La colpa nell’era dell’AI
Il diritto penale ha una caratteristica che l’intelligenza artificiale rende improvvisamente problematica: arriva dopo. Dopo una condotta, dopo un’omissione, talvolta dopo un danno. L’intelligenza artificiale, invece, ci impone di ragionare prima.
È questa, a mio avviso, la questione più interessante sollevata dall’introduzione di una specifica risposta penale nei confronti della cosiddetta intelligenza artificiale “insicura”. Non si tratta di discutere se sia giusto sanzionare chi ometta misure di sicurezza essenziali nell’impiego di sistemi ad alto rischio. In presenza di condotte gravi, la risposta non può che essere affermativa. La domanda è più scomoda: siamo certi che la minaccia della pena sia il deterrente più efficace per governare tecnologie capaci di produrre conseguenze prima ancora che il diritto riesca a comprenderle pienamente?
Il problema non è teorico. Stiamo progressivamente affidando agli algoritmi valutazioni e decisioni che incidono sul lavoro, sul credito, sulla salute, sulla sicurezza, sull’accesso ai servizi e, più in generale, sui diritti delle persone. In questi ambiti individuare un responsabile dopo che qualcosa è andato storto rimane necessario. Ma non è sufficiente.
Perché la responsabilità non può cominciare con il danno.
Il diritto deve entrare prima dell’algoritmo
Per secoli abbiamo costruito una parte importante della nostra cultura giuridica attorno alla conseguenza di un comportamento: stabilire ciò che è lecito, individuare ciò che non lo è e sanzionare chi supera quel confine. L’intelligenza artificiale modifica questa prospettiva perché introduce sistemi capaci di operare con una velocità, una scala e una complessità che rendono molto più difficile intervenire quando il processo è già iniziato.
Un sistema ad alto rischio non diventa pericoloso nell’istante in cui produce un risultato sbagliato. Il rischio nasce molto prima: nella progettazione, nella selezione dei dati, nell’addestramento, nei criteri con cui viene validato, nelle modalità con cui viene inserito all’interno di un’organizzazione e, soprattutto, nella quantità di autonomia che decidiamo di attribuirgli.
È lì che deve entrare il diritto.
Chi sviluppa un sistema deve valutarne i rischi prevedibili. Chi lo distribuisce deve garantirne sicurezza e tracciabilità. Chi lo integra nei propri processi deve conoscerne i limiti. Chi lo utilizza deve sapere quando può fare affidamento sull’output prodotto e quando, invece, deve fermarsi.
La prevenzione non può essere considerata un adempimento collaterale alla responsabilità. Nell’intelligenza artificiale è parte della responsabilità stessa.
Il controllo umano non può essere una finzione
C’è poi una formula destinata a diventare centrale nel diritto dell’intelligenza artificiale: “controllo umano”. È un principio condivisibile, ma rischia di trasformarsi rapidamente in una rassicurazione formale.
Dire che un essere umano mantiene il controllo di un sistema significa poco se quella persona non comprende realmente ciò che il sistema sta facendo, non dispone delle informazioni necessarie per valutarne il risultato oppure, ancora peggio, non possiede l’autorità per interromperne l’utilizzo.
Un uomo davanti a uno schermo non costituisce necessariamente un controllo umano.
Il controllo esiste soltanto quando qualcuno può comprendere, contestare e, se necessario, fermare la macchina. Altrimenti avremo semplicemente trasferito all’essere umano il compito di ratificare decisioni elaborate altrove, creando l’apparenza della responsabilità senza la sua sostanza.
Questo aspetto diventa ancora più importante quando l’intelligenza artificiale entra nelle grandi organizzazioni. Il rischio, infatti, non è soltanto che una macchina sbagli. È che nessuno sappia più con precisione chi avrebbe dovuto impedirle di sbagliare.
Una responsabilità che rischia di scomparire
La catena dell’intelligenza artificiale può essere molto lunga. Un soggetto sviluppa il modello, un altro fornisce i dati, un altro ancora distribuisce la tecnologia, un’impresa la integra nei propri processi e infine qualcuno la utilizza per assumere una decisione.
Più la catena si allunga, più la responsabilità rischia di diluirsi.
Il produttore potrà sostenere di non conoscere l’utilizzo concreto del sistema. L’utilizzatore potrà affermare di essersi affidato alla tecnologia. Il dirigente potrà richiamarsi alle procedure interne. Il tecnico potrà sostenere di non avere potere decisionale. Alla fine potremmo trovarci davanti al paradosso più pericoloso: una decisione che produce conseguenze reali senza che nessuno ne abbia avuto realmente il governo.
La complessità tecnologica non può diventare un alibi giuridico.
Per questo la disciplina dell’intelligenza artificiale dovrà essere sempre più una disciplina dell’organizzazione della responsabilità. Servono ruoli chiari, procedure di escalation, audit periodici, tracciabilità delle decisioni, verifica delle anomalie, formazione e soprattutto l’individuazione preventiva di chi possieda il potere di dire no alla macchina.
Non dopo. Prima.
Il penale deve restare l’ultima linea di difesa
In questo quadro il diritto penale conserva una funzione essenziale. Quando vengono consapevolmente ignorate misure di sicurezza fondamentali, quando un rischio conosciuto viene deliberatamente trascurato o quando l’inosservanza delle regole espone le persone a conseguenze particolarmente gravi, l’ordinamento deve poter reagire anche attraverso la sanzione penale.
Ma il diritto penale dovrebbe rimanere ciò che, in uno Stato liberale, è chiamato ad essere: l’extrema ratio.
Pensare di costruire la sicurezza dell’intelligenza artificiale principalmente attraverso la paura della pena sarebbe una scorciatoia. E potrebbe produrre un ordinamento molto severo nel giudicare ciò che è già accaduto, ma sorprendentemente debole nell’impedire che accada.
La vera frontiera giuridica dell’intelligenza artificiale è quindi spostare il baricentro dalla sola responsabilità ex post a una responsabilità ex ante. Non per sostituire la prima, ma per fare in modo che diventi necessaria il meno possibile.
Significa costruire governance, controlli indipendenti, procedure interne, sistemi di verifica e una cultura della responsabilità che accompagni l’intero ciclo di vita dell’intelligenza artificiale. Significa soprattutto accettare un principio semplice: quanto maggiore è il potere che attribuiamo a una macchina, tanto più chiaramente dobbiamo sapere quale essere umano ne risponde.
La sanzione penale rappresenta dunque un presidio necessario. Ma dovrebbe essere considerata l’ultima linea di difesa, quella che interviene quando le precedenti hanno fallito. Perché una società che si limita a individuare chi punire dopo che un sistema di intelligenza artificiale ha prodotto un danno ha certamente trovato un responsabile. Non è detto che abbia costruito un sistema responsabile.
Il diritto penale può punire l’errore. Non può sostituire la prevenzione. E nell’era dell’intelligenza artificiale la responsabilità non comincia quando il danno è avvenuto. Comincia molto prima: nel momento in cui decidiamo di affidare a una macchina una scelta capace di incidere sulla vita di una persona.
Piergiorgio Galli, Avvocato cassazionista