L’INTELLIGENZA ARTIFICIALE nella PA. AVVERTIMENTI – GUIDA.

L’intelligenza artificiale sta sfuggendo, l’uso non REGOLAMENTATO sta producendo già i primi ILLECITI,

I miei approfondimenti, si limiteranno all’AI nelle PP.AA. E’ il mio lavoro da anni, da 25 anni mi occupo di digitalizzazione e procedimenti innovativi con l’uso delle tecnologie nella PA.

L’intelligenza artificiale è regolamentata dall’AI ACT, il regolamento EU 2024/1689, dal DATA ACT, dal GDPR, dall’EIDAS, dal CAD e per noi anche dalla L. 241/90, dal DPR 445/2000, da decine di norme ISO e qualche altra decina di norme, questo solo per essere breve.

Purtroppo ho visto in molti EE.LL. ed ISTITUZIONI SCOLASTICHE l’uso illecito dell’AI.

SOLO per questo motivo ho deciso di contribuire anche operativamente e non solo come supporto giuridico a livello centrale, ricordo infatti che da circa un anno faccio parte dell’AI PACT, un gruppo selezionato dall’UE per la gestione degli scenari della nuova scienza (la tecnologia è invece vecchia).

Partiamo con la parte prima dell’approfondimento.

Vi riporto subito gli articoli 5 e 6 del REG UE 2024/1689, saranno il nostro pane quotidiano.

Articolo 5

Pratiche di IA vietate

1.   Sono vietate le pratiche di IA seguenti:

a)

l’immissione sul mercato, la messa in servizio o l’uso di un sistema di IA che utilizza tecniche subliminali che agiscono senza che una persona ne sia consapevole o tecniche volutamente manipolative o ingannevoli aventi lo scopo o l’effetto di distorcere materialmente il comportamento di una persona o di un gruppo di persone, pregiudicando in modo considerevole la loro capacità di prendere una decisione informata, inducendole pertanto a prendere una decisione che non avrebbero altrimenti preso, in un modo che provochi o possa ragionevolmente provocare a tale persona, a un’altra persona o a un gruppo di persone un danno significativo;

b)

l’immissione sul mercato, la messa in servizio o l’uso di un sistema di IA che sfrutta le vulnerabilità di una persona fisica o di uno specifico gruppo di persone, dovute all’età, alla disabilità o a una specifica situazione sociale o economica, con l’obiettivo o l’effetto di distorcere materialmente il comportamento di tale persona o di una persona che appartiene a tale gruppo in un modo che provochi o possa ragionevolmente provocare a tale persona o a un’altra persona un danno significativo;

c)

l’immissione sul mercato, la messa in servizio o l’uso di sistemi di IAper la valutazione o la classificazione delle persone fisiche o di gruppi di persone per un determinato periodo di tempo sulla base del loro comportamento sociale o di caratteristiche personali o della personalità note, inferite o previste, in cui il punteggio sociale così ottenuto comporti il verificarsi di uno o di entrambi gli scenari seguenti:i)un trattamento pregiudizievole o sfavorevole di determinate persone fisiche o di gruppi di persone in contesti sociali che non sono collegati ai contesti in cui i dati sono stati originariamente generati o raccolti;ii)un trattamento pregiudizievole o sfavorevole di determinate persone fisiche o di gruppi di persone che sia ingiustificato o sproporzionato rispetto al loro comportamento sociale o alla sua gravità;

d)

l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di un sistema di IA per effettuare valutazioni del rischio relative a persone fisiche al fine di valutare o prevedere il rischio che una persona fisica commetta un reato, unicamente sulla base della profilazione di una persona fisica o della valutazione dei tratti e delle caratteristiche della personalità; tale divieto non si applica ai sistemi di IA utilizzati a sostegno della valutazione umana del coinvolgimento di una persona in un’attività criminosa, che si basa già su fatti oggettivi e verificabili direttamente connessi a un’attività criminosa;

e)	l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di IA che creano o ampliano le banche dati di riconoscimento facciale mediante scraping non mirato di immagini facciali da internet o da filmati di telecamere a circuito chiuso;

f)

l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di IA per inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro e degli istituti di istruzione, tranne laddove l’uso del sistema di IA sia destinato a essere messo in funzione o immesso sul mercato per motivi medici o di sicurezza;

g)

l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di categorizzazione biometrica che classificano individualmente le persone fisiche sulla base dei loro dati biometrici per trarre deduzioni o inferenze in merito a razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale; tale divieto non riguarda l’etichettatura o il filtraggio di set di dati biometrici acquisiti legalmente, come le immagini, sulla base di dati biometrici o della categorizzazione di dati biometrici nel settore delle attività di contrasto;

h)

l’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrastoa meno che, e nella misura in cui, tale uso sia strettamente necessario per uno degli obiettivi seguenti:i)la ricerca mirata di specifichevittime di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani, nonché la ricerca di persone scomparse;ii)la prevenzione di una minaccia specifica, sostanziale e imminente per la vita o l’incolumità fisica delle persone fisiche o di una minaccia reale e attuale o reale e prevedibile di un attacco terroristico;iii)lalocalizzazione o l’identificazione di una persona sospettata di aver commesso un reato, ai fini dello svolgimento di un’indagine penale, o dell’esercizio di un’azione penale o dell’esecuzione di una sanzione penale per i reati di cui all’allegato II, punibile nello Stato membro interessato con una pena o una misura di sicurezza privativa della libertà della durata massima di almeno quattro anni.

La lettera h) del primo comma lascia impregiudicato l’articolo 9 del regolamento (UE) 2016/679 per quanto riguarda il trattamento dei dati biometrici a fini diversi dall’attività di contrasto.

2.   L’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto per uno qualsiasi degli obiettivi di cui al paragrafo 1, primo comma, lettera h), è applicato ai fini di cui a tale lettera, solo per confermare l’identità della persona specificamente interessata e tiene conto degli elementi seguenti:

a)	la natura della situazione che dà luogo al possibile uso, in particolare la gravità, la probabilità e l’entità del danno che sarebbe causato in caso di mancato uso del sistema;

b)	le conseguenze dell’uso del sistema per i diritti e le libertà di tutte le persone interessate, in particolare la gravità, la probabilità e l’entità di tali conseguenze.

L’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto per uno qualsiasi degli obiettivi di cui al paragrafo 1, primo comma, lettera h), del presente articolo rispetta inoltre le tutele e le condizioni necessarie e proporzionate in relazione all’uso, conformemente al diritto nazionale che autorizza tale uso, in particolare per quanto riguarda le limitazioni temporali, geografiche e personali. L’uso del sistema di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico è autorizzato solo se l’autorità di contrasto ha completato una valutazione d’impatto sui diritti fondamentali come previsto all’articolo 27 e ha registrato il sistema nella banca dati UE conformemente all’articolo 49. Tuttavia, in situazioni di urgenza debitamente giustificate, è possibile iniziare a usare tali sistemi senza la registrazione nella banca dati dell’UE, a condizione che tale registrazione sia completata senza indebito ritardo.

3.   Ai fini del paragrafo 1, primo comma, lettera h), e del paragrafo 2, ogniuso di un sistema di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto è subordinato a un’autorizzazione preventiva rilasciata da un’autorità giudiziaria oda un’autorità amministrativa indipendente, la cui decisione è vincolante, dello Stato membro in cui deve avvenire l’uso, rilasciata su richiesta motivata e in conformità delle regole dettagliate del diritto nazionale di cui al paragrafo 5. Tuttavia, in una situazione di urgenza debitamente giustificata, è possibile iniziare a usare il sistema senza autorizzazione a condizione che tale autorizzazione sia richiesta senza indebito ritardo, al più tardi entro 24 ore. Se tale autorizzazione è respinta, l’uso è interrotto con effetto immediato e tutti i dati nonché i risultati e gli output di tale uso sono immediatamente eliminati e cancellati.

L’autorità giudiziaria competente o un’autorità amministrativa indipendente la cui decisione è vincolante rilascia l’autorizzazione solo se ha accertato, sulla base di prove oggettive o indicazioni chiare che le sono state presentate, che l’uso del sistema di identificazione biometrica remota «in tempo reale» in questione è necessario e proporzionato al conseguimento di uno degli obiettivi di cui al paragrafo 1, primo comma, lettera h), come indicato nella richiesta e, in particolare, rimane limitato a quanto strettamente necessario per quanto riguarda il periodo di tempo e l’ambito geografico e personale. Nel decidere in merito alla richiesta, tale autorità tiene conto degli elementi di cui al paragrafo 2. Nessuna decisione che produca effetti giuridici negativi su una persona può essere presa unicamente sulla base dell’output del sistema di identificazione biometrica remota «in tempo reale».

4.   Fatto salvo il paragrafo 3, ogni uso di un sistema di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto è notificato alla pertinente autorità di vigilanza del mercato e all’autorità nazionale per la protezione dei dati conformemente alle regole nazionali di cui al paragrafo 5. La notifica contiene almeno le informazioni di cui al paragrafo 6 e non include dati operativi sensibili.

5.   Uno Stato membro può decidere di prevedere la possibilità di autorizzare in tutto o in parte l’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto, entro i limiti e alle condizioni di cui al paragrafo 1, primo comma, lettera h), e ai paragrafi 2 e 3. Gli Stati membri interessati stabiliscono nel proprio diritto nazionale le necessarie regole dettagliate per la richiesta, il rilascio, l’esercizio delle autorizzazioni di cui al paragrafo 3, nonché per le attività di controllo e comunicazione ad esse relative. Tali regole specificano inoltre per quali degli obiettivi elencati al paragrafo 1, primo comma, lettera h), compresi i reati di cui alla lettera h), punto iii), le autorità competenti possono essere autorizzate ad utilizzare tali sistemi a fini di attività di contrasto. Gli Stati membri notificano tali regole alla Commissione al più tardi 30 giorni dopo la loro adozione. Gli Stati membri possono introdurre, in conformità del diritto dell’Unione, disposizioni più restrittive sull’uso dei sistemi di identificazione biometrica remota.

6.   Le autorità nazionali di vigilanza del mercato e le autorità nazionali per la protezione dei dati degli Stati membri cui è stato notificato l’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto a norma del paragrafo 4, presentano alla Commissione relazioni annuali su tale uso. A tal fine, la Commissione fornisce agli Stati membri e alle autorità nazionali di vigilanza del mercato e di protezione dei dati un modello comprendente informazioni sul numero di decisioni che le autorità giudiziarie competenti, o un’autorità amministrativa indipendente la cui decisione è vincolante, hanno adottato in risposta alle richieste di autorizzazione a norma del paragrafo 3 e il loro esito.

7.   La Commissione pubblica relazioni annuali sull’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto, fondate sui dati aggregati negli Stati membri sulla base delle relazioni annuali di cui al paragrafo 6. Tali relazioni annuali non includono dati operativi sensibili delle relative attività di contrasto.

8.   Il presente articolo lascia impregiudicati i divieti che si applicano qualora una pratica di IA violi altre disposizioni di diritto dell’Unione.

Articolo 6

Regole di classificazione per i sistemi di IA ad alto rischio

1.   A prescindere dal fatto che sia immesso sul mercato o messo in servizio indipendentemente dai prodotti di cui alle lettere a) e b), un sistema di IA è considerato ad alto rischio se sono soddisfatte entrambe le condizioni seguenti:

a)	il sistema di IA è destinato a essere utilizzato come componente di sicurezza di un prodotto, o il sistema di IA è esso stesso un prodotto, disciplinato dalla normativa di armonizzazione dell’Unione elencata nell’allegato I;

b)

il prodotto, il cui componente di sicurezza a norma della lettera a) è il sistema di IA, o il sistema di IA stesso in quanto prodotto, è soggetto a una valutazione della conformità da parte di terzi ai fini dell’immissione sul mercato o della messa in servizio di tale prodotto ai sensi della normativa di armonizzazione dell’Unione elencata nell’allegato I.

2.   Oltre ai sistemi di IA ad alto rischio di cui al paragrafo 1, sono considerati ad alto rischio anche i sistemi di IA di cui all’allegato III.

3.   In deroga al paragrafo 2, un sistema di IA di cui all’allegato III non è considerato ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare materialmente il risultato del processo decisionale.

Il primo comma si applica quando è soddisfatta almeno una qualsiasi delle condizioni seguenti:

a)	il sistema di IA è destinato a eseguire un compito procedurale limitato;

b)	il sistema di IA è destinato a migliorare il risultato di un’attività umana precedentemente completata;

c)	il sistema di IA è destinato a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana; o

d)	il sistema di IA è destinato a eseguire un compito preparatorio per una valutazione pertinente ai fini dei casi d’uso elencati nell’allegato III.

Fatto salvo il primo comma, un sistema di IA di cui all’allegato III è sempre considerato ad alto rischio qualora esso effettui profilazione di persone fisiche.

4.   Un fornitore che ritiene che un sistema di IA di cui all’allegato III non sia ad alto rischio ne documenta la valutazione prima che tale sistema sia immesso sul mercato oppure messo in servizio. Tale fornitore è soggetto all’obbligo di registrazione di cui all’articolo 49, paragrafo 2. Su richiesta delle autorità nazionali competenti, il fornitore mette a disposizione la documentazione relativa alla valutazione.

5.   Dopo aver consultato il consiglio europeo per l’intelligenza artificiale («consiglio per l’IA»), ed entro il 2 febbraio 2026, la Commissione fornisce orientamenti che specificano l’attuazione pratica del presente articolo in linea con l’articolo 96, insieme a un elenco esaustivo di esempi pratici di casi d’uso di sistemi di IA ad alto rischio e non ad alto rischio.

6.   Alla Commissione è conferito il potere di adottare atti delegati in conformità dell’articolo 97 al fine di modificare il paragrafo 3, secondo comma, del presente articolo aggiungendo nuove condizioni a quelle ivi stabilite, oppure modificandole, qualora vi siano prove concrete e affidabili dell’esistenza di sistemi di IA che rientrano nell’ambito di applicazione dell’allegato III ma non presentano un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche.

7.   La Commissione adotta atti delegati in conformità dell’articolo 97 al fine di modificare il paragrafo 3, secondo comma, del presente articolo sopprimendo qualsiasi condizione ivi stabilita, qualora vi siano prove concrete e affidabili che è necessario al fine di mantenere il livello di protezione della salute, della sicurezza e dei diritti fondamentali previsto dal presente regolamento.

8.   Eventuali modifiche alle condizioni di cui al paragrafo 3, secondo comma, adottate in conformità dei paragrafi 6 e 7 del presente articolo non riducono il livello globale di protezione della salute, della sicurezza e dei diritti fondamentali nell’Unione previsto dal presente regolamento e garantiscono la coerenza con gli atti delegati adottati a norma dell’articolo 7, paragrafo 1, e tengono conto degli sviluppi tecnologici e del mercato.

Vi riporto ovviamente anche il citato ALLEGATO III

ALLEGATO III

Sistemi di IA ad alto rischio di cui all’articolo 6, paragrafo 2

I sistemi di IA ad alto rischio a norma dell’articolo 6, paragrafo 2, sono i sistemi di IA elencati in uno dei settori indicati di seguito.

1.

Biometria, nella misura in cui il pertinente diritto dell’Unione o nazionale ne permette l’uso:a)i sistemi di identificazione biometrica remota.Non vi rientrano i sistemi di IA destinati a essere utilizzati per la verifica biometrica la cui unica finalità è confermare che una determinata persona fisica è la persona che dice di essere;b)i sistemi di IA destinati a essere utilizzati per la categorizzazione biometrica in base ad attributi o caratteristiche sensibili protetti basati sulla deduzione di tali attributi o caratteristiche;c)i sistemi di IA destinati a essere utilizzati per il riconoscimento delle emozioni.

2.	Infrastrutture critiche: i sistemi di IA destinati a essere utilizzati come componenti di sicurezza nella gestione e nel funzionamento delle infrastrutture digitali critiche, del traffico stradale o nella fornitura di acqua, gas, riscaldamento o elettricità.

3.

Istruzione e formazione professionale:a)i sistemi di IA destinati a essere utilizzati per determinare l’accesso, l’ammissione o l’assegnazione di persone fisiche agli istituti di istruzione e formazione professionale a tutti i livelli;b)i sistemi di IA destinati a essere utilizzati per valutare i risultati dell’apprendimento, anche nei casi in cui tali risultati sono utilizzati per orientare il processo di apprendimento di persone fisiche in istituti di istruzione o formazione professionale a tutti i livelli;c)i sistemi di IA destinati a essere utilizzati per valutare il livello di istruzione adeguato che una persona riceverà o a cui potrà accedere, nel contesto o all’interno di istituti di istruzione o formazione professionale a tutti i livelli;d)i sistemi di IA destinati a essere utilizzati per monitorare e rilevare comportamenti vietati degli studenti durante le prove nel contesto o all’interno di istituti di istruzione e formazione professionale a tutti i livelli.

4.

Occupazione, gestione dei lavoratori e accesso al lavoro autonomo:a)i sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati;b)i sistemi di IA destinati a essere utilizzati per adottare decisioni riguardanti le condizioni dei rapporti di lavoro, la promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti e delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti di lavoro.

5.

Accesso a servizi privati essenziali e a prestazioni e servizi pubblici essenziali e fruizione degli stessi:a)i sistemi di IA destinati a essere utilizzati dalle autorità pubbliche o per conto di autorità pubbliche per valutare l’ammissibilità delle persone fisiche alle prestazioni e ai servizi di assistenza pubblica essenziali, compresi i servizi di assistenza sanitaria, nonché per concedere, ridurre, revocare o recuperare tali prestazioni e servizi;b)i sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito, a eccezione dei sistemi di IA utilizzati allo scopo di individuare frodi finanziarie;c)i sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie;d)i sistemi di IA destinati a essere utilizzati per valutare e classificare le chiamate di emergenza effettuate da persone fisiche o per inviare servizi di emergenza di primo soccorso o per stabilire priorità in merito all’invio di tali servizi, compresi polizia, vigili del fuoco e assistenza medica, nonché per i sistemi di selezione dei pazienti per quanto concerne l’assistenza sanitaria di emergenza;

6.

Attività di contrasto, nella misura in cui il pertinente diritto dell’Unione o nazionale ne permette l’uso:a)i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto o per loro conto, per determinare il rischio per una persona fisica di diventare vittima di reati;b)i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto, come poligrafi e strumenti analoghi;c)i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto per valutare l’affidabilità degli elementi probatori nel corso delle indagini o del perseguimento di reati;d)i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto, per determinare il rischio di commissione del reato o di recidiva in relazione a una persona fisica non solo sulla base della profilazione delle persone fisiche di cui all’articolo 3, paragrafo 4, della direttiva (UE) 2016/680 o per valutare i tratti e le caratteristiche della personalità o il comportamento criminale pregresso di persone fisiche o gruppi;e)i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto, per effettuare la profilazione delle persone fisiche di cui all’articolo 3, paragrafo 4, della direttiva (UE) 2016/680 nel corso dell’indagine, dell’accertamento e del perseguimento di reati.

7.

Migrazione, asilo e gestione del controllo delle frontiere, nella misura in cui il pertinente diritto dell’Unione o nazionale ne permette l’uso:a)i sistemi di IA destinati a essere utilizzati dalle autorità pubbliche competenti, o per loro conto, o da istituzioni, organi e organismi dell’Unione, come poligrafi o strumenti analoghi;b)i sistemi di IA destinati a essere utilizzati dalle autorità pubbliche competenti o per loro conto, oppure da istituzioni, organi e organismi dell’Unione, per valutare un rischio (compresi un rischio per la sicurezza, un rischio di migrazione irregolare o un rischio per la salute) posto da una persona fisica che intende entrare o è entrata nel territorio di uno Stato membro;c)i sistemi di IA destinati a essere usati dalle autorità pubbliche competenti o per loro conto, oppure da istituzioni, organi e organismi dell’Unione, per assistere le autorità pubbliche competenti nell’esame delle domande di asilo, di visto o di permesso di soggiorno e per i relativi reclami per quanto riguarda l’ammissibilità delle persone fisiche che richiedono tale status, compresa le valutazioni correlate dell’affidabilità degli elementi probatori;d)i sistemi di IA destinati a essere usati dalle autorità pubbliche competenti o per loro conto, o da istituzioni, organi e organismi dell’Unione, nel contesto della migrazione, dell’asilo o della gestione del controllo delle frontiere, al fine di individuare, riconoscere o identificare persone fisiche, a eccezione della verifica dei documenti di viaggio.

8.

Amministrazione della giustizia e processi democratici:a)i sistemi di IA destinati a essere usati da un’autorità giudiziaria o per suo conto per assistere un’autorità giudiziaria nella ricerca e nell’interpretazione dei fatti e del diritto e nell’applicazione della legge a una serie concreta di fatti, o a essere utilizzati in modo analogo nella risoluzione alternativa delle controversie;b)i sistemi di IA destinati a essere utilizzati per influenzare l’esito di un’elezione o di un referendum o il comportamento di voto delle persone fisiche nell’esercizio del loro voto alle elezioni o ai referendum. Sono esclusi i sistemi di IA ai cui output le persone fisiche non sono direttamente esposte, come gli strumenti utilizzati per organizzare, ottimizzare e strutturare le campagne politiche da un punto di vista amministrativo e logistico.

Già questo basterebbe a fare capire che molte applicazioni sarebbero addirittura VIETATE, basti pensare alla debolezza di alcune fasce di persone (sensibili, o troppo giovani, o della terza età) per rientrare nella casistica dell’articolo 5 paragrafo 1 lettere a) e b).

1.   Sono vietate le pratiche di IA seguenti:

a)

l’immissione sul mercato, la messa in servizio o l’uso di un sistema di IA che utilizza tecniche subliminali che agiscono senza che una persona ne sia consapevole o tecniche volutamente manipolative o ingannevoli aventi lo scopo o l’effetto di distorcere materialmente il comportamento di una persona o di un gruppo di persone, pregiudicando in modo considerevole la loro capacità di prendere una decisione informata, inducendole pertanto a prendere una decisione che non avrebbero altrimenti preso, in un modo che provochi o possa ragionevolmente provocare a tale persona, a un’altra persona o a un gruppo di persone un danno significativo;

b)

l’immissione sul mercato, la messa in servizio o l’uso di un sistema di IA che sfrutta le vulnerabilità di una persona fisica o di uno specifico gruppo di persone, dovute all’età, alla disabilità o a una specifica situazione sociale o economica, con l’obiettivo o l’effetto di distorcere materialmente il comportamento di tale persona o di una persona che appartiene a tale gruppo in un modo che provochi o possa ragionevolmente provocare a tale persona o a un’altra persona un danno significativo;

Ma tralasciamo per il momento questi aspetti ed introduciamo ora le LINEE GUIDA per l’adozione di IA nella pubblica amministrazione. Un documento per ora in consultazione ma che diverrà a breve il nostro vademecum. Indovinato chi è intervenuto in fase consultiva ?

Ritengo essenziale l’analisi dei bias qui riportati (punto 3.1)

I sistemi di IA posso essere soggetti a bias
, cioè distorsioni o pregiudizi che possono manifestarsi nei
risultati o nei comportamenti di un sistema di IA a causa di diversi fattori, come:
• bias nei dati: quando i dati utilizzati per addestrare o testare il modello di IA utilizzato riflettono
pregiudizi, incompletezze o rappresentazioni distorte della realtà, influenzando negativamente l’equità
e l’accuratezza del sistema;
• bias algoritmico: quando le scelte tecniche o le ipotesi implementate nei modelli IA o negli algoritmi
utilizzati introducono distorsioni nei risultati;
• bias umano: quando pregiudizi impliciti o espliciti dei progettisti o degli stakeholder si riflettono nella
progettazione, nell’addestramento o nell’applicazione del sistema di IA.
Il bias può portare a trattamenti ingiusti, risultati inaffidabili o discriminazioni nei confronti di specifici
individui o gruppi. Riconoscere, mitigare e monitorare i bias è essenziale per garantire che i sistemi di IA operino
in modo trasparente ed equo

Ora vediamo gli attori interessati nell’adozione dei piani IA nelle PA (in realtà in ogni settore), cfr 3.3 LLGG

3.2. I ruoli nella catena del valore dell’IA

La catena del valore dell’IA coinvolge diversi soggetti che ricoprono ruoli fondamentali nelle fasi di sviluppo, distribuzione e utilizzo delle tecnologie di IA. Le presenti linee guida adottano le definizioni di fornitore (provider) e deployer fornite dall’AI Act9 nel contesto generale dei sistemi di IA. Per una descrizione dettagliata degli obblighi specifici applicabili a fornitore e deployer in conformità con l’AI Act, si faccia riferimento al capitolo 5.

• Fornitore: soggetto che sviluppa un sistema di IA o un modello GPAI o che fa sviluppare un sistema di IA o un modello GPAI e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio;

• Deployer: soggetto che utilizza un sistema di IA, anche integrandolo nei propri sistemi, senza modificarne in modo significativo il funzionamento. Se un deployer modifica in modo significativo il sistema o lo utilizza sotto il proprio nome o marchio, assume le responsabilità del fornitore.

• Fornitori di modelli

Soggetti che sviluppano e/o forniscono modelli di IA, modelli di IA per finalità generali (GPAI).

• Fornitori di infrastrutture

Soggetti che sviluppano e/o forniscono componenti infrastrutturali per l’IA quali gestione dei dati,networking, hardware, servizi cloud, piattaforme MLOps. Questi soggetti rappresentano il cuore operativo che supporta l’intero ciclo di vita dell’IA.

• Fornitori di applicazioni

Soggetti che sviluppano e/o forniscono applicazioni per scopi specifici adattando i modelli di IA e GPAI. Questi attori possiedono una conoscenza approfondita dei settori e delle esigenze delleorganizzazioni utilizzatrici, combinando le capacità dell’IA con competenze di dominio per favorirela personalizzazione delle soluzioni.

• Utilizzatori

Soggetti che adottano e integrano le tecnologie di IA nei propri sistemi per soddisfare esigenze

operative e strategiche. Questi soggetti possono effettuare personalizzazioni o fine-tuning dei

modelli utilizzando i propri dati al fine di ottimizzare le soluzioni per il contesto operativo specifico.

In questa catena noi siamo i DEPLOYER, diciamo utilizzatori professionali per intenderci.

Ora ci resta da capire perchè le PA dovrebbero utilizzare l’AI, la risposta, normata, la troviamo al punto 3.4. LLGG.

Le PA adottano l’IA al fine di:

• automatizzare attività semplici e ripetitive di ricerca e analisi delle informazioni, liberando

tempo di lavoro per attività a maggior valore;

• aumentare le capacità predittive, migliorando il processo decisionale basato sui dati;

• supportare la personalizzazione dei servizi incentrata sull’utente, aumentando l’efficacia,

l’efficienza e la tempestività dei servizi pubblici anche attraverso meccanismi di proattività;

• promuovere l’innovazione dei servizi pubblici e dei processi amministrativi.

il 3.4. prosegue con i principi da utilizzare per l’adozione (condizione necessaria)

Conformità e governance

P.1 Conformità normativa. Le PA adottano i sistemi di IA nel pieno rispetto delle normative nazionali e

dell’Unione Europea, assicurando l’aderenza al quadro legislativo vigente. Le PA monitorano

l’evoluzione normativa e aggiornano costantemente i propri sistemi per assicurarne la conformità alle

disposizioni vigenti.

P.2 Rispetto dei valori fondamentali dell’UE. Le PA adottano i sistemi di IA garantendo i principi

definiti dalla Carta dei diritti fondamentali dell’Unione Europea.

P.3 Gestione del rischio. Le PA adottano adeguate politiche di gestione del rischio conducendo un’analisi

approfondita dei rischi associati all’impiego di sistemi di IA, al fine di prevenire violazioni dei diritti

fondamentali o altri danni rilevanti.

P.4 Protezione dei dati personali. Le PA adottano i sistemi di IA nel rispetto delle norme unionali e

nazionali vigenti in materia di protezione dei dati personali, garantendo elevata qualità e integrità dei

dati stessi

Etica e inclusione

P.5 Responsabilità. Le PA adottano l’IA come strumento di supporto all’attività umana consapevoli che

la responsabilità ultima delle decisioni adottate, in modo automatico o supervisionato, dai sistemi di IA

rimane in capo alla PA. Le PA identificano chiaramente le responsabilità di tutti gli attori coinvolti nel

ciclo di vita dei sistemi di IA.

P.6 Accessibilità, inclusività, non discriminazione. Le PA assicurano un trattamento equo per tutti i

soggetti e gruppi coinvolti nell’adozione dell’IA, promuovendo la parità di accesso, l’uguaglianza di

genere e la diversità culturale. Le PA adottano misure preventive per evitare la riproduzione o

l’amplificazione di bias presenti nella società.

P.7 Trasparenza. le PA adottano sistemi di AI garantendo la trasparenza e comprensibilità delle loro

decisioni e del funzionamento. Le PA garantiscono una adeguata spiegabilità dei risultati, rendendo

comprensibili le motivazioni che supportano le decisioni e le azioni intraprese dai sistemi di IA.

P.8 Informazione. Le PA informano gli utenti sull’interazione con sistemi di IA, rendendoli consapevoli

delle capacità e dei limiti di tali sistemi

Qualità e affidabilità dei sistemi di IA

P.9 Qualità dei dati. Le PA adottano sistemi di IA garantendo una gestione etica, trasparente e conforme

dei dati. Questo include l’utilizzo di dati di qualità elevata, affidabili e aggiornati, la definizione di

politiche chiare per l’accesso, l’uso e la conservazione dei dati, l’adozione di misure tecniche e

organizzative per tutelare l’integrità e la sicurezza dei dati istituzionali, assicurando che i dati siano gestiti

in modo sostenibile e responsabile.

P.10 Affidabilità. Le PA garantiscono che i risultati e le decisioni prodotte dai sistemi di IA utilizzati siano

affidabili e coerenti con gli obiettivi prefissati. Questo include il monitoraggio continuo delle prestazioni

per identificare e correggere eventuali errori o deviazioni dai parametri stabiliti.

P.11 Robustezza. Le PA assicurano la robustezza dei sistemi di IA, garantendo che essi siano in grado di

operare correttamente anche in condizioni avverse o in presenza di guasti. La robustezza include la

capacità di mantenere le prestazioni desiderate nonostante imprevisti, errori nei dati o problemi tecnici.

P.12 Sicurezza cibernetica. Le PA garantiscono la sicurezza cibernetica dei sistemi di IA, prevenendo

tentativi di alterazione, compromissione o uso illecito da parte di terzi. Questo comprende l’adozionedi misure di protezione adeguate a salvaguardare l’integrità, la disponibilità e la riservatezza dei dati e

dei processi gestiti dai sistemi di IA.

P.13 Supervisione umana. Le PA garantiscono un livello adeguato di supervisione umana dei sistemi di

IA. Ai fini della supervisione umana, le PA assicurano che i sistemi di IA siano progettati e implementati

in modo tale da consentirne la verifica, correzione o sostituzione da parte di personale umano.

P.14 Registrazioni (logging). le PA adottano sistemi di IA dotati di adeguati meccanismi di registrazione

necessari a tracciare e conservare nel tempo le operazioni svolte.

P.15 Adozione di standard tecnici. Le PA tengono in debita considerazione le norme tecniche definite a

livello nazionale, europeo e internazionale al fine di garantire l’interoperabilità, la manutenibilità, la

sicurezza e la conformità dei sistemi di IA alla normativa vigente.

Innovazione e sostenibilità

P.16 Efficienza e qualità dei servizi. Le PA adottano l’IA per incrementare l’efficienza operativa e

migliorare la qualità dei servizi destinati a cittadini e imprese. Le PA utilizzano l’IA per automatizzare i

compiti ripetitivi connessi ai servizi istituzionali e al funzionamento dell’apparato amministrativo,

favorendo l’implementazione di soluzioni innovative e proattive che semplifichino l’accesso ai servizi

e ne migliorino l’efficienza complessiva.

P.17 Innovazione e miglioramento continuo. Le PA adottano un approccio all’IA orientato

all’innovazione e al miglioramento continuo, al fine di ottimizzare i processi amministrativi e la qualità

dei servizi offerti a cittadini e imprese. Le PA mantengono rapporti di collaborazione con altre PA, enti

di ricerca, università e imprese per sperimentare e integrare soluzioni tecnologiche basate sull’IA,

creando un ecosistema favorevole all’innovazione e all’adozione di tecnologie digitali.

P.18 Sostenibilità ambientale. Le PA adottano sistemi di IA secondo un approccio sostenibile, attento alla

tutela ambientale e in linea con i principi di sostenibilità energetica.

Formazione e organizzazione

P.19 Formazione e sviluppo delle competenze. Le PA investono nella formazione del proprio personale

per garantire le competenze necessarie a utilizzare, gestire e sviluppare sistemi di IA in modo efficace e

responsabile. Le PA promuovono iniziative di alfabetizzazione digitale rivolte a cittadini e imprese, al

fine di favorire una comprensione diffusa delle opportunità e delle implicazioni dell’IA, assicurando

che l’adozione dell’IA nei servizi pubblici avvenga in modo inclusivo e consapevole.

P.20 Rafforzamento dell’organizzazione e delle infrastrutture. Le PA, nell’adozione di sistemi di IA,

ottimizzano il proprio assetto organizzativo e le proprie infrastrutture tecnologiche per agevolare il

processo di trasformazione digitale e migliorare i livelli di sicurezza e resilienza.

Per i sistemi IA classificati ad alto rischio, i principi sopra enunciati sono rafforzati da specifici requisiti

definiti dall’AI Act .

DA TUTTO SOPRA SI EVINCE che lavorare sull’AI senza un controllo degli appalti pubblici per l’e-procurement (DETERMINA 220/2020 AGID) e anche sui principi DNSH, tra gli altri diventa ILLECITO.

Ora introduco e mi avvio alla conclusione lo strumento operativo, IL CASO d’USO.

Sono un insieme di procedure più o meno standardizzate e saranno la colonna portante dell’integrazione procedurale dell’AI nei procedimenti amministrativi.

vi riporto le caratteristiche, nei prossimi approfondimento verranno analizzati i CASI d’USO pubblici.

CASi d’uso 4.5 delle linee guida.

Considerato quanto detto ai paragrafi precedenti, il modello proposto per l’adozione dell’IA prevede che le PA individuino i casi d’uso in cui l’IA offre il massimo beneficio in termini di miglioramento dell’efficienza operativa e dell’erogazione dei servizi, sulla base della propria strategia per l’IA (cfr. par. 4.1), dell’analisi del contesto e delle caratteristiche dell’organizzazione (cfr. par. 4.2), tenuto conto degli obiettivi e gli ambiti prioritari di applicazione dell’IA (cfr. par. 4.3).

Le PA POSSONO comunque identificare, operando una semplificazione del modello, i casi d’uso specifici per sperimentazioni, progetti pilota e iniziative circoscritte a basso rischio.

Una volta identificati i casi d’uso, le PA DEVONO raccogliere, documentare e aggiornare le informazioni fondamentali sugli stessi e sulle soluzioni di IA che li implementano, durante l’intero ciclo di vita di queste ultime, dall’ideazione alla prova di concetto sperimentale (POC), al rilascio in ambiente operativo, fino alla dismissione21

I casi d’uso POSSONO essere implementati in forma associata da più PA, anche attraverso gli spazi di sperimentazione e sviluppo previsti dal piano triennale per l’informatica nella PA.

Nel caso di sviluppo in forma associata, la gestione della documentazione è affidata alla PA capofila o a una delegata.

Le PA DEVONO trasmettere periodicamente all’AgID un estratto della documentazione descrittiva dei casi d’uso secondo le modalità definite nel Piano triennale per l’informatica nella pubblica amministrazione.

Muoviamoci in modo TRASPARENTE!!!!! Capitolo 7 par.2

7.2. Obblighi di informativa

Nel rispetto del GDPR e dell’AI Act e come sopra accennato, le PA DEVONO garantire un elevato

livello di trasparenza e chiarezza nell’impiego di sistemi di IA, soprattutto quando tali sistemi possono avere un

impatto sui diritti e sugli interessi degli utenti.

In questo contesto, è fondamentale fornire un’informativa chiara, esaustiva e accessibile, affinché gli

utenti possano comprendere il funzionamento dei sistemi di IA utilizzati dalla PA e i diritti che ne derivano in

capo all’interessato. Oltre a quanto richiesto agli artt. 12-13-14 del GDPR in caso di trattamento di dati

personali, l’informativa deve includere:

• descrizione del sistema di IA e delle sue finalità: le PA DEVONO fornire una descrizione

dettagliata del sistema di IA utilizzato, specificandone la natura e gli obiettivi. L’informativa deve

chiarire:

o tipo di IA impiegata: se si tratta di un sistema di apprendimento automatico (machine

learning), un algoritmo di analisi predittiva o un altro modello basato su IA;

o finalità del sistema: le PA DEVONO indicare chiaramente le finalità per le quali il sistema è

utilizzato, specificando se la soluzione di Intelligenza Artificiale sia impiegata per migliorare i

servizi offerti, per l’automazione di processi amministrativi o per altre finalità legate al

miglioramento dell’efficienza e dell’efficacia dell’azione amministrativa.

• Criteri di decisione e impatto sui soggetti interessati: le PA DEVONO spiegare in modo chiaro i

criteri e i parametri su cui si basano le decisioni automatizzate prese dal sistema di IA. È essenziale che

l’informativa comprenda:

o modalità di funzionamento del sistema: indicando se la soluzione di Intelligenza Artificiale

opera analizzando dati storici o se utilizza modelli statistici per formulare previsioni o

raccomandazioni;

o possibili impatti delle decisioni automatizzate: descrivendo l’eventuale impatto delle

decisioni adottate dalla soluzione di IA sui cittadini, sia in termini di diritti che di eventuali

conseguenze pratiche, come la possibilità di accedere a determinati servizi o benefici.

• Spiegazione delle decisioni automatizzate: i cittadini DEVONO essere informati della propria

facoltà di ottenere una spiegazione comprensibile riguardo alle decisioni adottate tramite sistemi di IA;

le PA DEVONO pertanto:

o garantire la trasparenza del processo decisionale: fornire, su richiesta, informazioni chiare

e semplici che permettano ai cittadini di comprendere le logiche sottostanti alle decisioni

automatizzate che li riguardano;

o descrivere i criteri e i dati utilizzati: essere in grado di spiegare quali dati sono stati utilizzati

nel processo e come tali dati hanno influenzato l’esito della decisione.

Diritto di opposizione e intervento umano nel processo decisionale: è fondamentale che le PA

informino i propri utenti della possibilità di opporsi a decisioni automatizzate e di richiedere l’intervento

umano nel processo decisionale, qualora questo possa avere effetti significativi sui loro diritti. A tale

scopo è necessario:

o specificare le modalità per l’esercizio del diritto di opposizione: le PA DEVONO

indicare ai cittadini le procedure e i canali attraverso cui possono opporsi a una decisione

automatizzata, evidenziando i tempi di risposta e le modalità per richiedere una revisione da

parte di un operatore umano;

o garantire l’accesso a un intervento umano: qualora un cittadino ritenga che la decisione

automatizzata non sia accurata o giusta, DEVE essere garantita la possibilità di richiedere un

intervento umano per riesaminare la decisione e, se necessario, modificarla.

Le PA DOVREBBERO elaborare informative dettagliate e personalizzate per ogni sistema di IA

utilizzato, adattando la comunicazione alle specificità del contesto e alle esigenze degli utenti.

Con queste poche righe spero che nasca consapevolezza degli illeciti commessi.

Muoviamoci iniziando ad adottare il codice etico allegato D che vi allego….e non per spaventarmi ma solo per contestualizzare vi lascio l’articolo 50 del REG

Articolo 50

Obblighi di trasparenza per i fornitori e i deployers di determinati sistemi di IA

1.   I fornitori garantiscono che i sistemi di IA destinati a interagire direttamente con le persone fisiche sono progettati e sviluppati in modo tale che le persone fisiche interessate siano informate del fatto di stare interagendo con un sistema di IA, a meno che ciò non risulti evidente dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo. Tale obbligo non si applica ai sistemi di IA autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati, fatte salve le tutele adeguate per i diritti e le libertà dei terzi, a meno che tali sistemi non siano a disposizione del pubblico per segnalare un reato.

2.   I fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente. I fornitori garantiscono che le loro soluzioni tecniche siano efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente possibile, tenendo conto delle specificità e dei limiti dei vari tipi di contenuti, dei costi di attuazione e dello stato dell’arte generalmente riconosciuto, come eventualmente indicato nelle pertinenti norme tecniche. Tale obbligo non si applica se i sistemi di IA svolgono una funzione di assistenza per l’editing standard o non modificano in modo sostanziale i dati di input forniti dal deployer o la rispettiva semantica, o se autorizzati dalla legge ad accertare, prevenire, indagare o perseguire reati.

3.   I deployer di un sistema di riconoscimento delle emozioni o di un sistema di categorizzazione biometrica informano le persone fisiche che vi sono esposte in merito al funzionamento del sistema e trattano i dati personali in conformità dei regolamenti (UE) 2016/679 e (UE) 2018/1725 e della direttiva (UE) 2016/680, a seconda dei casi. Tale obbligo non si applica ai sistemi di IA utilizzati per la categorizzazione biometrica e il riconoscimento delle emozioni autorizzati dalla legge per accertare, prevenire o indagare reati, fatte salve le tutele adeguate per i diritti e le libertà dei terzi e conformemente al diritto dell’Unione.

4.   I deployer di un sistema di IA che genera o manipola immagini o contenuti audio o video che costituiscono un «deep fake» rendono noto che il contenuto è stato generato o manipolato artificialmente. Tale obbligo non si applica se l’uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati. Qualora il contenuto faccia parte di un’analoga opera o di un programma manifestamente artistici, creativi, satirici o fittizi, gli obblighi di trasparenza di cui al presente paragrafo si limitano all’obbligo di rivelare l’esistenza di tali contenuti generati o manipolati in modo adeguato, senza ostacolare l’esposizione o il godimento dell’opera.

I deployer di un sistema di IA che genera o manipola testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico rendono noto che il testo è stato generato o manipolato artificialmente. Tale obbligo non si applica se l’uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati o se il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione del contenuto.

5.   Le informazioni di cui ai paragrafi da 1 a 4 sono fornite alle persone fisiche interessate in maniera chiara e distinguibile al più tardi al momento della prima interazione o esposizione. Le informazioni devono essere conformi ai requisiti di accessibilità applicabili.

6.   I paragrafi da 1 a 4 lasciano impregiudicati i requisiti e gli obblighi di cui al capo III, così come gli altri obblighi di trasparenza stabiliti dal diritto dell’Unione o nazionale per i deployer dei sistemi di IA.

7.   L’ufficio per l’IA incoraggia e agevola l’elaborazione di codici di buone pratiche a livello dell’Unione per facilitare l’efficace attuazione degli obblighi relativi alla rilevazione e all’etichettatura dei contenuti generati o manipolati artificialmente. La Commissione può adottare atti di esecuzione per approvare tali codici di buone pratiche secondo la procedura di cui all’articolo 56, paragrafo 6. Se ritiene che il codice non sia adeguato, la Commissione può adottare un atto di esecuzione che specifichi norme comuni per l’attuazione di tali obblighi secondo la procedura d’esame di cui all’articolo 98, paragrafo 2.

Se ancora non sono riuscito a contestualizzare vi pongo qualche domanda ?

Quante decisioni sono state prese nei procedimenti con CHATGPT?

Quanti riassunti di riunioni collegiali sono stati fatti con CHATGPT ?

Quanti scrutini sono stati fatti con CHATGPT?

Sentiamoci per la formazione obbligatoria e per correggere il tiro , forse non è tardi.