Alcuni Stati Si Mobilitano Presto per Regolare la Gestione del Rischio dell’IA
Negli Stati Uniti, un corsa globale all’IA potrebbe significare che gli stati americani sono i migliori posizionati per regolare i rischi legati all’intelligenza artificiale (IA). Recentemente, Colorado e Utah hanno promulgato legislazioni su come l’IA debba essere utilizzata con i consumatori, mentre altri stati enfatizzano leggi esistenti che affermano di avere un ruolo nella regolamentazione dell’IA.
In un mese, un decreto esecutivo emesso nel 2023, incentrato sulla sicurezza dell’IA, è stato abrogato e sostituito da un nuovo decreto che pone l’accento sulla leadership globale degli Stati Uniti nell’innovazione dell’IA. Questo avviene mentre nell’Unione Europea una direttiva sulla responsabilità, sviluppata nel 2022, è stata abbandonata a favore di un programma di lavoro per il 2025 più audace e semplice, con l’“ambizione di aumentare la competitività”.
Un approccio “muoviti in fretta e rompi le cose” verso una corsa agli armamenti della tecnologia emergente ha spesso degli svantaggi. Ad esempio, l’emergere di DeepSeek ha fornito uno sguardo su ciò che era precedentemente inimmaginabile: un modello linguistico di grandi dimensioni open-source utile per una vasta gamma di scopi, veloce, economico e scalabile. Tuttavia, nel giro di pochi giorni, è stato hackerato, citato in giudizio e screditato.
Mentre le nazioni combattono per la supremazia nell’IA rimuovendo le barriere e allentando le normative, l’anno scorso, 45 stati hanno introdotto leggi sull’IA e 31 stati hanno adottato risoluzioni o promulgato legislazioni. Complessivamente, centinaia di leggi in 23 categorie diverse legate all’IA sono state considerate. Due stati si distinguono, Colorado e Utah, per il loro focus sulla protezione dei consumatori.
La Legge sull’IA del Colorado
La Legge sull’Intelligenza Artificiale del Colorado (CAIA), che entrerà in vigore il 1° febbraio 2026, si applica a sviluppatori e distributori di sistemi IA ad alto rischio. Un sviluppatore è un’entità o un individuo che sviluppa o modifica sostanzialmente un sistema IA ad alto rischio, mentre un distributore è chi distribuisce tale sistema. Un sistema IA ad alto rischio è quello usato come fattore sostanziale nel prendere una decisione consequenziale.
Una decisione consequenziale è una decisione che ha un effetto legale materiale o significativamente simile sulla fornitura o negazione di beni o servizi a un consumatore, che includono istruzione, occupazione, servizi finanziari, servizi governativi, assistenza sanitaria, alloggio, assicurazione o servizi legali.
Le definizioni della CAIA possono sembrare astratte se non applicate a casi d’uso. Ma una caratteristica distintiva della CAIA sono le sue robuste tecniche di mitigazione, che includono un rifugio sicuro se si considera il Framework di Gestione del Rischio dell’IA del National Institute of Standards and Technology (NIST AI RMF) quando si elabora una Politica e un Programma di Gestione del Rischio, che sono richiesti.
Il NIST AI RMF fornisce indicazioni volontarie per individui e aziende su come gestire al meglio i rischi dell’IA durante il ciclo di vita di un sistema IA, spesso definito come l’implementazione di un’IA affidabile, che include caratteristiche come affidabilità, sicurezza, resilienza, responsabilità, trasparenza e equità.
La CAIA richiede che distributori e sviluppatori soddisfino determinati criteri per garantire di comprendere ciò che è necessario per proteggere i consumatori dai rischi conosciuti o prevedibili. Oltre a una politica e un programma di gestione del rischio, le entità coperte devono completare valutazioni d’impatto almeno annualmente e in alcuni casi entro 90 giorni da una modifica a un sistema IA.
Una valutazione d’impatto ai sensi della CAIA richiede una documentazione sostanziale. Ad esempio, l’assessment deve includere dichiarazioni, analisi, descrizioni e panoramiche dei dati utilizzati, metriche, descrizioni delle misure di trasparenza e monitoraggio post-distribuzione e salvaguardie per gli utenti.
La Legge sulla Politica dell’IA dello Utah
Anche lo Utah è un pioniere nella legislazione sull’IA. La Legge sulla Politica dell’Intelligenza Artificiale dello Utah (UAIP) è in vigore dal maggio 2024. Tra le altre cose, l’UAIP cerca di aumentare le protezioni per i consumatori e incoraggiare un’innovazione responsabile nell’IA, attraverso:
- Obbligo di trasparenza tramite requisiti di divulgazione ai consumatori;
- Chiarimento della responsabilità per le operazioni commerciali in IA, inclusi termini chiave e difese legali;
- Abilitazione dell’innovazione attraverso un sandbox normativo per lo sviluppo responsabile dell’IA, accordi di mitigazione normativa (RMA) e politiche e regolamenti da parte di un nuovo Ufficio per la Politica dell’Intelligenza Artificiale (OAIP).
L’inclusione statutaria degli RMA è un esempio unico di come lo Utah aspiri a bilanciare i potenziali rischi e ricompense dell’IA. L’UAIP definisce gli RMA come un accordo tra un partecipante, l’OAIP e le agenzie statali rilevanti, e definisce la mitigazione normativa come restituzione agli utenti, periodi di riparazione, multe civili se presenti e altri termini personalizzati per la tecnologia IA in cerca di mitigazione.
Sebbene non rappresenti esattamente un rifugio sicuro da tutte le responsabilità, gli RMA offrono a sviluppatori, distributori e utenti dell’IA l’opportunità di testare le conseguenze non volute in un ambiente relativamente controllato. A dicembre, l’OAIP ha annunciato di aver eseguito il suo primo RMA con ElizaChat, un’app che le scuole possono offrire agli adolescenti per la loro salute mentale.
Il RMA di 12 pagine con ElizaChat è notevole per i suoi molteplici riferimenti alla cybersecurity – un’area per la quale l’UAIP intende eventualmente stabilire standard – e ai programmi. Inclusi nel Programma A sotto la voce “Mitigazione Offerta” ci sono requisiti dettagliati che l’app ElizaChat deve soddisfare, inclusi un piano di test e obblighi di notifica nel caso si verifichino determinati incidenti.
Per quanto riguarda la responsabilità dell’IA, l’UAIP specifica e chiarisce che le aziende non possono incolpare l’IA per reati statutari. Il fatto che l’IA “abbia fatto l’affermazione violativa, abbia intrapreso l’atto violativo, o sia stata utilizzata per favorire la violazione” è irrilevante e non può essere utilizzato come difesa legale. L’UAIP contempla anche la creazione di standard di cybersecurity per l’IA attraverso l’OAIP.
L’UAIP stabilisce anche un Laboratorio di Apprendimento attraverso il quale le aziende possono collaborare con l’OAIP per sviluppare e testare responsabilmente soluzioni di IA. In questo modo, l’UAIP prepara il terreno per una nuova era di regolazione dell’IA, essendo la prima legge statale a incorporare opportunità di apprendimento trasversale per future regole e regolamenti.
Altri Stati Pronti a Regolare
Il giorno in cui è stato pubblicato questo articolo, la Virginia ha annunciato di aver approvato una legge sull’IA. Essa è simile alle Leggi dell’IA del Colorado e dello Utah, con riferimenti a divulgazioni sull’IA e standard di responsabilità e al NIST AI RMF. Anche il Connecticut ha reintrodotto “Una Legge riguardante l’IA” e il Nuovo Messico ha introdotto un progetto di legge anti-discriminazione algoritmica.
Non da meno, negli ultimi mesi, diversi procuratori generali degli stati hanno emesso linee guida su come intendono proteggere i consumatori e cosa si aspettano dalle organizzazioni che sviluppano, vendono e utilizzano l’IA. Nessuno più energicamente del procuratore generale Rosenblum dell’Oregon, che ha affermato: “Se pensi che il mondo emergente dell’IA sia completamente non regolato secondo le leggi dell’Oregon, ripensaci!”
Il procuratore generale Rosenblum discute di come la Legge sulle Pratiche Commerciali Illegali dell’Oregon, la Legge sulla Privacy dei Consumatori e la Legge sull’Uguaglianza influenzino l’implementazione dell’IA, fornendo anche sette esempi ai sensi della UTPA. Il procuratore generale Bonta della California ha seguito l’esempio una settimana dopo in un advisory di sette pagine, citando leggi simili e fornendo nove esempi di violazioni della sua legge sulla concorrenza sleale.
Come Prepararsi
È ancora presto, ma la regolamentazione dell’IA da parte degli stati e l’inclusione di framework di guida volontaria come il NIST AI RMF o gli RMA offrono, a un certo livello, punti di partenza iterativi per i tipi di standard industriali che emergeranno come obblighi legali. Pertanto, le organizzazioni dovrebbero considerare se le loro politiche, procedure e piani consentiranno loro di sfruttarli.
