di Francesco Borgesano

Sommario

1. Introduzione

2. Il problema della cybersecurity nel prisma dei modelli di regolazione della realtà digitale

3. Il rapporto di interdipendenza tra “responsabilità” e “sicurezza”

4. La dimensione multifunzionale dell’istituto responsabilistico nel contesto dell’intelligenza artificiale

5. Considerazioni conclusive

1. Introduzione

I sistemi d’intelligenza artificiale costituiscono una straordinaria opportunità funzionale sia per lo sviluppo economico, sia per la promozione del benessere dell’umanità. Ed invero, attraverso tali sistemi, la ricerca scientifica, la prevenzione sanitaria e ambientale, i servizi essenziali e la produzione industriale raggiungono livelli di efficienza, esattezza e certezza certamente maggiori rispetto al passato. Di contro, il rovescio della medaglia, e quindi una eventuale utilizzazione abusiva dei sistemi di intelligenza artificiale, possono integrare una vera minaccia, con conseguenze molto gravi sia sul piano ambientale e sia relativamente alla violazione e repressione di diritti inviolabili della persona¹.

Infatti, nonostante il sistema di I.A sia molto eterogeneo, esiste il rischio che le decisioni automatizzate assunte dalla “macchina” possano fondarsi su dati incompleti od errati, ovvero subire manipolazioni esterne, tali, quindi, da renderne l’“azione autonoma” funzionale alla creazione di situazioni di pericolo od altamente pregiudizievoli². Di conseguenza prioritariamente³ è strettamente necessario predisporre un modello di cybersecurity che sia adeguato alle caratteristiche strutturali e funzionali dei sistemi di IA che implichi la convergenza simultanea di una pluralità di fattori eterogenei di natura “giuridica”, “tecnica” ed “organizzativa” e di per sé una rimodulazione della fisionomia stessa del principio di responsabilità. Infatti, il principio di responsabilità accanto alla sua normale dimensione “reattiva”, aggiunge anche una dimensione “proattiva”, tendente a prevenire la verificazione del pregiudizio (in ciò convergendo nell’obiettivo della sicurezza) mutuando così, la dimensione funzionale e teleologica risipetto al modello tradizionale⁴.

In tema di sicurezza nel contesto dell’intelligenza artificiale, si è cercato, da un lato, di riconoscere e garantire ampio spazio alla sperimentazione ed allo sviluppo dell’IA; dall’altro, si è cercato di adottare un metodo fondato sul «rischio», funzionale alla creazione di un modello generale di «sicurezza digitale», destinato ad integrarsi con le misure stabilite da altri atti normativi di settore, ma che in sé costituisce l’attualizzazione interattiva dei principi di precauzione, prevenzione e responsabilità⁵.

2. Il problema della cybersecurity nel prisma dei modelli di regolazione della realtà digitale

Il problema della “sicurezza” dei sistemi di IA è profondamente connesso al problema della “regolazione” della “realtà digitale”, rispetto al quale si evidenzia l’inidoneità sostanziale allo scopo disciplinare di un approccio puramente etero-normativo, che alla prescrizione positiva d’un precetto fa discendere la previsione di una sanzione per l’ipotesi di sua violazione⁶.

V’è da precisare che i principi tipici della realtà “digitale” e cioè la “a-terittorialità”, la “delocalizzazione”, la “dematerializzazione”, se anche avessero una norma proibitiva o prescrittiva, finirebbero per relegarla alla sua “ineffettività sostanziale” nell’ipotesi di sua infrazione, incontrando un limite nel particolarismo giuridico delle legislazioni dei vari Stati⁷. Pertanto, si deve creare una nuova concezione del diritto che non va a collocarsi in una dimensione prescrittiva ma dovrebbe essere inserita, per così dire, nella struttura dei sistemi digitali, così de rendere preventivamente possibile o impossibile una certa condotta. È chiaro che non deve venir meno la tradizionale funzione direttiva del diritto di fonte autoritativa, ma, al contrario, il fattore “normativo” deve “cooperare” con quello “tecnico” e con quello “organizzativo”, così da ritrovare la misura della “giuridicità” delle regole tecno-giuridiche così prodotte nelle potenzialità insite nel principio di sussidiarietà sostanziale⁸.

3. Il rapporto di interdipendenza tra “responsabilità” e “sicurezza”

Fondamentale è il ruolo sella sussidiarietà nelle dinamiche che coinvolgono responsabilità” e “sicurezza”, le quali vengono a porsi in un rapporto strumentale. La sussidiarietà, aldilà di quanto già evidenziato, acquista una specifica connotazione metodologica individuando, nella cooperazione tra fattori eterogenei, il criterio strutturale che incide sui modelli di sicurezza applicabili ai sistemi informatici.

Nel contesto della realtà virtuale/digitale, la responsabilità è il mezzo attraverso il quale si può raggiungere il fine della sicurezza, convergendo la prima nella realizzazione della seconda, quest’ultima colta sia sul piano della “integrità”, “resilienza” e “robustezza” del sistema (rispetto a malfunzionamenti dello stesso ovvero ad attacchi esterni – e perciò a livello “proattivo” –), sia su quello della “garanzia” di interessi meritevoli che possono essere “automaticamente” ed “autonomamente” repressi dal sistema informatico.

Nasce la responsabilità digitale. Si supera la tradizionale configurazione “sanzionatoria” o “compensativa” della responsabilità che acquisisce anche una specifica dimensione “proattiva” che si manifesta nella “minimizzazione” del rischio digitale attraverso la procedimentalizzazione (tecno-giuridico-organizzativa) della sua gestione; pur mantenendo la propria connotazione “reattiva” che si manifesta a seguito della verificazione del pregiudizio.

4. La dimensione “multifunzionale” dell’istituto responsabilistico nel contesto dell’intelligenza artificiale

Sul piano “proattivo”, l’istituto della responsabilità estrinseca la propria funzione quale principio di “responsabilizzazione” o accountability – ampiamente accolto nel modello di “sicurezza” definito negli atti normativi europei (si v. reg. UE 2016/679 GDPR; prop. reg. UE sull’intelligenza artificiale del 21 aprile 2021)⁹ – che si contrassegna per la convergenza di fattori normativi, tecnici, organizzativo-gestionali, che seguono l’attivazione del sistema informatico e rilevano sul piano della diligenza professionale, implicando obblighi di controllo, supervisionamento ed aggiornamento dei sistemi, ma che, in ipotesi di violazione, implicano anche il ricorso di obblighi di attivazione, segnalazione ed intervento¹⁰. Sotto il profilo “reattivo” – ossia successivo alla verificazione di un pregiudizio – l’istituto della responsabilità acquisisce una specifica dimensione “compensativo-sanzionatoria” che, però, sfugge, almeno parzialmente ai canoni tradizionali; ciò in considerazione dei significativi problemi che vengono posti – segnatamente rispetto ai sistemi di IA e del più o meno incisivo grado di autonomia decisionale degli stessi – con riguardo all’imputabilità della condotta ed alla allocazione degli oneri risarcitori¹¹.

Molteplici sono le soluzioni prospettate in dottrina – dal riconoscimento ai sistemi di IA di una propria “soggettività giuridica”¹² al ricorso analogico ad istituti romanistici come quello del peculium, fino a soluzioni improntate all’obbligo assicurativo, etc. – anche con riguardo all’applicazione delle norme codicistiche in tema di responsabilità civile (segnatamente di “responsabilità speciali” ex artt. 2050 e 2051 c.c.). A fronte di queste, sicuramente, deve segnalarsi il modello proposto dalle istituzioni europee (si v. Risoluzione del Parlamento europeo del 20 ottobre 2020, recante “raccomandazioni alla Commissione sul regime di responsabilità civile per l’intelligenza artificiale”), chiaramente ispirato a sussidiarietà, atteso che, pur proponendo la definizione di una serie di regole specificamente dedicate all’IA, non tende a sostituire, ma semmai a concorrere, con le altre normative di settore, segnatamente con riguardo a quelle in punto di responsabilità per prodotto difettoso¹³.

Il modello in questione risulta incentrato sul concetto di “rischio funzionale” – declinato in ragione della natura dell’attività svolta dal sistema di IA e dal suo ambito di riferimento funzionale; dal suo grado di autonomia decisionale e dalla potenziale entità dei pregiudizi che possono derivarvi – e conosce una diversificazione disciplinare che si estrinseca in un regime di responsabilità oggettiva con riguardo ai sistemi c.d. “ad alto rischio” ovvero di responsabilità “speciale” (con inversione dell’onere probatorio), rispetto a sistemi “a rischio non alto” (benché questi ultimi individuati per esclusione), valorizzando in modo particolare, al fine dell’affermazione della responsabilità, il profilo della “gestione” funzionale ed organizzativa del “rischio digitale”. Si delinea, pertanto, un assetto disciplinare in cui l’istituto della responsabilità assume una dimensione “multifunzionale”¹⁴ che, oltre che per una propensione punitivo-sanzionatoria, si contrassegna per i profili preventivo-precauzionali, andando a valorizzare la “responsabilizzazione” dell’operatore e la sua diligenza nel “controllare” il rischio digitale, ma che non perde anche la tradizionale connotazione compensativa rispetto al pregiudizio subito.

5. Considerazioni conclusive

La responsabilità assume, quindi, una configurazione “ibrida” e “multilivello” che dalla “responsabilizzazione” (accountability) di tutti coloro che concorrono nel “ciclo vitale” del sistema di IA (dalla fase progettuale a quella di vigilanza, intervento ed aggiornamento) giunga (liability) fino alla compensazione dei pregiudizi verificatisi, nonché alla repressione ed alla sanzione delle violazioni degli standard giuridici, tecnici e organizzativi, afferenti al profilo della sicurezza¹⁵. Per quanto concerne l’allocazione degli oneri risarcitori e (soprattutto) l’individuazione degli strumenti funzionali a garantire una effettiva tutela compensativa al danneggiato, è essenziale affermare la solidarietà degli obblighi risarcitori gravanti in capo a tutti i soggetti coinvolti nel “ciclo vitale” dell’IA al fine di evitare che il danneggiato resti privo di tutela risarcitoria, stante, a volte, l’impossibilità di dimostrare l’effettivo responsabile del danno.

_

Note