AI Act, applicabile dal 2 febbraio norma su sistemi di intelligenza artificiale vietati.  DLA Piper: le implicazioni per imprese e comparto mutui e prestiti

Lo scorso 2 febbraio è diventato pienamente applicabile l’art. 5 del Regolamento UE 2024/1689 (AI Act), dedicato alle pratiche di intelligenza artificiale (AI) vietate. Ai sensi di tale articolo, la commercializzazione, l’uso e la messa in servizio di una serie di sistemi di AI considerati incompatibili con i principi fondamentali dell’Unione Europea sarà oggetto di sanzioni, per una cifra massima di 35 milioni di euro o del 7% del fatturato globale annuo. Nello specifico, le norme sulle sanzioni saranno applicabili a partire dal 2 agosto 2025, ma l’autorità potrà irrogare sanzioni anche per condotte poste in essere prima di tale data.

L’applicabilità dei divieti rappresenta il primo passo verso una regolamentazione più ampia dell’intelligenza artificiale in Europa. E, benché allo stato attuale riguardi prevalentemente le Pubbliche Amministrazioni, comporta una serie di implicazioni importanti per le imprese, tra cui quelle che lavorano nel campo di mutui e prestiti.

“Pur essendo molti dei sistemi vietati rivolti alle Pubbliche Amministrazioni, le implicazioni per le imprese private sono significative. Alla luce di quanto sopra, è dunque fondamentale che le aziende avviino un processo volto a raggiungere piena conformità con l’AI Act, con un focus iniziale sui sistemi vietati, ma con una visione a lungo termine che includa la piena adesione agli obblighi futuri imposti dalla normativa”, spiega Giulio Coraggio, partner responsabile del dipartimento Intellectual property and technology dello studio legale internazionale DLA Piper.

I sistemi di intelligenza artificiale vietati dall’AI Act

Tra i sistemi vietati di cui all’articolo 5 dell’AI Act, cinque sono di particolare interesse anche per le imprese. Si tratta dei:

1. sistemi di punteggio sociale basati su comportamento o caratteristiche personali;
2. sistemi basati sullo scraping indiscriminato di immagini facciali per creare banche dati per il riconoscimento facciale;
3. sistemi che inferiscono emozioni in determinati contesti;
4. sistemi di AI manipolativi o che sfruttano vulnerabilità specifiche;
5. sistemi di categorizzazione biometrica per inferire determinate caratteristiche.

I sistemi basati su comportamento e caratteristiche personali e le implicazioni per i mutui

L’articolo 5 dell’AI Act vieta quei sistemi di intelligenza artificiale progettati per valutare o classificare persone fisiche o gruppi sulla base del loro comportamento sociale o di caratteristiche personali, laddove tale valutazione o classificazione possa comportare:

• un trattamento sfavorevole o pregiudizievole in contesti non collegati a quelli in cui i dati sono stati originariamente generati;
• un trattamento ingiustificato o sproporzionato rispetto al comportamento sociale osservato.

Un aspetto critico di questo divieto è la mancata specificazione del concetto di “trattamento sfavorevole o pregiudizievole”, del quale potranno essere date interpretazioni più o meno restrittive.

“Adottando un’interpretazione restrittiva, il divieto si applicherebbe solo a decisioni con un impatto significativo, come la concessione di mutui o prestiti basati su classificazioni algoritmiche – spiegano Giulio Coraggio e Federico Toscani di DLA Piper -. Tuttavia, un’interpretazione estensiva potrebbe includere qualsiasi decisione rilevante fondata su valutazioni algoritmiche, come l’attribuzione di offerte commerciali personalizzate in base al comportamento online dell’utente. Considerata la portata di un approccio estensivo, è plausibile che l’applicazione venga limitata alle situazioni di maggiore impatto. Tuttavia, rimane fondamentale attendere chiarificazioni interpretative per comprendere l’effettiva portata di tale divieto”. Dunque, tra gli altri, in questo ambito rientrano i sistemi di scoring per valutare il merito creditizio di chi richiede un finanziamento, nonché potenzialmente – laddove venisse adottata un’interpretazione estensiva – i sistemi di scoring per la presentazione di offerte commerciali personalizzate.

Sistemi di AI manipolativi che possono causare danni significativi

Particolare attenzione merita anche l’uso di sistemi di AI che utilizzano tecniche subliminali per influenzare il comportamento di persone o gruppi, inducendoli a prendere decisioni che non avrebbero altrimenti preso e che sono suscettibili di causare danni significativi. In questo ambito rientrano anche quei sistemi di AI che adoperano tecniche ingannevoli che sfruttano la vulnerabilità dovute all’età, alla disabilità o alla condizione sociale o economica, con l’effetto di distorcere il comportamento e causare un danno significativo.

“Queste disposizioni mirano a contrastare pratiche manipolative, ad esempio attraverso contenuti generati da sistemi di AI con finalità decettive – precisano Coraggio e Toscani -. Tuttavia, è importante sottolineare che il divieto si applica solo quando l’azione indotta comporta un danno significativo per il soggetto che la compie. Questo requisito esclude potenzialmente situazioni in cui, pur essendo presente una manipolazione, il danno derivante dalla stessa risulti trascurabile. Rimane dunque fondamentale attendere chiarimenti interpretativi per comprendere la reale portata di questa disposizione”.

Le misure preventive da mettere in campo. Azioni utili per le imprese

Cosa possono fare le imprese per assicurarsi che i propri sistemi di intelligenza artificiali siano conformi all’AI Act? Tre sono le misure preventive consigliate dallo studio legale DLA Piper:

1. mappare tutti i sistemi di AI utilizzati, sviluppati sia internamente che esternamente;
2. analizzare tutti i sistemi di AI utilizzati, con particolare riguardo ai sistemi che elaborano previsioni su comportamenti o caratteristiche sensibili degli individui, che possono influire sul comportamento dell’utente o essere utilizzati in ambito lavorativo;
3. valutare di escludere i sistemi che potrebbero risultare vietati, nonché condurre, per quei sistemi che potrebbero risultare ad alto rischio ai sensi dell’AI Act, una valutazione dell’impatto sui diritti fondamentali (FRIA) e ogni altra attività necessaria ai sensi della normativa al fine di valutare se e in quale misura tali sistemi possano essere utilizzati in modo legittimo.

“Rimane fondamentale monitorare attentamente l’evoluzione normativa e l’interpretazione delle disposizioni da parte delle autorità competenti, per verificare i margini di applicazione concreta dei divieti”, concludono i professionisti.