Rischio di Innovazione: Il Dilemma della Regolamentazione AI a New York

AI Safety o Congelamento dell’Innovazione? – Cosa Sbaglia il RAISE Act di New York

Il Responsible AI Safety and Education Act (RAISE Act), recentemente approvato dal legislatore dello Stato di New York, cerca di affrontare i rischi fondamentali posti dai modelli di intelligenza artificiale avanzata. Tuttavia, imponendo obblighi esclusivamente ai sviluppatori di tali modelli, trascura l’intera catena del valore dell’intelligenza artificiale, soffocando l’innovazione senza migliorare significativamente la sicurezza.

Il 12 giugno 2025, il legislatore dello Stato di New York ha approvato il RAISE Act, ora in attesa di approvazione da parte del governatore Kathy Hochul. Questa misura segue il One Big Beautiful Bill Act, che originalmente contemplava un moratorium decennale sulla regolamentazione dell’IA a livello statale, ma non ha mai adottato un congelamento di questo tipo. Il RAISE Act rappresenta il primo importante tentativo di regolamentare l’IA avanzata a New York e negli Stati Uniti, poiché si applica non solo a tutti i modelli avanzati sviluppati nello Stato, ma anche a qualsiasi modello reso disponibile ai residenti di New York.

Obblighi dei Sviluppatori

Prendendo spunto dall’AI Act dell’UE e dal SB 1047 della California, il RAISE Act mira a garantire la sicurezza dei “modelli avanzati”, definiti come modelli di IA il cui costo di addestramento supera i 100 milioni di dollari e che superano una certa soglia computazionale. La legge mira a prevenire l’abuso che potrebbe causare “danni critici”, definiti come la morte o lesioni gravi di almeno 100 persone, o danni economici di oltre 1 miliardo di dollari.

In particolare, si presta attenzione al potenziale utilizzo in armi chimiche, biologiche, radiologiche o nucleari, nonché alla condotta “autonoma” di modelli avanzati che, se compiuti da un essere umano, costituirebbero crimini gravi secondo il codice penale di New York.

Secondo il RAISE Act, prima di rilasciare un modello avanzato, uno sviluppatore deve:

1. implementare protocolli di sicurezza e protezione, inclusi i rischi creati da usi di terzi del modello al di fuori del controllo dello sviluppatore,
2. pubblicare chiaramente tali protocolli e trasmetterli alla Divisione della Sicurezza Nazionale e dei Servizi di Emergenza,
3. implementare salvaguardie per prevenire rischi irragionevoli di danno critico, senza criteri per ciò che costituisce una salvaguardia appropriata.

Se non possono essere prevenuti rischi irragionevoli attraverso le salvaguardie, la legge vieta il rilascio del modello. L’applicazione è affidata al Attorney General, che può imporre sanzioni civili fino a 10 milioni di dollari per una violazione iniziale e fino a 30 milioni di dollari per violazioni ripetute.

Una Distribuzione Sbilanciata delle Responsabilità

Il RAISE Act impone tutti gli obblighi agli sviluppatori avanzati, senza estendere doveri ad altri attori nella catena del valore dell’IA, come coloro che affinano o modificano i modelli, li integrano in sistemi di IA o li utilizzano come utenti finali.

Questo contrasta con l’AI Act dell’UE, che, sebbene criticato per la sua complessità, i costi elevati di conformità e per non seguire un approccio basato sul rischio, almeno distribuisce gli obblighi su più categorie di attori. Regolamentare solo gli sviluppatori di modelli e tenerli responsabili anche per abusi di terzi crea uno standard di responsabilità irragionevole.

Il Problema del “Danno Critico”

Il concetto di “rischio di danno critico” è anch’esso problematico. I modelli avanzati sono intrinsecamente di uso generale; i rischi che pongono dipendono dai loro usi a valle, che variano ampiamente in base al settore e al contesto. Tuttavia, la legge richiede agli sviluppatori di valutare e mitigare questi rischi ex ante, al momento del rilascio, quando tali rischi sono perlopiù speculativi, diffusi e non misurabili.

Allo stesso tempo, il RAISE Act non fornisce criteri significativi per determinare quando tali rischi esistano o cosa qualifichi come “salvaguardie appropriate”. Lasciando queste determinazioni all’interpretazione futura, la legge crea incertezza legale e espone gli sviluppatori a sanzioni ex post senza chiara guida ex ante.

La Necessità di un Approccio Più Bilanciato

Le critiche al RAISE Act non devono essere confuse con un rifiuto di tutta la regolamentazione dei fornitori di modelli di IA avanzata o generali. Ci sono forti argomentazioni per imporre obblighi di base, come il red teaming e la moderazione dei prompt per prevenire risultati che facilitano attività illecite. Gli sviluppatori dovrebbero anche essere tenuti a condividere informazioni sufficienti con gli attori a valle, consentendo loro di soddisfare i propri obblighi e implementare salvaguardie.

Tuttavia, una regolamentazione significativa deve estendersi ulteriormente. I fornitori a valle, inclusi gli affinatori, i distributori e gli utenti finali, sono meglio posizionati per valutare i rischi specifici del contesto. Concentrando tutti gli obblighi solo sugli sviluppatori upstream, si rende quindi inefficace la regolamentazione.

Conclusione

Il RAISE Act non riesce a stabilire un quadro equilibrato per la governance dell’IA. Mirando solo agli sviluppatori avanzati, facendo affidamento su concetti vaghi di “danno critico”, imponendo audit perpetui e ignorando gli accordi contrattuali, trascura le capacità differenziate degli attori attraverso la catena del valore dell’IA.

Se approvato, il RAISE Act potrebbe raggiungere poco in termini di sicurezza, mentre scoraggia sostanzialmente l’innovazione e lo sviluppo open-source a New York e oltre. Lontano dall’essere un modello per una governance responsabile, rischia di diventare una lezione cautelativa su come una regolazione ben intenzionata ma sproporzionata possa ostacolare il progresso che si cerca di proteggere.