Capo III – Intelligenza artificiale per i percorsi formativi, le professioni, il lavoro, la sanità e la pubblica amministrazione (artt. 36-51)
Nonostante il titolo del decreto rechi l’“utilizzo dell’intelligenza artificiale nella formazione”, le disposizioni del Capo III vanno ben oltre questo ambito. Esse, infatti, dettano una disciplina che spazia dalle decisioni del datore di lavoro assistite da sistemi di IA (art. 41), all’inclusione di tali sistemi nel documento di valutazione dei rischi (DVR) (art. 42), all’imposizione agli ordini professionali di percorsi formativi obbligatori (art. 47), fino alla rimodulazione dell’equo compenso in relazione alla classe di rischio degli strumenti di IA impiegati (art. 49).
Non tutte le disposizioni hanno la stessa forza cogente, come si evince dalle diverse forme verbali utilizzate dal legislatore. Quando il destinatario è un soggetto privato, il decreto utilizza l’indicativo prescrittivo: il datore di lavoro “assicura” (art. 41, comma 1), l’uso dei sistemi di IA “è valutato” nell’ambito del DVR (art. 42, comma 2), i corsi degli ordini “includono” percorsi dedicati (art. 47, comma 1), i consigli nazionali “adeguano” i propri regolamenti (art. 47, comma 5) e i decreti sui parametri dell’equo compenso “sono integrati” (art. 49, comma 2). Quando, invece, le norme sono rivolte allo Stato o a un’istituzione pubblica, il Capo III, nella sua versione definitiva e a differenza dello schema trasmesso alle Camere, assume una connotazione prevalentemente programmatica: le scuole “possono promuovere” attività formative (art. 36, comma 1), le università “promuovono” (artt. 43, comma 1, e art. 44, comma 1, e non più “assicurano”), le convenzioni con le imprese “possono” essere stipulate (art. 45, comma 6).
Le decisioni sul rapporto di lavoro (art. 41)
Il datore di lavoro che utilizza sistemi di IA “assicura” che le decisioni finali riguardanti la costituzione, la modifica e la risoluzione del rapporto di lavoro, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non siano adottate esclusivamente sulla base di un trattamento automatizzato. La decisione definitiva spetta “a una persona fisica che eserciti un potere effettivo e autonomo” (comma 1). Questi obblighi non possono essere derogati neanche in presenza del consenso del lavoratore e l’utilizzo dei sistemi deve in ogni caso rispettare i principi di dignità, riservatezza e non discriminazione (comma 2).
Il comma 3, facendo riferimento all’art. 1-bis, D.Lgs. 26 maggio 1997, n. 152, impone al datore di lavoro, prima dell’avvio del trattamento professionale, di assolvere agli obblighi informativi riguardanti l’uso di sistemi decisionali o di monitoraggio automatizzati. Riconosce, inoltre, al lavoratore il diritto di ottenere, su richiesta e tramite l’intervento di una persona fisica, una “motivazione intelligibile” della decisione, con l’indicazione dell’eventuale incidenza del sistema e dei principali parametri presi in considerazione. Infine, il comma 4 dichiara nulle le decisioni assunte in violazione del comma 1, incluse quelle relative al licenziamento. Rispetto alla formulazione originaria, che limitava la nullità al solo licenziamento, la norma amplia dunque le tutele del lavoratore, estendendole a ogni altra decisione, comprese quelle di natura disciplinare e valutativa. Fanno eccezione “le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle successive fasi della selezione”, espressamente escluse dalle garanzie previste dal comma 1.
La norma costituisce un’applicazione particolarmente incisiva del cosiddetto principio “human in the loop”, già noto all’ordinamento italiano ed europeo, grazie, tra gli altri, all’art. 22, regolamento (UE) 2016/679 (GDPR), al quale l’art. 41 fa espresso riferimento. L’art. 22, GDPR vieta infatti le decisioni basate esclusivamente su trattamenti automatizzati che producono effetti giuridici o incidono in modo significativo sull’interessato, con tre rilevanti eccezioni: quando la decisione è necessaria per la conclusione o l’esecuzione di un contratto con l’interessato, quando vi è un’autorizzazione di legge o quando l’interessato ha dato il proprio consenso esplicito.
L’art. 41 stabilisce una disciplina ancora più severa, alla luce sia dell’ambito applicativo specifico (il rapporto di lavoro), sia dello strumento utilizzato (non un sistema automatizzato generico, ma un sistema di IA). In particolare, non prevede alcuna eccezione e non si limita a prescrivere genericamente un intervento umano, ma ne definisce i presupposti qualitativi, richiedendo l’esercizio di un “potere effettivo e autonomo” e non una semplice ratifica di una decisione presa, di fatto, dal sistema (come stabilito dalla Corte di giustizia nel caso Schufa, C-634/21). Introduce, inoltre, la sanzione civilistica della nullità contrattuale, non prevista dal GDPR.
Per il datore di lavoro diventa quindi essenziale poter dimostrare che la decisione è stata presa in modo “effettivo e autonomo” da un essere umano, documentando l’intero processo decisionale: chi ha preso la decisione, con quale delega, con quali informazioni oltre all’output del sistema, in quanto tempo e con quale possibilità concreta di discostarsene. In caso di utilizzo di sistemi ad alto rischio, è necessario dimostrare anche che la supervisione umana sull’intero processo è stata affidata a persone dotate di “competenza, formazione e autorità” (art. 26, par. 2, regolamento IA).
È importante ricordare che i sistemi utilizzati per le attività previste dall’art. 41 raccolgono inevitabilmente dati sull’attività dei lavoratori, in particolare per valutare le prestazioni o applicare provvedimenti disciplinari. Nella maggior parte dei casi, si tratta quindi di strumenti che permettono il controllo a distanza, ai sensi dell’art. 4, L. 20 maggio 1970, n. 300 (Statuto dei lavoratori), e che pertanto richiedono l’accordo sindacale o l’autorizzazione dell’Ispettorato, a meno che non si tratti di strumenti di lavoro propriamente detti.
Per quanto riguarda il diritto a una motivazione intelligibile, il decreto menziona l’impatto dei sistemi di IA sul processo decisionale e i principali parametri presi in considerazione. Tale norma deve essere interpretata alla luce della giurisprudenza della Corte di giustizia. Nel caso Dun & Bradstreet Austria (C-203/22), la Corte ha stabilito che l’interessato ha il diritto di essere informato sulla procedura e sui principi applicati, ma non sulla formula matematica. Inoltre, il segreto commerciale non può essere invocato in modo assoluto dal titolare, ma spetta all’autorità o al giudice valutare, caso per caso, quali informazioni possano essere divulgate. In linea con questa direttrice, si può ritenere che la motivazione non si estenda alla divulgazione dell’architettura e del funzionamento del modello utilizzato, ma che debba essere sufficientemente articolata e specifica da consentire al lavoratore di comprendere in che misura e in che termini il sistema di IA abbia inciso sul processo decisionale (e, di conseguenza, quale sia stato il ruolo “effettivo e autonomo” svolto dall’intervento umano).
È opportuno, infine, chiarire il significato concreto dell’esclusione delle attività di ricerca e selezione delle candidature dall’ambito di applicazione dell’art. 41, primo comma. Tale eccezione esclude la selezione dalla riserva di decisione umana, con la conseguente sanzione di nullità. Ciò non deve tuttavia indurre a ritenere che si tratti di decisioni libere da vincoli: la selezione del personale è infatti la prima ipotesi contemplata dall’Allegato III, punto 4, regolamento IA. A partire dal 2 dicembre 2027, i datori di lavoro che utilizzano tali sistemi sono pertanto soggetti agli obblighi del deployer di un sistema di IA ad alto rischio, come previsto dagli artt. 26 (istruzioni del fornitore, sorveglianza umana competente, conservazione dei log, informazione dei lavoratori e delle persone interessate) e 86 (diritto del candidato alla spiegazione), regolamento IA, e alle relative sanzioni, che ammontano rispettivamente fino a 15 milioni e 1 milione di euro (art. 23, commi 2 e 4, decreto). Rimane, inoltre, applicabile l’art. 22, GDPR, con le sue eccezioni e il diritto all’intervento umano, nonché l’obbligo di informativa di cui all’art. 1-bis, D.Lgs. n. 152/1997.
Salute e sicurezza: l’IA entra nel DVR (art. 42)
L’art. 42 si occupa della tutela della salute e della sicurezza dei lavoratori, facendo specifico riferimento all’utilizzo di sistemi di IA che, in questo modo, diventano una fattispecie di rischio espressamente tipizzata. Il comma 2 stabilisce, infatti, che l’uso di sistemi di IA che incidono sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza è valutato nell’ambito della valutazione dei rischi di cui all’art. 28, D.Lgs. 9 aprile 2008, n. 81 (ossia nel DVR). Il comma 3 impone ai datori di lavoro di garantire un’adeguata informazione e formazione dei lavoratori sui rischi specifici legati all’uso di tali sistemi e sulle misure di prevenzione e protezione adottate. I commi 1 e 4, invece, affidano al Ministero del lavoro, in collaborazione con l’Ispettorato nazionale del lavoro, il compito di coordinare le misure e promuovere l’IA come strumento di prevenzione.
Merita sicuramente attenzione la scelta operata dalla norma di individuare un potenziale rischio per la salute e la sicurezza dei lavoratori non in relazione a ogni software, ma solo a quelli che incidono sull’organizzazione, sui ritmi e sulle modalità della prestazione, nonché sulle decisioni rilevanti per la sicurezza. Questa disposizione tiene conto dell’esperienza maturata nella gestione algoritmica dell’organizzazione del lavoro, che ha portato all’individuazione di rischi significativi, quali l’intensificazione del lavoro, la pressione eccessiva sui tempi, il monitoraggio continuo, lo stress correlato, la perdita di autonomia del lavoratore o l’affidamento eccessivo all’output del sistema.
Tuttavia, il profilo che desta maggiore interesse per il consulente è il modo in cui questa disposizione si rapporta alle altre valutazioni già previste dalla normativa vigente. Il regolamento IA impone la gestione dei rischi al fornitore di sistemi ad alto rischio (art. 9) e la valutazione d’impatto sui diritti fondamentali ai soggetti pubblici e privati che erogano servizi pubblici, e ai soggetti che valutano il merito creditizio o il rischio assicurativo (art. 27). Il GDPR, a sua volta, impone la valutazione d’impatto solo quando il trattamento presenta un rischio elevato (art. 35). Un’impresa privata che utilizza l’IA nell’organizzazione del lavoro non è dunque tenuta a effettuare i primi due adempimenti. Nei casi in cui nessuna di queste valutazioni è necessaria, il DVR è l’unico documento obbligatorio che descrive gli effetti del sistema di IA sui lavoratori e diventa così l’adempimento minimo e imprescindibile in materia di valutazione d’impatto dell’IA sul lavoro.
Il comma 3, infine, ponendo a carico del datore di lavoro l’obbligo di garantire un’adeguata informazione e formazione dei lavoratori sui rischi legati all’IA, rappresenta l’unico obbligo formativo di portata nazionale che il decreto rivolge alle imprese private, sebbene limitato all’ambito della sicurezza e non a un’alfabetizzazione più ampia.
I professionisti: formazione obbligatoria (artt. 47 e 51)
Gli articoli da 47 a 51 sono le norme destinate alla formazione obbligatoria dei professionisti. La loro attuazione è pressoché integralmente demandata agli ordini professionali. L’art. 47, comma 1, stabilisce che i corsi di formazione iniziale e continua svolti dagli ordini professionali devono includere percorsi di alfabetizzazione e formazione sull’uso dei sistemi di IA. Il comma 2 ne definisce i contenuti minimi in relazione a tre profili, particolarmente indicativi circa la sensibilità del legislatore italiano in materia di AI: tecnico, che include le “tecniche di interrogazione e istruzione” dei sistemi; giuridico, con particolare riferimento al regolamento IA e alle relative disposizioni nazionali di attuazione; deontologico, riguardante le responsabilità del professionista, gli obblighi informativi verso il cliente e il principio antropocentrico di cui all’art. 1, comma 1, legge IA. Il comma 5 stabilisce che i consigli nazionali degli ordini e dei collegi hanno sei mesi di tempo dall’entrata in vigore del decreto per adeguare i propri regolamenti. Per i professionisti sanitari, l’art. 51 replica il contenuto dei percorsi formativi (comma 2) e demanda alla Commissione nazionale per la formazione continua di riservare, entro sei mesi, una specifica percentuale dell’obbligo formativo individuale triennale (comma 3) e all’Agenzia nazionale per i servizi sanitari regionali di individuare programmi dedicati nella formazione manageriale (comma 4).
L’equo compenso modulato sul rischio (art. 49)
L’art. 49 stabilisce che l’uso di sistemi di IA da parte del professionista “può comportare una modulazione dell’equo compenso”, ai sensi della L. 21 aprile 2023, n. 49, in base a parametri che tengono conto della classificazione di rischio del sistema utilizzato (comma 1). Inoltre, concede un periodo di dodici mesi, fino al 23 ottobre 2027, per integrare i decreti sui parametri (comma 2). La ratio della norma emerge in combinato disposto con l’art. 24, comma 2, lettera f), legge IA, che prevede la possibilità di un equo compenso proporzionato alle responsabilità e ai rischi connessi all’uso dell’IA. La relazione illustrativa motiva, inoltre, la modulazione con le competenze aggiuntive, le attività di verifica e la maggiore responsabilità che comporta un sistema a rischio più elevato.
Il settore pubblico: scuola, amministrazioni, università, giustizia
Per quanto riguarda le istituzioni pubbliche, il Capo III delinea un programma piuttosto ampio e generico, con poche scadenze e, salvo un’eccezione, completamente privo di risorse finanziarie.
Come detto, le scuole (artt. 36–39) “possono promuovere” attività formative sull’IA già a partire dal primo ciclo, nell’ambito dell’educazione civica e dei moduli STEAM (art. 36, comma 1 e 2), con l’aggiornamento delle linee guida STEM, di quelle sull’orientamento e delle Indicazioni nazionali, senza termini prestabiliti (art. 36, comma 3, 5 e 6). L’art. 37 è l’unica norma per la quale è previsto uno stanziamento nel limite dei 100 milioni di euro, a valere sulle risorse del programma nazionale “PN Scuola e Competenze 2021-2027” (comma 2). Tale disposizione mira all’introduzione di un piano di formazione per i docenti finalizzato a contrastare l’uso eccessivo e non consapevole dei social media, ivi inclusi non meglio precisati “ambienti relazionali basati su sistemi di intelligenza artificiale” (comma 1).
Merita di essere segnalato l’art. 38 che, nell’affermare che la formazione sull’AI è diretta “al fine di favorirne un uso consapevole, responsabile ed etico, in una dimensione antropocentrica” (comma 1), accorda particolare rilevanza alla promozione negli studenti di capacità di utilizzo “critico”, cioè di “analisi critica delle informazioni generate o elaborate mediante sistemi di intelligenza artificiale” (comma 3). Il legislatore italiano si mostra così particolarmente sensibile al rischio, peraltro dichiarato, che, in mancanza di una adeguata formazione, l’utilizzo dei sistemi AI possa condurre a “fenomeni di disinformazione, manipolazione e dipendenza tecnologica”.
Per quanto riguarda le pubbliche amministrazioni (art. 40), è prevista (senza alcun termine) la futura definizione di linee guida circa “il quadro minimo di competenze sull’intelligenza artificiale necessarie al personale dipendente pubblico” (comma 2) sebbene, è opportuno ricordare, i dirigenti pubblici rispondono già ora ai sensi dell’art. 14, legge IA per l’uso di questo strumento nei procedimenti amministrativi.
Le università (artt. 43–45) “promuovono” attività formative sull’IA e, nel farlo, devono garantire il rispetto di alcuni contenuti minimi: principi e potenzialità, limiti e distorsioni, interpretazione critica dei risultati, implicazioni giuridiche ed etiche, sorveglianza umana e sicurezza informatica (art. 44, comma 3). Nei corsi tecnico-scientifici, devono inoltre garantire l’integrazione dei profili etici e giuridici, mentre nei percorsi giuridici e umanistici devono garantire l’integrazione dei profili tecnici e funzionali (art. 44, comma 2).
L’art. 46 introduce percorsi formativi per il personale dell’amministrazione della giustizia che “assicurano il rispetto degli obblighi di alfabetizzazione” previsti dall’art. 4, regolamento IA (comma 1), mentre l’art. 50 incarica il Comitato per l’educazione finanziaria di promuovere misure di sensibilizzazione sui rischi dell’IA nel settore finanziario (comma 1).
Capo IV – Informazioni aziendali ed esperienze tecnico-industriali concernenti dati, algoritmi e metodi matematici
Chi addestra o adatta un modello effettua un investimento su tre livelli distinti: la raccolta e la pulizia dei dati, l’architettura e le scelte di progettazione e l’addestramento. Si tratta di attività che, per la maggior parte, non sono brevettabili. Il Capo IV interviene proprio su questo aspetto, individuando nel segreto lo strumento più adeguato.
L’art. 52 inserisce infatti nell’art. 98, Codice della proprietà industriale il comma 1-bis, secondo il quale, se ricorrono le condizioni di cui alle lettere a), b) e c) del comma 1, tra le informazioni aziendali e le esperienze tecnico-industriali protette “sono ricompresi anche i dati, gli algoritmi e i metodi matematici per l’addestramento di sistemi di intelligenza artificiale”. Per “algoritmi e metodi matematici” s’intendono “le architetture dei modelli, le funzioni di ottimizzazione, le procedure e le configurazioni di addestramento, nonché ogni altro elemento tecnico-computazionale funzionale allo sviluppo di sistemi di intelligenza artificiale”. L’art. 53precisa poi che le controversie “restano devolute” alle sezioni specializzate in materia di impresa, come già previsto dall’art. 134, comma 1, lettera b), Codice.
Perché possa configurarsi il segreto, è necessario che i dati, gli algoritmi e i metodi matematici siano oggetto di un “legittimo controllo”: ciò non si verifica, ad esempio, quando un dataset viene creato a partire da testi e dati ottenuti violando le riserve dei titolari dei diritti. Rilevante è inoltre il richiamo alla lettera c) del comma 1 dell’art. 98: affinché possa essere applicata la protezione, è necessario che l’impresa abbia implementato misure di sicurezza adeguate a preservare la segretezza di dati e algoritmi.
La norma deve comunque essere bilanciata con gli obblighi di trasparenza vigenti in materia di IA, a cominciare da quelli dettati dal relativo regolamento. Si pensi, per esempio, all’obbligo per i fornitori di sistemi ad alto rischio di redigere la documentazione tecnica di cui all’Allegato IV, che illustra la logica generale, le scelte progettuali, l’architettura e i dataset, e di renderla disponibile alle autorità. Oppure al già citato diritto del lavoratore di ricevere, su richiesta, una motivazione intellegibile (art. 41, comma 3): si tratta di un obbligo del datore di lavoro che non ammette eccezioni e al quale non può essere opposto, quantomeno in toto, neppure il segreto.
Capo V – Disposizioni finali
Come si è osservato in apertura, il testo si chiude con una clausola di invarianza finanziaria di cuiall’art. 54: l’intero decreto, dalla vigilanza alla formazione, è stato concepito infatti senza alcun onere finanziario, fatta eccezione per l’art. 37, comma 2, già menzionato.
Per quanto riguarda i poteri delle autorità, il decreto prevede un sistema complesso, in cui l’ACN riveste un ruolo di primo piano e il Garante è stato rafforzato rispetto allo schema precedente. Il buon funzionamento di tale sistema dipende però da una collaborazione tra le autorità che deve ancora tradursi in prassi. Il regime sanzionatorio, pur prevedendo alcune misure più severe rispetto all’art. 99 dell’AI Act, lascia aperte alcune questioni, tra cui la frammentazione dei giudici competenti per le impugnazioni e la scelta di un sistema che si finanzia con i proventi delle proprie sanzioni. Tra gli aspetti più interessanti, le regulatory sandboxes attendono i decreti congiunti di AgID e ACN e l’atto di esecuzione della Commissione per assumere una forma più chiara.
Per quanto riguarda la formazione e il lavoro, il Capo III prevede sia norme cogenti rivolte ai privati, sia norme programmatiche rivolte al settore pubblico. È proprio in questo ambito che l’invarianza finanziaria mostra il suo peso: un impianto che dipende in larga misura da provvedimenti da adottare con risorse esistenti rischia di restare, in più punti, una semplice dichiarazione di intenti.
Il decreto ha comunque il merito di delineare un sistema complesso e di fissare alcune linee programmatiche; la sua efficacia, come sempre in questi casi caratterizzati da complessità tecnica e di governance, sarà valutata nel tempo e, in primo luogo, alla luce dei provvedimenti attuativi che dovranno seguire.
* Filippo Bagni è attualmente Legal Officer presso la Commissione europea. Le opinioni e i punti di vista espressi sono esclusivamente quelli dell’autore e non riflettono né rappresentano alcuna politica o posizione ufficiale della Commissione europea.
Copyright © – Riproduzione riservata
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
