il primo passo necessario è mappare tutti gli strumenti di IA in uso nell’amministrazione. La PA dovrebbe creare un registro interno dei sistemi di IA in cui inserire finalità, ambito, fornitore, tipologia di dati trattati, livello di rischio e utenti destinatari.

(N.B. Il registro può essere considerato uno strumento preliminare all’uso di modelli più strutturati, e più complessi, come la valutazione d’impatto sull’adozione dell’IA).

Fase 2: identificazione del ruolo (provider/deployer)

Per ogni voce censita nel registro, occorre determinare se l’amministrazione ricopra il ruolo di provider o deployer, classificando l’uso specifico del sistema/strumento (interazione in tempo reale, generazione di contenuti, testi diffusi al pubblico, ecc.).

Fase 3: adeguamento dei contratti

Se l’amministrazione riveste il ruolo di deployer, la trasparenza dipende dalle caratteristiche tecniche dello strumento acquistato. La PA dovrebbe inserire nei capitolati di gara e nei contratti specifiche clausole che vincolino i fornitori al rispetto degli obblighi dell’articolo 50.

(N.B. Indicazioni utili derivano dalla “bozza di linee guida per il procurement di IA nella Pubblica Amministrazione”, poste in consultazione pubblica dal 12 marzo all’11 aprile scorso).

Fase 4: comunicazione e design

Costituisce la parte dell’adeguamento “visibile”, in quanto richiede di mostrare chiaramente all’utente o alla cittadinanza che il sistema con cui si sta interagendo, o il contenuto prodotto, è basato sull’IA. La PA dovrebbe aggiornare l’interfaccia grafica dei chatbot istituzionali, integrare i disclaimer nei testi divulgativi generati da IA e predisporre informative brevi e trasparenti prima dell’uso di eventuali strumenti biometrici o di rilevazione.

Fase 5: formazione, audit e monitoraggio

Senza formazione non c’è adempimento che tenga: chi utilizza strumenti di IA ha il diritto e il dovere di conoscerne i risvolti dal punto di vista informatico, giuridico ed etico. La PA dovrebbe adottare una policy interna sul corretto utilizzo dell’IA generativa da parte del personale dipendente – da monitorare e aggiornare periodicamente – e avviare attività formative mirate e diversificate per ruolo e profilo.

Suggerimenti operativi per le PA

Considerata la mole di attività a carico delle PA, ecco alcuni accorgimenti pratici che potrebbero essere utili a semplificare il lavoro di funzionarie e funzionari:

1. Adozione di un’informativa “a strati” (a layer) per i chatbot

Quasi mai è necessario un disclaimer corposo. È possibile suddividerlo in:

• un messaggio sintetico nella finestra di benvenuto;
• un link a una pagina dedicata dove spiegare, con il maggior livello di dettaglio possibile, l’algoritmo sottostante, il funzionamento delle risposte e le modalità di gestione dei dati personali.

(p.s. mi ricorda molto il modello delle licenze Creative Commons, ed è decisamente un bene)

2. Creazione di un’etichetta per i documenti

Se alcune strutture utilizzano l’IA per sintetizzare documenti complessi o creare bozze di articoli informativi, può essere utile inserire un footer standardizzato anche in presenza di verifica e approvazione redazionale/supervisione umana (la presenza di human oversight può, però, cambiare la natura del disclaimer), assolvendo così all’obbligo dell’art. 50, par. 4 per i testi di pubblico interesse.

3. Stesura di specifiche clausole per i capitolati

Nell’acquisto di soluzioni di IA, è opportuno inserire una specifica garanzia di integrazione nativa delle funzionalità di marcatura e tracciabilità dell’output conformi all’articolo 50, che assicuri la leggibilità meccanica dei contenuti generati e fornisca interfacce funzionali all’adempimento degli obblighi d’informazione verso l’utenza.

Le eccezioni alla trasparenza

L’AI Act prevede deroghe puntuali alla disciplina che abbiamo appena visto, eccezioni che è necessario conoscere per un’applicazione coerente dell’intero impianto:

1. interazione con persone fisiche e sistemi di riconoscimento delle emozioni/categorizzazione biometrica: gli obblighi non si applicano quando i sistemi sono autorizzati dalla legge per finalità di prevenzione, indagine, accertamento e perseguimento di reati (fatte salve le garanzie per i diritti fondamentali e per la protezione dei dati personali).
2. etichettatura dei testi o dei deepfake: le deroghe vanno valutate quando l’uso dell’IA ha carattere strettamente creativo, artistico o di supporto marginale alla stesura, a patto che non vi sia il rischio concreto di trarre in inganno le persone sulla natura sintetica dell’output.

Una riflessione finale

Ancora una volta, la trasparenza si conferma uno strumento fondamentale nelle mani delle pubbliche amministrazioni che consente, a tutela dei diritti fondamentali delle persone, di svelare le tante “scatole nere” di cui spesso sono fatti strumenti e sistemi. Questa trasparenza abilita la fiducia, e la legittimità dell’azione amministrativa poggia saldamente proprio su questa fiducia, costruita anche tramite interventi efficaci e chiari per rendere la PA innovativa, etica e consapevole.