- nexa - server-nexa.polito.it

un libro appena pubblicato "Conversazioni per un digitale sostenibile"
by Marco Pozzi Sept. 23, 2024

Sept. 23, 2024

Buongiorno partecipanti al Centro Nexa, mi permetto di scrivervi per segnalare un libro appena uscito sul tema del digitale sostenibile, pubblicato dall'editore Guerini: https://www.guerini.it/index.php/prodotto/sloweb-conversazioni-per-un-digit… Mi sembrano i temi di cui il Centro Nexa da tempo si occupa. Se vi sembra meritevole, vi saremmo grati poteste suggerirlo a vostri contatti a cui potrebbe interessare. Per ogni conservazione, suggerimento o critica potete scrivermi, sarà un piacere leggervi. Grazie a tutti, Marco Pozzi

2 1

Mailing list non raggiungibile durante lo scorso weekend
by Giovanni Garifo Sept. 23, 2024

Sept. 23, 2024

Carissime e Carissimi iscritti alla mailing list del Centro Nexa, Durante lo scorso weekend la mailing list non è stata raggiungibile a causa di una manutenzione elettrica effettuata dal Politecnico nelle sale che ospitano il nostro server mail. Ci scusiamo per l'inconveniente e per non avervi avvertito preventivamente, vi assicuriamo che, nel malaugurato caso in cui sia necessario effettuare ulteriori interventi, provvederemo a informarmi con largo anticipo con una comunicazione che indicherà il periodo di inattività del server. Un caro saluto, -- Giovanni Garifo IT Manager & Software Engineer Nexa Center for Internet & Society Politecnico di Torino - DAUIN Via Pier Carlo Boggio, 65/A - 10138 Torino w. nexa.polito.it/people/ggarifo l. linkedin.com/in/giovannigarifo

1 0

Call for papers - e-privacy XXXV@Brescia - 30 e 31 ottobre 2024
by Marco A. Calamari Sept. 23, 2024

Sept. 23, 2024

Il 30 e 31 ottobre 2024 a Brescia si terrà e-privacy XXXV «Privacy: tante norme, poca protezione» Quali reali tutele è in grado di offrire l’Europa, a fronte di tecnologie sempre più invasive, più sofisticate e più veloci nella loro diffusione? Sono sufficienti norme come il GDPR o l’AI act per frenare i sistemi che saranno disponibili fra due anni, quando questo Regolamento troverà piena applicazione? Il Call for Papers è aperto fino al 30 settembre. Trovate tutte le informazioni qui https://e-privacy.winstonsmith.org/ qui il link per presentare una proposta. https://e-privacy.winstonsmith.org/e-privacy-XXXV-proposta.html Vi aspettiamo.

1 0

MEMENTO | 116° Nexa Lunch Seminar | 25 settembre 2024, ore 13.00
by Nexa - Media Sept. 23, 2024

Sept. 23, 2024

Gentilissime, gentilissimi, Vi ricordiamo che mercoledì 25 settembre, dalle ore 13.00 alle ore 14.00, si terrà il 116° Nexa Lunch Seminar con un incontro dal titolo: "Bringing Archives to Life. Costruire Knowledge Graphs con i Large Language Models". Ospite dell'incontro: Giuseppe Futia (Fellow del Centro Nexa). L'incontro si terrà IN PRESENZA e ONLINE. SEDE FISICA dell'incontro: Centro Nexa su Internet e Società, Politecnico di Torino, Via Boggio 65/a, Torino (1° piano). Per accedere alla sala si raccomanda di suonare al citofono Portineria e di seguire le indicazioni segnalate lungo il percorso. QUI<https://nexa.polito.it/contatti> maggiori informazioni su come raggiungerci. STANZA VIRTUALE dell'incontro: https://didattica.polito.it/VClass/NexaEvent Per maggiori dettagli è possibile consultare la pagina web dell'evento: https://nexa.polito.it/lunch-116<https://nexa.polito.it/lunch-116/> Cordiali saluti, -- Valeria Bergantino Communication Manager Nexa Center for Internet & Society Politecnico di Torino - DAUIN Via Pier Carlo Boggio, 65/A - 10138 Torino web: https://nexa.polito.it/ mail: valeria.bergantino(a)polito.it<mailto:valeria.bergantino@polito.it> tel: 3473443585

1 0

Fiducia nelle istituzioni: l’AI Act e i diritti fondamentali, narrazione o realtà?
by Daniela Tafani Sept. 23, 2024

Sept. 23, 2024

Fiducia nelle istituzioni: l’AI Act e i diritti fondamentali, narrazione o realtà? Enrico Pelino - 19 settembre 2024 Abstract L’AI Act costituisce nella vulgata istituzionale la più avanzata disciplina giuridica del momento, anche in termini di garanzie. Viene raccontato come un avamposto di tutela della persona e, al tempo stesso, un sofisticato congegno normativo per dare sostegno e regole alle applicazioni, dilaganti, dell’intelligenza artificiale. Ma è davvero così? L’articolo esplora alcuni evidenti limiti del nuovo regolamento e avanza dubbi sul preteso approccio antropocentrico di cui sarebbe espressione. In realtà, ad avviso di chi scrive, l’AI Act segna addirittura, sotto alcuni profili, un arretramento dei diritti del cittadino digitale e incrina quindi l’aspettativa di protezione che costituisce il presupposto del rapporto di fiducia tra cittadini e istituzioni. ---- “Lo scopo del presente regolamento è migliorare il funzionamento del mercato interno e promuovere la diffusione di un’intelligenza artificiale (IA) antropocentrica e affidabile, garantendo nel contempo un livello elevato di protezione della salute, della sicurezza e dei diritti fondamentali sanciti dalla Carta dei diritti fondamentali dell’Unione europea…”: esordiscono in questo modo sia il primo considerando sia il primo articolo del nuovo regolamento dell’Unione europea 2024/1689, cd. “AI Act” o “AIA”. Lo scopo è segnato con rigore: l’uomo al centro, l’enfasi sui diritti fondamentali. Ne segue l’attesa legittima – se le parole hanno un senso – di un atto normativo ad approccio “costituzionale”, costruito, cioè, non solo pensando alle esigenze di mercato interno e alla sua facilitazione, ma introducendo anche uno statuto dei diritti della persona, ossia un’architettura di contrappesi, in chiave antropocentrica per l’appunto, che bilanci l’incidenza enorme del potere tecnologico. Si potrebbe obiettare: perché c’è bisogno di un arricchimento dei diritti o di tutele addirittura completamente nuove, non basta un richiamo all’esistente? La risposta è semplice: se le sfide sono inedite, e fino a qualche anno fa neppure immaginabili, devono esserlo anche le garanzie. Si pensi, per citare soltanto alcune novità, ai sistemi di inferenza di emozioni e intenzioni, implementati su larga scala e pervasivamente, attraverso machine learning o ai sistemi di categorizzazione biometrica o di social scoring. È chiaro che si attingono qui territori giuridici inesplorati, rispetto ai quali il diritto alla libertà e alla dignità umana costituiscono riferimenti opportuni, ma insieme sfocati, se non vengono declinati in modo più specifico. Ora dobbiamo verificare se l’AI Act contenga davvero l’auspicato decalogo di diritti avanzati che illuminano la nuova era del rapporto tra uomo e macchina, esercitando una spinta uguale e contraria all’incidenza dei sistemi di intelligenza artificiale sulla persona, sulla sua socialità, sul suo pensiero, sulle sue fragilità oppure quelle di esordio siano soltanto “parole, parole, vuote parole; niente dal cuore”[1]? Il confronto con il GDPR Quando va alla ricerca di una legge dal taglio “costituzionale”, il giurista digitale non ha dubbi, guarda al GDPR. Del resto, il regolamento generale sui dati personali, nei limiti del suo oggetto, costituisce un riferimento normativo imprescindibile anche in tema di intelligenza artificiale; peraltro, ha fornito la matrice per il testo di alcune disposizioni dell’AI Act. Bene, anche il GDPR esordisce con una premessa dal sapore costituzionale “the processing of personal data should be designed to serve mankind” (cons. 4), che è anche una promessa mantenuta, se si considera che la tessitura giuridica della legge sviluppa senza alcun dubbio un solido guscio protettivo attorno all’individuo. Si pensi al ricco elenco di diritti agli articoli dal 12 al 22 e ancora all’art. 34, alle tre disposizioni sui mezzi di ricorso, artt. 77-79, alla norma speciale sul risarcimento del danno, l’art. 82, giacché i diritti sono vuoti senza mezzi di ricorso e senza ristoro del danno. Una serie di altre tutele essenziali della persona è inoltre desumibile dall’intero impianto normativo del regolamento del 2016, innanzitutto dagli artt. 5 e 25, dalla delimitazione di basi tassative agli artt. 6 e 9, dall’introduzione di presìdi come il DPO, giusto per scorrere rapidamente e a macchia di leopardo alcune delle norme di spicco. Tuttavia, quando ci si sposta sull’AI Act per tracciare un confronto, si resta oltremodo perplessi. Per prima cosa, è irragionevolmente sparito dall’articolato finale l’emendamento del Parlamento UE (art. 4 a) recante il fondamentale (anche per la vicenda istituzionale da cui origina) elenco dei principi generali applicabili a tutti i sistemi di intelligenza artificiale, che troviamo retrocesso a elenco di principi etici non vincolanti, cfr. considerando 27 AIA, i quali fungeranno – almeno questo – da base per l’elaborazione di codici di condotta. È vero che alcuni di essi riaffiorano isolatamente in altre disposizioni, ma resta la constatazione che abbiamo un atto privo di un articolo dedicato a raccogliere unitariamente i principi vincolanti, e non appare buon segno, almeno non in prospettiva antropocentrica. La scelta ha del resto una sua logica: i principi pongono altrettanti limiti alla libertà di azione e di impresa e offrono spiacevoli spunti in sede contenziosa, come insegna la ricca giurisprudenza della Corte di giustizia sull’art. 5 GDPR. Procedendo nella disamina, scopriamo che sono riconosciuti alla persona due soli diritti, quello di reclamo all’autorità di vigilanza del mercato e quello alla spiegazione della decisione automatizzata. Entrambi sfortunatamente ricevono una disciplina molto circoscritta. La disposizione sul reclamo, art. 85 AIA, pur utilizzando nella parte iniziale l’ottimo calco dell’art. 77 GDPR, se ne distanzia poi in maniera alquanto deludente. Il reclamo è trattato, significativamente, come un reclamo sulla conformità dei prodotti, ai sensi del Reg. (UE) 2019/1020, non è assistito dalla fissazione, a livello unionale, di termini minimi di riscontro, come i tre mesi contemplati nel GDPR, da informazioni sull’esito e sull’impugnazione o da regole di riparto di giurisdizione, né figura una disciplina ad hoc relativa a reclami che abbiano natura transfrontaliera. Manca la precisazione del diritto di essere ascoltati in contraddittorio (questo invero anche nel GDPR). Soprattutto, è assente una chiara indicazione sulla reclamabilità da parte dei gruppi o relativa alla lesione di interessi di gruppo, nonostante il riferimento al “gruppo” come formazione sociale a rischio di discriminazione ricorra nel regolamento sull’intelligenza artificiale. Certo, molti di questi elementi possono essere recuperati da altri istituti del sistema giuridico, attraverso opera di paziente cucitura, ma una norma autosufficiente avrebbe notevolmente giovato, anche in termini di uniformità nell’Unione e di facilitazione interpretativa. Chi scrive tende ad avvertire “antropocentrico” in questo modo. Manca altresì il riconoscimento di un diritto alla tutela giurisdizionale, clamorosa assenza, come manca una disposizione dedicata all’impugnazione delle decisioni dell’autorità di vigilanza del mercato. Tale rimedio, che pure era stato introdotto dal Parlamento UE nel pacchetto di emendamenti del 2023, è poi sparito dal testo finale, senza clamori nella pur copiosa e alquanto ripetitiva (mi sia permesso) fioritura dottrinale dell’ultima stagione. Anche in questo caso, si supplisce attingendo da altre fonti, come l’art. 19 TUE e l’art. 47 CDFUE, tuttavia, l’omissione, ancorché rimediabile attraverso norme di sistema, o talora attraverso discipline di settore quali la dir. UE 2020/1828, appare – proprio per questo – eloquente dell’attenzione realmente riservata alla persona fisica e ai gruppi nella nuova legge sull’intelligenza artificiale. Siamo davvero ben distanti dalla logica, e dall’utilità concreta, degli articoli 78 e 79 GDPR. Peraltro, la presenza di disposizioni omologhe nell’AI Act avrebbe facilitato lo sviluppo di pronunce della Corte di giustizia, come è avvenuto in materia di dati personali. Ugualmente, non si trova alcun riferimento al risarcimento del danno, specialmente il danno da discriminazione, insidiosissimo e di difficile dimostrazione, che avrebbe richiesto meccanismi di inversione dell’onere della prova e altre facilitazioni. Non a caso, per trovare disposizioni mirate al contesto in esame occorre ricorrere ad altri strumenti giuridici, il cui principale, la AILD (AI Liability Directive) si trova allo stato di mera proposta, non è in ogni caso un regolamento, e appare, al momento in cui si scrive, in fase di evidente stallo nell’iter legislativo. Allo stato della normativa applicabile, il danno è ovviamente risarcibile secondo le ordinarie regole civilistiche oppure, ove applicabile, utilizzando il regime di favore dell’art. 82 GDPR, scontentando tuttavia chi auspicava che la peculiare invasività delle applicazioni di intelligenza artificiale dovesse trovare espressione, già nel contesto del nuovo regolamento dedicato, in una disciplina risarcitoria altrettanto peculiare per persone e gruppi. La compressione del diritto alla spiegazione Quanto al diritto alla spiegazione, presidio imprescindibile in tema di intelligenza artificiale, cominciamo con l’osservare che è riconosciuto (ma soltanto a seguito di un emendamento del Parlamento UE), limitatamente ai soli sistemi ad alto rischio di cui all’Allegato III. Ne risultano perciò non solo irragionevolmente esclusi quelli, di pari rischio, individuati in base ai criteri di cui al primo paragrafo dell’art. 6, ma anche, a monte, le pratiche proibite elencate all’art. 5, come se non sussistesse anche in tali casi la legittima pretesa di comprenderne la logica, non foss’altro in occasione di contenzioso. Sono altresì esclusi, a valle, i modelli per finalità generale (General Purpose AI). È una limitazione di cui sfugge la ratio: perché non assicurare un diritto generale alla spiegazione? Giova qui osservare che il diritto alla spiegazione è una valvola vitale del sistema, è cioè fondamentale per superare il primo e più ovvio ostacolo dinanzi ai risultati prodotti dai sistemi di intelligenza artificiale, l’opacità. La spiegazione costituisce altresì un precursore per l’esercizio di altri diritti, tra cui quello di difesa e quello di contestare i risultati automatici, che, diversamente, assumerebbero un significato oracolare. Come infatti rilevato dalla Corte di giustizia nell’arresto del 21 giugno 2022, Ligue des droits humains, C‑817/19, punto 195: “Tenuto conto dell’opacità che caratterizza il funzionamento delle tecnologie di intelligenza artificiale, può risultare impossibile comprendere la ragione per la quale un dato programma sia arrivato ad un riscontro positivo. In tali circostanze, l’uso di siffatte tecnologie potrebbe privare gli interessati anche del loro diritto a un ricorso giurisdizionale effettivo sancito dall’articolo 47 della Carta”. Va altresì ricordata la pregevole giurisprudenza sviluppata dal Consiglio di Stato, a partire da clausole generali, in tema di spiegabilità in ambito pubblico delle decisioni automatizzate, es. ex multis sez. VI, sent. 4 febbraio 2020, n. 881. L’obiezione che molti sistemi non siano spiegabili è un dato di fatto, non di diritto. Inserire l’obbligo di una spiegazione incide sui criteri di progettazione. Va poi notato che nell’AI Act l’istituto in parola è limitato ai soli risultati qualificabili come “decisioni”, termine non definito e dunque dai lembi concettuali incerti. A parere di chi scrive, è particolarmente scivoloso il confine tra “decisione” e “raccomandazione”, parola presente anch’essa nell’AI Act e altrettanto non definita, e perplessità simili possono essere estese anche alla “previsione”, in considerazione del fenomeno ben noto dell’automation bias, vale a dire il condizionamento subito dal decisore umano rispetto al risultato della macchina, anche quando la stessa si limita a raccomandare o perfino a restituire un contenuto. In tal caso potrebbe risultare utile, mutatis mutandis, un riferimento allo storico della Corte di giustizia, penso alla sentenza 7 dicembre 2023, Schufa Holding, C‑634/21.Infine, il diritto alla spiegazione può essere esercitato solo nei confronti del deployer. Vero che si tratta dell’anello più prossimo all’interessato, ma non si comprende il perché, in definitiva, di una limitazione a risalire la filiera. Ora, dobbiamo chiederci se un diritto alla spiegazione così circoscritto aggiunga davvero qualcosa alle garanzie già sussistenti, ossia all’analogo diritto già previsto dal GDPR oppure a quanto desumibile, con ampiezza ancora maggiore, dai principi generali del diritto. Si può dubitarne: il diritto alla spiegazione[2] riconosciuto nel regolamento sui dati personali sembra, a una prima analisi, intercettare un’area di maggiore ampiezza (quantomeno rispetto alle persone fisiche), riguardando tutti processi decisionali unicamente automatizzati, ambito assai maggiore di quello dell’AI. Inoltre, non pone limiti connessi al livello di rischio, include la pretesa di essere preventivamente informati sull’importanza e le conseguenze per l’interessato ed è accompagnato dal riconoscimento, sia pure con alcuni limiti, di un connesso diritto alla contestazione della decisione. Otto anni più tardi, e dinanzi a fenomeni esponenzialmente più invasivi, si sarebbe dovuti partire da questa base e allargare, anziché restringere, l’area di tutela. Addirittura, l’attuale art. 86 AIA non prevede neppure che siano fornite spiegazioni in relazione ai dati di input, come era invece previsto nell’emendamento originario del Parlamento UE. In definitiva, la disciplina che dovrebbe segnare la nuova era del rapporto tra uomo e macchina fallisce sul più essenziale e più umano dei diritti. Antropocentrico… sì, ma senza anthropos Ancora più imbarazzante è, a ben vedere, che il protagonista, l’uomo, non abbia trovato spazio nel pur lunghissimo elenco di definizioni di cui all’art. 3 AIA. Le definizioni in un atto normativo europeo, e soprattutto in un atto con questo oggetto e con queste ambizioni, sono i blocchi concettuali della successiva costruzione. Ebbene, all’art. 3 troviamo definiti tutti gli attori, ci sono il fornitore, il deployer, il distributore, l’importatore, ma, paradossalmente, manca una voce dedicata alla persona fisica o al gruppo di persone che subisce l’impatto delle applicazioni intelligenza artificiale. Eppure, approccio antropocentrico vuol dire, si converrà, che la persona e i gruppi sono protagonisti. Non si tratta di un formalismo, così come nel GDPR la nozione di “interessato” non è un formalismo, e non è un caso che il Parlamento UE avesse adottato un emendamento apposito diretto a introdurre la definizione di “affected person”, caldeggiato autorevolmente nell’opinione congiunta n. 5/2021 da EDPB ed EDPS, vale a dire dai massimi riferimenti istituzionali in materia di protezione dei dati personali e nuovamente dall’EDPS ancora nell’opinione n. 44/2023. L’espunzione dell’emendamento nel testo finale appare perciò rispondere a un calcolo deliberato. In buona sostanza, oggi per definire le affected person o i gruppi discriminati occorre ricorrere a perifrasi oppure utilizzare, atecnicamente e con imprecisione, il termine “interessato”, come leggiamo per esempio all’art. 2.1.g), al 50 o all’art. 86 AIA. La realtà è che il focus dell’AI Act è, ed è sempre stato, al di là di ipocrisie di facciata, sul mercato, sulla safety e sulla security, non sui diritti fondamentali. L’operazione finale approdata in Gazzetta resta in ogni caso, a parere di chi scrive, spiccatamente mercato-centrica. Anche così, tuttavia, qualche forma di tutela alla persona indirettamente perviene. Il riferimento più ovvio è all’art. 5, che elenca le pratiche di AI proibite. Da tali divieti emergono, a contrario, altrettanti diritti, ossia pretese giuridicamente fondate di non essere fatti oggetto delle pratiche vietate e di poterlo contestare, attraverso strumenti di ricorso da cercare non di rado altrove nel sistema giuridico. È però un fatto che l’elenco delle pratiche vietate – per lunghissimo tempo oggetto di contesa politica nel corso dell’iter normativo – risulti assai limitato, falcidiato da numerose eccezioni e soprattutto permeabile, dato che spesso a formulazioni ampie e astratte si sono preferite formulazioni precise e alquanto strutturate. In definitiva, l’articolo 5, se da un lato introduce opportuni divieti, dall’altro fa filtrare molto, finendo per autorizzare (almeno in prima battuta) ciò che non è puntualmente vietato, incluse per esempio alcune forme di social scoring. Facciamo un esempio per chiarirci, riprendendo un altro dei temi di apertura di questo articolo, quello dell’inferenza di emozioni e intenzioni. Il legislatore europeo rivela piena consapevolezza della dubbiosa affidabilità di tali tecniche: “Tra le principali carenze di tali sistemi figurano la limitata affidabilità” (considerando 44), dovuta anche alla circostanza che “l’espressione delle emozioni varia notevolmente in base alle culture e alle situazioni e persino in relazione a una stessa persona”. Nondimeno, e con una certa incoerenza, limita il divieto di tali sistemi ai soli settori dell’istruzione e dell’occupazione, qualificando le altre applicazioni come trattamento solo ad alto rischio, ma perfettamente lecito. Ne viene normalizzata con ciò la percezione. La disciplina dei trattamenti ad alto rischio è, sì, presidiata da una serie di norme di dettaglio, ma non appare, in tutta onestà, eccessivamente stringente. Sono state superate diverse linee rosse, culturali e giuridiche. L’obiezione maggiore a tali pratiche non sta tanto, o comunque non solo, nella precisione (magari perfettibile), ma nella sostanza, vale a dire nel fatto che determinano l’invasione di un luogo sacro, quello della pace mentale. In definitiva, infatti, attraverso le espressioni si cerca di catturare, sia pure dall’esterno, le reazioni che avvengono nel chiuso della mente. Non è chi non colga il significato giuridico e culturale profondo del normalizzare queste pratiche. Vuol dire varcare una frontiera, viene sfondata l’ultima parete a protezione dei neurodiritti, un tabù, oltre il quale esistono solo forme odiose di compressione dell’unico luogo rimasto ormai privato, quello chiuso nella scatola cranica. Possiamo facilmente immaginare uno scenario distopico in cui chi vuole tutelarsi dalla lettura delle emozioni è costretto a non mostrarle più. Ciò non vuol dire che non possano essere ravvisati divieti all’inferenza emotiva, ma in larga misura vanno cercati all’esterno dell’AI Act. E tuttavia, proprio la circostanza che il giurista sia costretto a volgersi altrove rivela il sostanziale fallimento, sul piano umano, della legge che ci occupa. Conclusioni Tolto l’elenco delle pratiche vietate per rischio inaccettabile, resta una manciata, assai modesta, di garanzie, soprattutto nel caso di trattamenti ad alto rischio, quali la FRIA (Fundamental Rights Impact Assessment), comunque limitata quanto ai soggetti obbligati; il circoscritto diritto alla spiegazione già toccato; e poco altro. Anche gli obblighi di informazione rispetto ai sistemi di AI destinati a interagire con le persone fisiche sono, in tutta franchezza, assai basici, ossia lontani dalla ricchezza informativa desiderabile. Prescindono dai limiti di questo articolo riflessioni più ampie e più analitiche, tuttavia già dai pochi cenni sviluppati emerge, credo, un quadro fortemente carente rispetto sia alle premesse sia alle legittime attese che la prima legge dell’Unione dedicata all’intelligenza artificiale autorizzava. Affiorano in definitiva contraddizioni lampanti rispetto alla vantata centralità dell’essere umano. L’impressione è rafforzata dalla constatazione che la maggior parte dei diritti e delle tutele va infatti cercata altrove, nel sistema giuridico complessivamente inteso e nelle leges speciales fatte salve. In definitiva, il regolamento più recente e più atteso, anziché tesaurizzare dal passato ed eccellere in quello che fino a qualche tempo addietro era stato il primato dell’Unione, ossia un’attenzione ai diritti ben calibrata da meccanismi fini di bilanciamento, espone sul piano strettamente umano, a parere di chi scrive, una soluzione di modesto profilo, a ribasso, titubante: non andava scontentata un’industria che si stenta a inseguire. Certo, le lacune potranno essere colmate in via interpretativa, con percorsi incerti e onerosi, o potranno essere riempite da nuovi provvedimenti normativi più puntuali, ma la sensazione è che l’effetto “Bruxelles”, ossia la forza trainante che trasforma gli atti normativi dell’Unione in modelli mondiali da imitare, sarà qui alquanto contenuto. L’effetto “Bruxelles” in passato poggiava infatti non solo sulla portata innovatrice, sulla chiarezza degli istituti giuridici, ma altresì sulla forza etica e sulla rigorosa tutela della persona, sul coraggio, in altre parole, di disturbare centri di potere, nella convinzione che una società più equilibrata è più sana. Non che non siano contenute norme di pregio nell’AI Act, come l’art. 10 sulla governance dei dati, l’art. 14 che impone una progettazione dei sistemi ad alto rischio che permetta supervisione umana o l’art. 15, volto a precisare parametri minimi di cybersecurity, per portare solo alcuni esempi, tuttavia, l’impressione è che laddove nel mondo le istanze antropocentriche saranno avvertite con intensità appare assai dubbio che l’esempio a cui guardare sarà rappresentato dal nuovo regolamento sull’intelligenza artificiale. Ciò osservato, l’AI Act riesce probabilmente più efficace nello scopo pratico di facilitazione del mercato interno, ancorché si avverta anche in questo caso l’impressione di un’impronta più burocratica che sostanziale in molti dei processi introdotti. NOTE [1] Shakespeare, Troilo e Cressida, V.3, trad. C.V. Lodovici, Torino, 1974. [2] Ritiene lo scrivente che gli istituti richiamati agli artt. 13.2.f), 14.2.g), 15.1.h) e 22.3 GDPR vadano letti alla luce del “diritto… di ottenere una spiegazione della decisione” ricordato al considerando 71 GDPR. <https://digeat.info/articolo-rivista/digeat32024-pelino/>

1 0

AI Training is Copyright Infringement
by Daniela Tafani Sept. 23, 2024

Sept. 23, 2024

Press Release: A computer scientist and a legal scholar shed light on the black box of processing steps in AI training - for the first time on this scale. The presentation of the interdisciplinary study “Copyright & Training of Generative AI - Technological and Legal Foundations” took place today in the European Parliament. In spring, the Copyright Initiative commissioned Prof. Dr. Tim W. Dornis (University of Hannover) in collaboration with Prof. Dr. Sebastian Stober (University of Magdeburg) with a tandem expert opinion on the technological and legal aspects of training generative AI models. Their interdisciplinary research provides urgently needed new insights into the technically necessary intermediate steps in the training of generative artificial intelligence. For the first time on this scale, a computer scientist and a legal scholar are jointly creating evidence regarding the processing steps in AI training. During the event, many open questions about protected materials were answered in a well-founded, reliable manner and in line with the current state of the art. The work of Prof. Dornis and Prof. Stober focuses on the copyright assessment of the processing of protected material in AI training: “As a closer look at the technology of generative AI models reveals, the training of such models is not a case of text and data mining. It is a case of copyright infringement – no exception applies under German and European copyright law,” says Prof. Dornis. Prof. Stober explains that “parts of the training data can be memorized in whole or in part by current generative models - LLMs and (latent) diffusion models - and can therefore be generated again with suitable prompts by end users and thus reproduced.” Axel Voss, MEP and host of today's event in the European Parliament, expressly thanks the scientists Dornis and Stober and is pleased that “the study not only proves that the training of Generative AI models is not covered by text and data mining, but that it also provides further important indications and suggestions for a better balance between the protection of human creativity and the promotion of AI innovation.” “This study is explosive because it proves that we are dealing with large-scale theft of intellectual property. The ball is now in the politicians' court to draw the necessary conclusions and finally put an end to this theft at the expense of journalists and other authors,” commented Hanna Möllers, legal advisor to the DJV and representative of the European Federation of Journalists (EFJ). Katharina Uppenbrink, Managing Director of the Initiative Urheberrecht, emphasizes: “It is a groundbreaking result if we now have proof that the reproduction of works by an AI model constitutes a copyright-relevant reproduction and, in addition, that making them available on the European Union market may infringe the right of making available to the public.” The composer and spokesperson for the Copyright Initiative, Matthias Hornschuh, comments: “There would be a new, profitable licensing market on the horizon, but no remuneration is flowing, while generative AI is preparing to replace those whose content it lives from in its own market. This jeopardizes professional knowledge work and cannot be in the interests of society, culture or the economy. All the better that the authors of our tandem study provide the technological and copyright basis for finally turning the legal consideration of generative artificial intelligence from its head to its feet.” Dornis, Tim W. and Stober, Sebastian, Copyright and training of generative AI models - technological and legal foundations (September 4, 2024). https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4946214 (in German) Please find below the downloads: The abstract can be found below and here (in English and German language): <https://urheber.info/media/pages/diskurs/ai-training-is-copyright-infringem…> The executive summary: <https://urheber.info/media/pages/diskurs/ai-training-is-copyright-infringem…> The presentation in Berlin will take place at the end of September. <https://urheber.info/diskurs/ai-training-is-copyright-infringement>

13 52

Re: [nexa] La regolamentazione UE su IA è frammentata, incerta ed incoerente
by Antonio Sept. 23, 2024

Sept. 23, 2024

> ho letto anche io la lettera, sul giornale. Hanno acquistato un'intera pagina su tutti i maggiori giornali. Dando per buono (e non lo è) quanto scritto, un pronome è sicuramente sbagliato: "chiunque", ed è su quello che si potrebbe fare leva per una critica. "Il primo riguarda lo sviluppo dei modelli "aperti", che sono resi disponibili gratuitamente per essere utilizzati da chiunque, modificati e sviluppati, moltiplicandone così i benefici e offrendo opportunità sociali ed economiche." FALSO Utilizzati da pochissimi e modificati e sviluppati da ancor meno gente. Diciamo una decina di aziende in tutta Europa, il cui obiettivo è molto lontano da quello di dare opportunità sociali. A.

2 2

Copyright law makes a case for requiring data information rather than open datasets for Open Source AI - Felix Reda
by Stefano Zacchiroli Sept. 23, 2024

Sept. 23, 2024

https://opensource.org/blog/copyright-law-makes-a-case-for-requiring-data-i… (Personalmente ne traggo una conclusione diversa da Felix, ovvero che bisognerebbe quindi agire per *cambiare* il copyright in modo che permetta di incorporare lavori protetti in dataset aperti, anziché limitarsi alla data mining exception. È quella eccezione che ha creato il disequilibrio di potere che avvantaggia le aziende come Open AI in questo momento. Ma resta una delle letture più interessanti che mi è capitato di leggere a supporto della posizione di compromesso adottata in OSAID.) -- Stefano Zacchiroli . zack(a)upsilon.cc . https://upsilon.cc/zack _. ^ ._ Full professor of Computer Science o o o \/|V|\/ Télécom Paris, Polytechnic Institute of Paris o o o </> <\> Co-founder & CTO Software Heritage o o o o /\|^|/\ https://twitter.com/zacchiro . https://mastodon.xyz/@zacchiro '" V "'

4 6

Tecnologia e società
by Alessandro Brolpito Sept. 22, 2024

Sept. 22, 2024

Buonasera, Un interessante articolo su come la Silicon Valley sta cambiando pelle. Buona lettura, Alessandro ____ Breve sintesi: una nuova generazione di imprenditori digitali, tra cui Musk e il fondatore di Paypal, predica il superamento della democrazia. Articolo completato: https://www.repubblica.it/esteri/2024/09/22/news/usa_2024_trump_kamala_harr…

1 0

Social media and online video firms are conducting ‘vast surveillance’ on users, FTC finds
by Alberto Cammozzo Sept. 20, 2024

Sept. 20, 2024

<https://www.theguardian.com/technology/2024/sep/19/social-media-companies-s…> www.theguardian.com Social media and online video firms are conducting ‘vast surveillance’ on users, FTC finds Johana Bhuiyan Social media and online video companies are collecting huge troves of your personal information on and off their websites or apps and sharing it with a wide range of third-party entities, a new Federal Trade Commission (FTC) staff report on nine tech companies confirms. The FTC report published on Thursday looked at the data-gathering practices of Facebook, WhatsApp, YouTube, Discord, Reddit, Amazon, Snap, TikTok and Twitter/X between January 2019 and 31 December 2020. The majority of the companies’ business models incentivized tracking how people engaged with their platforms, collecting their personal data and using it to determine what content and ads users see on their feeds, the report states. The FTC’s findings validate years of reporting on the depth and breadth of these companies’ tracking practices and call out the tech firms for “vast surveillance of users”. The agency is recommending Congress pass federal privacy regulations based on what it has documented. In particular, the agency is urging lawmakers to recognize that the business models of many of these companies do little to incentivize effective self-regulation or protection of user data. “Recognizing this basic fact is important for enforcers and policymakers alike because any efforts to limit or regulate how these firms harvest troves of people’s personal data will conflict with their primary business incentives,” FTC chair Lina Khan said in a statement. “To craft effective rules or remedies limiting this data collection, policymakers will need to ensure that violating the law is not more lucrative than abiding by it.” The FTC is also asking that the companies mentioned in the report invest in “limiting data retention and sharing, restricting targeted advertising, and strengthening protections for teens”. Notably, the report highlights how consumers have little control over how these companies use and share their personal details. Most companies collected or inferred demographic information about users such as age, gender and language. Some collected information about household income, education and parental and marital status. But even when this type of personal information was not explicitly collected, some companies could analyze user behavior on the platform to deduce the details of their personal lives without their knowledge. For instance, some companies’ user interest categories included “baby, kids and maternity”, which would reveal parental status, or “newlyweds” and “divorce support”, which would reveal marital status. This information was then used by some companies to tailor what content people saw to increase engagement on their platforms. In some cases, that demographic information was shared with third-party entities to help target them with more relevant advertisements. Whatever product was in use, it was not easy to opt out of data collection, according to the FTC. Nearly all the companies said they fed personal information to automated systems, most often to serve content and advertisements. On the flipside, almost none of them offered “a comprehensive ability to directly control or opt-out of use of their data by all Algorithms, Data Analytics, or AI”, per the report. Several firms say it’s impossible to even compile a full list of who they share your data with. When the companies were asked to enumerate which advertisers, data brokers or other entities they shared consumer data with, none of these nine firms provided the FTC with a full inventory. The FTC also found that despite evidence that children and teens use many of these platforms, many of the tech companies reported that, because their platforms are not directed at children, they do not need different data-sharing practices for children under 13 years of age. According to the report, none of the companies reported having data-sharing practices that treated the information collected about and from 13- to 17-year-olds via their sites and apps differently than adult data, even though data about minors is more sensitive. The FTC called the companies’ data-minimization practices “woefully inadequate”, finding that some of the companies did not delete information when users requested it. “Even those Companies that actually deleted data would only delete some data, but not all,” the report stated. “That is the most basic requirement,” said Mario Trujillo, a staff attorney at the Electronic Frontier Foundation. “The fact that some weren’t doing that even in the face of state privacy laws that require it proves that stronger enforcement is needed, especially from consumers themselves.” Some of the firms have disputed the report’s findings. In a statement, Discord said the FTC report was an important step but lumped “very different models into one bucket”. “Discord’s business model is very different – we are a real-time communications platform with strong user privacy controls and no feeds for endless scrolling. At the time of the study, Discord did not run a formal digital advertising service,” Kate Sheerin, Discord’s head of public policy in the US and Canada, said in a statement. A Google spokesperson said the company had the strictest privacy policies in the industry. “We never sell people’s personal information and we don’t use sensitive information to serve ads. We prohibit ad personalization for users under 18 and we don’t personalize ads to anyone watching ‘made for kids content’ on YouTube,” said Google spokesperson, José Castañeda. The other firms either did not provide an on-the-record comment or did not immediately respond to a request for comment. However, if companies dispute the FTC’s findings, the onus is on them to provide evidence, says the Electronic Privacy Information Center (Epic), a Washington DC-based public interest research organization focused on privacy and free speech. “I used to work in privacy compliance for companies, and let’s just say I believe absolutely nothing without documentation to back up claims,” said Epic global privacy counsel, Calli Schroeder. “And I agree with the FTC’s conclusion that self-regulation is a failure. Companies have repeatedly shown that their priority is profit and they will only take consumer protection and privacy issues seriously when failing to do so affects that profit.”

2 1