Pollicino (Bocconi): “Il punto non è quanto l’AI sia intelligente, ma quali poteri siamo disposti a delegarle”

L’intelligenza artificiale è entrata in una fase diversa rispetto a quella, quasi euforica, inaugurata dall’esplosione dei sistemi generativi.

Non siamo più soltanto davanti a strumenti capaci di produrre testi, immagini o codice. “Stiamo costruendo una vera e propria infrastruttura cognitiva, destinata a entrare nei processi attraverso i quali le imprese decidono, le amministrazioni selezionano, le persone si informano e la società distribuisce opportunità. Per questo, la domanda centrale non è quanto l’AI sia intelligente, ma quali poteri siamo disposti a delegarle, a quali condizioni e con quali possibilità di controllo”, rimarca ad AI4Business Oreste Pollicino, professore di diritto costituzionale e regolazione dell’intelligenza artificiale all’Università Bocconi, direttore del master LL.M. in Law of Technology and Automated systems, co-direttore del centro Rules, consulente d’impresa e saggista.

E sottolinea: “l’errore sarebbe continuare a considerare l’AI come un semplice prodotto informatico aggiuntivo. Il vero prodotto è l’ambiente decisionale che si costruisce intorno al modello: i dati che lo alimentano, le istruzioni che ne orientano il comportamento, le persone che interpretano i risultati e le procedure che stabiliscono quando seguirli e quando, invece, disattenderli”.

L’AI e le tre principali trasformazioni in atto

In questo scenario e con queste prospettive, quali sono le principali trasformazioni in corso?

“Vedo almeno tre trasformazioni importanti. La prima è il passaggio dai chatbot ai sistemi agentici, capaci non soltanto di rispondere, ma anche di pianificare attività, utilizzare strumenti e intervenire nei flussi organizzativi. Ciò aumenta l’efficienza, ma anche la superficie del rischio, perché un errore non resta più confinato in una risposta sbagliata: può diventare una sequenza di azioni. La seconda trasformazione riguarda il diritto. L’AI Act è entrato nella sua fase applicativa, ma con una tutela ancora a velocità diverse: alcune regole sono già operative, mentre una parte significativa della disciplina dei sistemi ad alto rischio entrerà pienamente in funzione più avanti. Possiamo dire, quindi, che l’AI Act abbia messo i denti, ma non tutti nello stesso momento”.

E la terza trasformazione cruciale?

“È quella geopolitica e industriale. Non si può parlare seriamente di AI senza parlare di capacità computazionale, cloud, chip, energia, dati e competenze. La regolazione è necessaria, ma non basta: non si esercita una vera sovranità normativa su infrastrutture che non si possiedono e non si controllano. Il messaggio che metterei maggiormente in evidenza è questo: non dobbiamo scegliere tra innovazione e regole, ma tra innovazione governata e innovazione subita”.

Alcune indicazioni utili per imprese e manager

Aziende e manager cosa possono e devono fare?

“Suggerirei, prima di tutto, di non partire dalla tecnologia. La prima domanda da porsi non dovrebbe essere ‘dove possiamo introdurre l’AI?’, ma invece ‘quale problema vogliamo risolvere, quale decisione verrà influenzata e chi subirà le conseguenze di un eventuale errore?’. Il rischio più frequente è acquistare una soluzione perché appare innovativa e cercare soltanto dopo un processo nel quale collocarla. Bisogna fare il contrario: partire dal caso d’uso, verificare la qualità dei dati, misurare il beneficio atteso e individuare con precisione i rischi operativi, giuridici e reputazionali”.

E poi, cos’altro è urgente e importante?

“La seconda indicazione è realizzare una vera mappatura. Molte organizzazioni utilizzano ormai numerosi sistemi di AI senza averne una visione unitaria: applicazioni acquistate centralmente, funzionalità integrate nei software ordinari, strumenti adottati individualmente dai dipendenti e servizi attivati dai fornitori. Prima ancora della classificazione giuridica viene l’inventario sostanziale: che cosa utilizziamo, per quale finalità, su quali dati, con quale fornitore e con quale grado di autonomia? La governance deve poi accompagnare tutto il ciclo di vita del sistema”.

Governance dell’AI ed errori da evitare

Come si fa una governance dell’AI adeguata?

“Servono regole per la selezione dei fornitori, clausole contrattuali sull’accesso alla documentazione e sulla gestione degli incidenti, criteri di validazione, sistemi di registrazione, verifiche periodiche e condizioni chiare per sospendere l’utilizzo. Anche il controllo umano deve essere reale, non cerimoniale. La persona incaricata deve avere competenza, tempo, informazioni e soprattutto il potere effettivo di contestare o rovesciare il risultato della macchina. Inoltre, la governance dell’AI non può essere lasciata soltanto alla funzione legale o all’IT. Deve coinvolgere il vertice, il business, il risk management, la cybersecurity, la protezione dei dati, le risorse umane e gli esperti del settore nel quale il sistema viene utilizzato. Non basta sapere come funziona il modello: bisogna conoscere il contesto nel quale il suo risultato diventa una decisione”.

Quali errori si devono evitare?

“Innanzitutto, occorre evitare due errori opposti: adottare l’AI senza controllo, oppure bloccarla attraverso divieti generici. Nel primo caso, proliferano strumenti e casi d’uso che l’organizzazione non conosce; nel secondo, l’uso dell’AI si sposta nell’ombra, attraverso account personali, applicazioni gratuite e strumenti non autorizzati”.

I modelli degli algoritmi non sono software tradizionale

Altre indicazioni da seguire e mettere in pratica?

“Un’altra indicazione importante riguarda gli acquisti. Molte imprese stanno comprando AI con procedure pensate per il software tradizionale. Ma un modello può cambiare nel tempo, essere aggiornato dal fornitore, dipendere da dati esterni e produrre risultati non completamente prevedibili. Servono quindi clausole sull’accesso alla documentazione, sulle modifiche del sistema, sui subfornitori, sulla localizzazione dei dati, sui test, sugli incidenti e sulla possibilità di audit. Occorre poi definire chi può autorizzare un caso d’uso e sulla base di quali elementi”.

In che modo?

“Per le applicazioni meno rischiose, può bastare una procedura semplificata; per quelle più sensibili servono validazione, valutazione d’impatto, test indipendenti e approvazione di un organo competente. Anche il controllo umano deve essere progettato in modo realistico. Non basta inserire una persona nel processo. Bisogna stabilire quali informazioni riceve, quanto tempo ha per verificare, quali segnali di allarme deve riconoscere e se può effettivamente bloccare la decisione. Una governance efficace non deve impedire l’uso dell’AI: deve renderlo conoscibile, proporzionato e controllabile”.

Nuove applicazioni e risultati problematici

Nel mercato dell’AI cosa sta succedendo che la colpisce in particolare?

“Ad esempio, il caso della funzione introdotta in Google Earth che consentiva di generare, attraverso prompt, immagini fotorealistiche costruite a partire da luoghi reali. La funzione è stata ritirata quasi immediatamente dopo la diffusione di contenuti problematici. L’episodio è interessante perché dimostra che la trasparenza, da sola, non è sempre sufficiente. Un watermark o un’etichetta possono certamente aiutare, ma non neutralizzano il potere persuasivo di un’immagine realistica, soprattutto quando quella immagine viene prodotta all’interno di un servizio al quale gli utenti attribuiscono tradizionalmente una funzione documentale. In questi casi, si verifica una sorta di trasferimento di affidabilità”.

Vale a dire?

“La fiducia accumulata dalla piattaforma viene incorporata nel contenuto sintetico. Una falsa immagine collocata sopra la rappresentazione di un luogo reale non viene percepita come una semplice creazione artistica; può assumere l’apparenza di una prova. Quello che mi ha colpito non è soltanto il possibile abuso da parte degli utenti, ma il fatto che uno strumento con implicazioni così prevedibili sia arrivato al pubblico prima che le cautele fossero adeguatamente sperimentate. È il segnale di un modello ancora troppo diffuso: si immette una funzione sul mercato, la società ne sperimenta i rischi e soltanto successivamente vengono rafforzate le protezioni. Ma la società non dovrebbe diventare il laboratorio gratuito nel quale si effettuano i test dei prodotti commerciali”.

“Fare attenzione alla retorica dell’inevitabilità”

Cos’altro critica degli sviluppi in corso?

“Prima di tutto, la retorica dell’inevitabilità: l’idea che una tecnologia, una volta tecnicamente possibile, debba necessariamente essere adottata ovunque e nel minor tempo possibile”.

Perché?

“L’innovazione viene così presentata come una forza naturale, mentre è sempre il risultato di decisioni economiche, progettuali e politiche delle quali qualcuno deve assumersi la responsabilità. Non mi piace neppure l’antropomorfizzazione in corso”.

Ovvero?

“Attribuiamo ai sistemi intenzioni, comprensione e capacità di giudizio che non possiedono. Dire che ‘l’AI ha deciso’ può diventare un modo molto efficace per nascondere la catena delle responsabilità umane: chi ha scelto il modello, chi ha definito i dati, chi ha stabilito la soglia e chi ha trasformato il risultato in una decisione. C’è poi un’asimmetria di trasparenza”.

L’importanza e il peso della trasparenza

Quale?

“Alle persone si chiede sempre più spesso di rendere conoscibili dati, preferenze e comportamenti, mentre resta difficile comprendere il funzionamento concreto dei sistemi che le valutano. Non è necessario pretendere la pubblicazione integrale del codice sorgente, ma bisogna garantire una trasparenza significativa: finalità del sistema, provenienza e qualità dei dati, limiti conosciuti, metriche utilizzate, tassi di errore e possibilità di contestazione”.

Quali altri concetti è rilevante rimarcare, anche tra quelli contenuti nel suo ultimo libro ‘Costituzionalismo digitale’?

“Bisogna, ad esempio, stare attenti anche all’utilizzo del cosiddetto ‘human in the loop’ come formula assolutoria. La presenza formale di una persona non rende automaticamente responsabile una decisione. Un essere umano privo di tempo, competenze o potere di intervento rischia di diventare soltanto un timbro biologico apposto sul risultato algoritmico. Devono cambiare le imprese, assumendo la sicurezza e la tutela dei diritti come elementi del progetto e non come correzioni finali. Devono cambiare le autorità, sviluppando capacità tecniche e ispettive adeguate. E deve cambiare anche la cultura collettiva, perché una società incapace di comprendere i sistemi che utilizza rischia di oscillare tra una fiducia ingenua e un rifiuto altrettanto irrazionale”.

La percezione diffusa dell’intelligenza artificiale

Cosa influenza la percezione pubblica dell’intelligenza artificiale?

“La percezione pubblica dell’AI non si forma in uno spazio neutrale. È influenzata da una macchina narrativa molto potente, fatta di presentazioni di prodotto, benchmark, annunci sugli investimenti, dimostrazioni selezionate e promesse di trasformazione radicale. Ogni nuova generazione di modelli viene presentata come una discontinuità storica e ogni ritardo nell’adozione come una perdita irreversibile di competitività. In questo modo, la regolazione viene facilmente rappresentata come un ostacolo e la velocità diventa un valore in sé, indipendentemente dalla direzione verso la quale si sta procedendo. Esiste inoltre una concentrazione materiale che si traduce inevitabilmente anche in potere narrativo”.

Cioè?

“Le capacità di calcolo, il cloud, i chip, i dati e le infrastrutture energetiche sono controllati da un numero molto ristretto di soggetti. Questo non significa demonizzare le grandi imprese, che producono innovazioni straordinarie e sostengono investimenti difficilmente replicabili. Significa, però, evitare che la loro capacità tecnologica diventi anche il monopolio della descrizione sociale della tecnologia”.

Servono valutazioni e benchmark indipendenti

Cosa serve in questa direzione?

“Servono valutazioni indipendenti, benchmark non costruiti esclusivamente dai produttori, maggiore trasparenza sulle collaborazioni tra industria e ricerca, e una comunicazione capace di distinguere la prestazione sperimentale di un modello dall’affidabilità di un prodotto utilizzato in un contesto reale. Dovremmo imparare a discutere dell’AI senza utilizzare né il vocabolario pubblicitario di chi la vende né quello apocalittico di chi la teme”.

Quali altre considerazioni si possono fare sul ruolo – innanzitutto regolatorio, di gestione e indirizzo – dell’Europa, e gli sviluppi portati avanti dalle imprese?

“C’è la necessità di superare la contrapposizione tra regolazione europea e capacità industriale. L’Europa non può limitarsi a stabilire le condizioni alle quali utilizzare tecnologie sviluppate altrove. Ma non deve neppure rinunciare ai propri valori per inseguire un modello di competizione fondato soltanto sulla scala e sulla velocità”.

La sovranità hi-tech è capacità di scegliere

Quindi, cosa fare?

“Serve una politica industriale costituzionalmente orientata: investimenti in capacità computazionale, cloud, dati, modelli aperti, cybersecurity e competenze, accompagnati fin dall’inizio da garanzie per i diritti fondamentali. La sovranità digitale richiede infrastrutture, energia, capacità di calcolo e strumenti comuni di approvvigionamento. Sovranità, naturalmente, non significa autarchia”.

Sovranità tecnologica, allora, cosa significa?

“È possedere la capacità concreta di scegliere tecnologie, fornitori e condizioni di utilizzo, evitando dipendenze che rendano puramente teorica l’autonomia politica. La sfida europea non consiste nel diventare meno europei per essere più competitivi. Consiste nel dimostrare che sicurezza, diritti, affidabilità e qualità democratica possono diventare anche elementi di una strategia industriale. La sovranità digitale, per un’impresa, non vuol dire sviluppare tutto internamente. Significa non perdere la capacità di scegliere”.