Il Gap di Governance: Perché la Regolamentazione dell’IA Resterà Sempre Indietro
L’innovazione si evolve a velocità della macchina, mentre la governance si muove a velocità umana. Con l’adozione dell’IA in crescita esponenziale, la regolamentazione è in ritardo, cosa che è abbastanza tipica quando si tratta di tecnologia. Governi e altre entità in tutto il mondo si stanno affrettando a regolamentare l’IA, ma gli approcci frammentati e disomogenei abbondano.
La natura del gap: Innovazione prima, supervisione dopo
Il ritardo normativo è un sottoprodotto inevitabile del progresso tecnologico. Ad esempio, Henry Ford non stava sviluppando la Model T con un focus primario sulla sicurezza stradale e le regole del traffico. I modelli normativi seguono storicamente l’innovazione; esempi recenti includono la privacy dei dati, la blockchain e i social media. L’evoluzione rapida dell’IA supera la formazione e l’applicazione delle politiche. In altre parole, il carro è stato davanti al cavallo per un po’.
Una parte della sfida è che i legislatori spesso reagiscono al danno piuttosto che anticipare il rischio, creando cicli di governance reattiva. Il problema non è il ritardo stesso, ma piuttosto la mancanza di meccanismi adattivi per tenere il passo con i modelli di minaccia emergenti, e la mancanza di volontà di compromettere un vantaggio competitivo per motivi di sicurezza. È uno scenario di “corsa al ribasso”; stiamo erodendo la nostra sicurezza collettiva per guadagni locali.
Un mosaico globale di governance dell’IA rappresenta filosofie frammentate
Gli approcci principali alla governance dell’IA nel mondo variano notevolmente. Nell’UE, l’AI Act introdotto l’anno scorso è molto focalizzato sull’etica e sul rischio. L’uso dell’IA è valutato in base al livello di rischio, con alcuni considerati inaccettabili e quindi proibiti. Gli Stati Uniti, al contrario, hanno adottato un modello di sandbox normativa che enfatizza la flessibilità dell’innovazione. Alcuni potrebbero descriverlo come un’esclusione per l’innovazione, mentre i critici potrebbero definirlo un “assegno in bianco”.
Ci sono anche processi come quello di Hiroshima, che contengono intenti di coordinamento globale ma con un seguito limitato; ogni nazione del G7 è ancora focalizzata sulla propria dominanza nell’IA. Negli Stati Uniti, la questione è stata per lo più lasciata agli stati, il che garantisce effettivamente una mancanza di regolamentazione efficace. Gli stati stanno creando nuove sandbox per attrarre aziende tecnologiche e investimenti, ma è improbabile che ci sia una regolamentazione significativa a livello statale; solo eccezioni concesse.
Il Regno Unito ha lottato sia a livello domestico che internazionale per affermarsi come indipendente dopo la Brexit. Attraverso la deregulation e il programma “Leveling Up” del governo, l’introduzione di sandbox normative non sorprende. Il governo britannico desidera che il Regno Unito diventi una superpotenza dell’IA sia per vantaggi politici interni che esterni.
L’UE è più focalizzata sulla sicurezza del consumatore, ma anche sulla forza del suo mercato comune. Questo ha senso, data la storia dell’UE con la regolamentazione a macchia di leopardo. Conformità condivisa, norme e commercio transfrontaliero sono fondamentali per rendere l’UE ciò che è. Richiedono ancora sandbox normative, ma anche che ogni stato membro ne abbia una operativa entro la stessa data.
Questi sono solo alcuni degli esempi di regolamenti, ma senza dubbio i più prominenti. Il punto chiave è che ci sono strutture disgiunte che mancano di definizioni condivise, meccanismi di enforcement e interoperabilità transfrontaliera. Questo lascia lacune che gli aggressori possono sfruttare.
La natura politica dei protocolli
Nessuna regolamentazione dell’IA può essere veramente neutra; ogni scelta di design, guardrail e regolamento riflette interessi governativi o aziendali sottostanti. La regolamentazione dell’IA è diventata uno strumento geopolitico; le nazioni lo usano per garantire vantaggi economici o strategici. I controlli sulle esportazioni dei chip sono un esempio attuale; servono come governance indiretta dell’IA.
L’unica regolamentazione effettivamente introdotta finora è stata quella di ostacolare intenzionalmente un mercato. La corsa globale per la supremazia nell’IA mantiene la governance come un meccanismo di competizione piuttosto che di sicurezza collaborativa.
Sicurezza senza confini, ma governance con essi
Il problema principale qui è che le minacce abilitate dall’IA trascendono i confini mentre la regolamentazione rimane confinata. Le minacce in rapida evoluzione di oggi includono sia attacchi ai sistemi di IA che attacchi che utilizzano sistemi di IA. Queste minacce attraversano le giurisdizioni, ma la regolamentazione rimane segmentata. La sicurezza viene segregata in un angolo mentre le minacce attraversano tutta Internet.
Stiamo già iniziando a vedere l’abuso di strumenti di IA legittimi da parte di attori globali delle minacce che sfruttano controlli di sicurezza deboli. Ad esempio, sono state registrate attività malevole con l’uso di strumenti di creazione di siti IA che sono più simili a cloni e possono essere facilmente abusati per creare infrastrutture di phishing. Questi strumenti sono stati utilizzati per impersonare pagine di accesso per tutto, dai popolari servizi di social media alle agenzie di polizia nazionali.
Fino a quando i framework di governance non rifletteranno la struttura senza confini dell’IA, i difensori rimarranno costretti da leggi frammentate.
Da una regolamentazione reattiva a una difesa proattiva
Il ritardo normativo è inevitabile, ma la stagnazione non lo è. Abbiamo bisogno di governance adattativa e predittiva con framework che evolvano con la tecnologia; si tratta di passare da una regolamentazione reattiva a una difesa proattiva. Idealmente, questo potrebbe apparire come:
- Sviluppo di standard internazionali condivisi per la classificazione del rischio dell’IA.
- Partecipazione ampliata nella definizione degli standard oltre i principali governi e aziende.
- Promozione della diversità di pensiero nella governance.
- Un meccanismo per la segnalazione degli incidenti e la trasparenza.
Una mancanza di regolamenti porterà spesso anche a una mancanza di requisiti di reporting. È improbabile che ci sia un obbligo di informare il pubblico sui danni derivanti da errori o scelte di design all’interno delle sandbox normative nel prossimo futuro.
Pur non potendo mai scomparire, gap di governance collaborativi, trasparenti e inclusivi possono prevenire che diventi una vulnerabilità permanente nella sicurezza globale.
