Intelligenza artificiale e copyright: riflessioni sull’AI act

Il 12 luglio 2024, nella Gazzetta dell’Unione Europea, è stato pubblicato il testo definitivo del Regolamento sull’intelligenza artificiale (AI Act)^[1], il quale mira a delineare un quadro giuridico unitario per lo sviluppo, l’ingresso nel mercato, il funzionamento e l’utilizzo dei sistemi di IA nell’UE. L’obiettivo è di promuovere un’intelligenza artificiale affidabile, incentrata sull’uomo e, nel contempo, salvaguardare la salute, la sicurezza, i diritti fondamentali, la democrazia, lo stato di diritto e la tutela dell’ambiente. L’AI Act intende incoraggiare l’innovazione garantendo la libera circolazione transfrontaliera di beni e servizi relativi all’IA, ovvero impedendo agli Stati membri di imporre restrizioni ulteriori che non siano esplicitamente consentite dal Regolamento. Per esplorare il tema consigliamo il volume Ai Act -Principi, regole ed applicazioni pratiche del Reg. UE 1689/2024
Abbiamo dedicato alle prime fasi gli articoli: Regolamento UE intelligenza artificiale: primo via libera e Regolamento UE Intelligenza artificiale: ok dal Parlamento

1. L’AI Act: disposizioni generali

L’attuazione avverrà in diverse fasi fino al 2027, con termine principale individuato nel 2 Agosto 2026. Entro tale data, invero, gli sviluppatori di IA dovranno conformarsi ad una serie di disposizioni a seconda della categoria di rischio cui appartengono i propri prodotti.
La prima categoria comprende applicazioni e sistemi considerati altamente pericolosi per la società in quanto capaci di generare un rischio inaccettabile. Essi sono vietati ai sensi dell’AI Act, al fine di prevenire qualsiasi potenziale uso improprio che potrebbe condurre ad una lesione di diritti e libertà degli individui (ad esempio, rientrerebbero in tale ipotesi sistemi di punteggio sociale gestiti dal governo, simili a quelli utilizzati in Cina^[2]).
La seconda riguarda, invece, le applicazioni ad alto rischio, le quali devono rispettare requisiti normativi particolarmente stringenti, allo scopo di assicurarne un uso sicuro ed etico. Un esempio di strumenti ivi rientranti è il sistema di scansione dei CV in grado di classificare i candidati ad una determinata posizione lavorativa, il quale, avendo potenzialità di impattare significativamente sulle opportunità di lavoro degli individui, deve rispettare specifiche previsioni normative incentrate prettamente sulla trasparenza e sulla responsabilità.
La terza categoria è quella dei modelli di intelligenza artificiale cosiddetti per scopi generali (“General Purpose AI Model”: GPAI), aventi rischio sistemico, i quali avendo capacità di alto impatto sul mercato dell’UE, sono soggetti a rigorosi obblighi di identificazione e di mitigazione dei rischi.
Infine, ci sono applicazioni che non sono né esplicitamente vietate né classificate, in quanto, non rappresentando minacce significative per la società o per i diritti individuali, sono soggette a vincoli legali meno rigidi, consentendo, in tal modo, maggiore innovazione nel settore dell’intelligenza artificiale.
Il Regolamento creerà, inoltre, l’Ufficio IA (AI Office), un’agenzia di regolamentazione che farà parte della struttura amministrativa della “Direzione generale delle Reti di comunicazione, dei contenuti e delle tecnologie” (CNECT), che avrà il compito di monitorare l’applicazione dell’AI Act e condurre anche diversi compiti di classificazione, nonché altri ruoli specifici. Per esplorare il tema delle AI, consigliamo il volume Ai Act -Principi, regole ed applicazioni pratiche del Reg. UE 1689/2024

2. La portata applicativa del Regolamento

L’AI Act si applica ad un’ampia gamma di entità artificiali al fine di garantire una regolamentazione il più possibile completa dei sistemi di intelligenza artificiale all’interno dell’Unione Europea. Esso copre i fornitori (o providers) che immettono sistemi di IA o modelli GPAI sul mercato dell’UE o che inseriscono tali applicazioni nel proprio servizio, indipendentemente dal fatto che questi providers siano situati all’interno dell’Unione o in un Paese terzo^[3]. Inoltre, il Regolamento si applica agli operatori di sistemi di intelligenza artificiale che hanno sede o comunque operano all’interno dell’UE, in modo da assicurare il rispetto della normativa da parte di qualsiasi organizzazione che utilizzi l’IA all’interno dell’UE^[4].
L’ambito di applicazione si estende anche ai fornitori e agli operatori di sistemi artificiali aventi sede al di fuori dell’UE qualora i loro output siano utilizzati all’interno dell’Unione, al fine sempre di garantire un’omogeneità quasi globale per i sistemi di IA che impattano sul mercato dell’UE. Importatori, distributori dei sistemi di intelligenza artificiale ed ancora rappresentanti autorizzati all’interno dell’UE che agiscono per conto di fornitori extra-UE devono anch’essi conformarsi a tali standards. I produttori che integrano l’IA nei loro prodotti e li commercializzano con il proprio marchio all’interno dell’UE sono tenuti ad assicurare la conformità di tali componenti al Regolamento.
Il raggio di incidenza, particolarmente ampio, di tali disposizioni garantisce che i sistemi di IA che entrano, vengono utilizzati o influenzano il mercato dell’UE siano rispondenti ad elevati standards di sicurezza, trasparenza e responsabilità^[5]. A ben vedere, però, proprio questa tensione verso l’internazionalizzazione dell’applicazione normativa è probabilmente uno degli aspetti più controversi della regolamentazione.

3. Il copyright nell’AI Act

L’AI Act, inizialmente, non era destinato ad affrontare le questioni relative al copyright. Come supra evidenziato, difatti, era concepito principalmente per classificare le varie tecnologie di intelligenza artificiale in categorie di rischio e definirne la relativa disciplina.
Tuttavia, l’ascesa dell’IA generativa già a partire dal 2022, ed in particolare l’implementazione di modelli linguistici di grandi dimensioni (LLM) come ChatGPT, ha spinto i redattori almeno a tentare di affrontare il problema.
L’intento delle disposizioni sul copyright relative all’IA generativa è esplicitato nel considerando 105 del Regolamento, ove si legge che i modelli di GPAI – in particolare quelli di intelligenza artificiale generativa – da una parte, certamente offrono significative opportunità di innovazione ma, dall’altra, pongono anche delle sfide per gli autori e i titolari di diritti sui contenuti adoperati dai sistemi in riferimento al modo in cui tali contenuti vengono creati, distribuiti ed utilizzati.
Il Regolamento afferma come lo sviluppo e la formazione dei modelli, ivi oggetto di riflessione, richiedano l’accesso a grandi quantità di testo, immagini, video ed altri dati, spesso effettuato utilizzando tecniche di data mining, le quali potrebbero riguardare contenuti protetti da copyright, che, ergo, richiederebbero la previa autorizzazione dei titolari dei diritti (a meno che non vi sia l’applicazione di eccezioni o limitazioni specifiche in materia). A tal uopo, la Direttiva 2019/790^[6] consente, da un lato, la riproduzione ed estrazione di testo in adempimento a determinate condizioni, dall’altro, che i titolari dei diritti in rilievo possano riservarsi la facoltà di impedire tali attività – ferma, nel caso, la possibilità di rilascio di specifica autorizzazione – ad eccezione di scopi di ricerca scientifica.
All’interno del Regolamento non vi è una puntuale definizione di intelligenza artificiale generativa, ma si specifica solo che i modelli in grado di generare contenuti, quali testo ed immagini, rientrano all’interno della categoria di GPAI. Essi sono definiti nell’Art 3 (63) come segue:
“un modello di IA, anche laddove tale modello di IA sia addestrato con grandi quantità di dati utilizzando l’autosupervisione su larga scala, che sia caratterizzato una generalità significativa e sia in grado di svolgere con competenza un’ampia gamma di compiti distinti, indipendentemente dalle modalità con cui il modello è immesso sul mercato, e che può essere integrato in una varietà di sistemi o applicazioni a valle”.
Si tratta, invero, di una definizione piuttosto ampia che dovrebbe coprire una vasta gamma di modelli, tra cui gli LLM^[7], i modelli di diffusione^[8] e i modelli multimodali^[9], solo per citarne alcuni. Pertanto, uno sviluppatore di sistemi simili nell’Unione Europea dovrà rispettare gli obblighi previsti per tali prodotti, nonché ulteriori requisiti per le GPAI con rischi sistemici, valutati attraverso analisi tecniche e metodologie appropriate^[10].

Potrebbero interessarti anche:

• Salute e sicurezza sul lavoro e intelligenza artificiale in UE
• Intelligenza artificiale: rivoluzione tecnologica e sfide nel contesto giuridico globale

4. L’obbligo di trasparenza nell’AI Act

La disposizione principale per i modelli di GPAI in materia di copyright si trova nell’art. 53, che tratta degli obblighi in capo ai fornitori di tali sistemi, i quali appunto devono aderire a diversi obblighi chiave, in particolare, per quanto in tale sede rileva, quello di trasparenza.
Tale obbligo è spiegato nel considerando 107 del Regolamento, ove si afferma che per migliorare la trasparenza in merito ai dati utilizzati dai modelli di GPAI, i fornitori dovrebbero divulgare pubblicamente un riepilogo dettagliato del contenuto utilizzato, compresi i dati protetti da copyright. Ciò dovrebbe bilanciare adeguatamente l’esigenza di completezza circa la tipologia e la provenienza del “materiale” adoperato con la protezione di segreti commerciali ed informazioni aziendali riservate, consentendo però alle parti interessate, come i titolari dei diritti d’autore, di essere informati e, nel caso, far valere i propri diritti. Il riepilogo in questione dovrebbe elencare le principali fonti di dati, come grandi database, e fornire anche una spiegazione narrativa circa l’origine degli altri dati. A tale scopo, l’AI Office offrirà un modello per garantire che la sintesi sia semplice ed efficace.
Ergo, il requisito di trasparenza deve essere soddisfatto nella seguente maniera:
1)redigendo e mantenendo aggiornata la documentazione tecnica relativa alla fase di addestramento del modello. Ciò dovrebbe includere, tra gli altri: il suo scopo, la potenza di calcolo e i dettagli sui dati utilizzati;
2)redigendo e mantenendo aggiornata una documentazione tecnica apposita per i providers, la quale dovrebbe, invero, consentire ai fornitori che adottano il modello di comprendere i limiti del sistema, sempre nel rispetto dei segreti commerciali e di altri diritti di proprietà intellettuale. Essa può comprendere una gamma variegata di dati tecnici, tra cui l’interazione del modello con hardware e software pur se non inclusi nello stesso;
3)mettendo “in atto una politica per il rispetto del diritto d’autore dell’Unione, in particolare per identificare e rispettare, anche mediante tecnologie all’avanguardia, le riserve di diritti espresse a norma dell’articolo 4, paragrafo 3, della direttiva 2019/790”;
4)redigendo e rendendo pubblico un riassunto sufficientemente dettagliato dei contenuti utilizzati per la formazione del sistemi di GPAI, secondo il modello fornito dall’Ufficio IA.
I requisiti 3) e 4) sono, come si è in parte accennato, di particolare interesse ai fini del copyright. Il paragrafo 3) deriva dall’articolo 4 della direttiva DSM, che stabilisce un’eccezione al copyright per il Text and Data Mining (TDM) avente scopi non scientifici o di ricerca, da tenere distinto da quello per finalità scientifiche o di ricerca di cui all’articolo 3 della stessa direttiva. Tale eccezione è subordinata al rispetto di eventuali opt-out specificati dai titolari di copyright.
Inoltre, la menzionata eccezione, valente per il TDM, ha rilievo anche per i sistemi di IA, come specificato nel Regolamento sull’intelligenza artificiale, e ove, sul punto, ante AI Act, vi erano delle incertezze. A tal uopo, il considerando 105 dissipa ogni dubbio spiegando la portata del text e data mining: “Lo sviluppo e la formazione di tali modelli richiedono l’accesso a grandi quantità di testo, immagini, video e altri dati. Le tecniche di text e data mining possono essere ampiamente utilizzate in questo contesto per il recupero e l’analisi di tali contenuti, che possono essere protetti da copyright e diritti connessi.”

5. Trasparenza dei dati usati dall’IA e copyright

Il paragrafo 4), di cui supra, fa riferimento al riepilogo che deve essere fornito dai modelli di GPAI e il considerando 107 del Regolamento sull’IA ne specifica le implicazioni:
“Al fine di aumentare la trasparenza sui dati utilizzati nelle fasi di pre-addestramento e addestramento dei modelli di IA per finalità generali, compresi testo e dati protetti dalla normativa sul diritto d’autore, è opportuno che i fornitori di tali modelli elaborino e mettano a disposizione del pubblico una sintesi sufficientemente dettagliata dei contenuti utilizzati per l’addestramento del modello di IA per finalità generali…”.
La disposizione sottolinea l’importanza della trasparenza nei dati utilizzati per addestrare i modelli di GPAI, soprattutto quando ivi si è incluso materiale protetto da copyright. I fornitori di IA dovrebbero redigere un riepilogo chiaro dei set di dati adoperati, ergo, in maniera non eccessivamente tecnica ma fornendo informazioni sufficienti, come l’elenco dei database o degli archivi chiave. Sebbene si richieda che tale sintesi risulti, in ogni sua parte, adeguatamente esaustiva, le aziende, a loro volta, hanno comunque l’esigenza – riconosciuta dall’AI Act – di proteggere segreti commerciali ed informazioni riservate. Per rendere questo processo più semplice, pertanto, si suggerisce di utilizzare un modello standard fornito dall’Ufficio IA, al fine di rendere ostensibili le sole informazioni necessarie senza comprometterne l’efficacia pratica.
Tale disposizione sembra indubbiamente, in seno al Regolamento, una delle più difficili da attuare, ma, al contempo, rappresenta la clausola relativa al copyright di più ampia portata nell’Atto. Difatti, l’apertura sui data di formazione potrebbe risultare utile non solo per i titolari di diritti sui dati adottati dai sistemi artificiali ma anche per gli stessi providers, soprattutto considerando i requisiti delineati nel paragrafo c). In modo proattivo, divulgando i dati di addestramento, le aziende potrebbero rafforzare la propria posizione giuridica, dimostrare buona fede nel rispetto del copyright e favorire così una maggiore fiducia nei propri confronti, mitigando, in ultima analisi, il rischio di contenziosi a lungo termine. Particolare attenzione viene dedicata al diritto d’autore, per approfondimenti in proposito del quale consigliamo il volume: alle quali abbiamo dedicato il volume “Il nuovo diritto d’autore -La tutela della proprietà intellettuale nell’era dell’intelligenza artificiale”

6. Modelli open-source, trasparenza e copyright.

Un aspetto interessante del requisito di trasparenza per i sistemi di GPAI è l’eccezione per i modelli open-source, ovvero quei modelli rilasciati con una licenza che consente agli utenti di “eseguire, copiare, distribuire, studiare, modificare e migliorare software e dati, compresi i modelli, purché il modello sia attribuito al fornitore originario e siano rispettate condizioni di distribuzione identiche o comparabili”^[11]. Tale definizione, così costruita, sembrerebbe essere eccessivamente ampia, non imponendo requisiti specifici ai fini del rilascio della licenza oltre a quelli supra elencati, e sarebbe necessario, pertanto, un intervento sul punto, ad esempio dell’Ufficio IA, al fine di fornire un elenco delle licenze che soddisfano effettivamente i criteri summenzionati.
La ratio dell’eccezione trova il suo fondamento nell’assunto che per i fornitori di modelli ad accesso libero generalmente non sussiste l’esigenza di ottemperare a determinati requisiti di trasparenza che, invece, i providers di altri modelli di IA devono rispettare. Ciò poiché la natura open-source dei sistemi rende il funzionamento interno e l’utilizzo apertamente disponibili al pubblico. Tuttavia, se si considera che tali modelli, in quanto applicazioni di intelligenza artificiale, possano comportare un rischio sistemico, il semplice fatto che siano ad accesso libero non è sufficiente ad esentarli dalla normativa.
Inoltre, anche se tali modelli rendono il loro codice trasparente, potrebbero non fornire informazioni dettagliate sui dati utilizzati per addestrarli o sul rispetto delle leggi in materia di diritto d’autore. Pertanto, i fornitori devono comunque creare un riepilogo dei dati di formazione ed assicurarsi di rispettare la normativa in materia di copyright^[12].
Un’altra eccezione, che ivi è interessante richiamare, riguarda i modelli che sono stati formati per scopi di ricerca non professionale o scientifica, in conformità all’art. 2 (6) e a quanto evidenziato nel considerando 104. Tale previsione è certamente in linea con le disposizioni sul copyright esistenti nell’art. 3 della direttiva DSM, ma potrebbe costituire una porta aperta per quei providers commerciali che si affidano a sistemi elaborati da istituti di ricerca. La formulazione del considerando 107 suggerisce, tuttavia, che un cambiamento nello scopo di un modello farebbe venir meno l’eccezione, ma, anche qui, la formulazione è, in realtà, alquanto vaga.

7. Deepfake e copyright

Infine, pur non essendo direttamente correlato al copyright, l’art. 50 del Regolamento contiene il requisito di etichettatura dei contenuti, valido però solo per quel materiale generato o manipolato dall’IA che costituisce un deepfake^[13]. Esiste, tuttavia, a tale obbligo, un’eccezione applicabile ai contenuti che sono “parte di un’opera o di un programma evidentemente artistici, creativi, satirici o fittizi”^[14] o analoghi, la cui divulgazione dovrebbe avvenire in maniera adeguata in modo da non ostacolare la visualizzazione dell’opera.
L’importanza di questa disposizione per il copyright è apprezzabile in via strumentale, in quanto, delineando un modo per identificare i contenuti generati o, in ogni caso, trattati dall’intelligenza artificiale, potrebbe, a ben notare, avere un impatto significativo circa la tutela dei diritti d’autore su tali contenuti in giurisdizioni che, a causa del requisito dell’imputabilità umana, impongono restrizioni alla configurabilità di paternità dell’opera in capo all’IA.

8. Considerazioni conclusive

Le disposizioni relative al copyright presenti nel Regolamento Europeo sull’IA risultano – probabilmente anche in quanto incluse in una fase relativamente avanzata delle negoziazioni – alquanto deboli. Ciò che appare chiaro è che l’AI Act debba certamente essere letto congiuntamente alle eccezioni esistenti circa il text e data mining presenti principalmente nella direttiva DSM.
Tuttavia, il Regolamento è certamente un passo nella giusta direzione ed è probabile avvii un’opera di adeguamento in tutta l’Unione come non accadeva dal GDPR. Gli obblighi di trasparenza ivi inseriti, seppur relativamente blandi, possono costituire per i titolari di copyright validi strumenti per scoprire potenziali violazioni e, allo stesso tempo, permettere ai fornitori di modelli di GPAI di non essere citati in giudizio ove rispettino le regole. L’Unione Europea con l’AI Act ha indubbiamente cercato di bilanciare i diritti dei detentori di copyright con gli interessi degli sviluppatori di IA. Saranno il tempo e la prassi a dire se effettivamente tale contemperamento possa funzionare.

Note

^[1] Regolamento Europeo sull’intelligenza artificiale n. 1689/2024 approvato dal Parlamento europeo il 13 giugno 2024. Per un approfondimento si veda: L. Di Giacomo, “AI Act: il regolamento europeo 1689/2024 in Gazzetta Ufficiale”, in diritto.it, 12/07/24.
^[2] Sul punto: D. Mac Síthigh e M. Siems, “The Chinese Social Credit System: A Model for Other Countries?”, in EUI LAW, 2019.
^[3] Ad eccezione di alcuni providers di sistemi open-source che non sono coperti dal Regolamento, esclusi quelli di cui all’articolo 5 e quelli di sistemi ad alto rischio di cui all’art. 2 comma 12.
^[4] AI Act, art. 3.
^[5] Ibidem.
^[6] Direttiva 790/2019, del 17 aprile 2019, sul diritto d’autore e sui diritti connessi nel mercato unico digitale.
^[7] W.X. Zhao e altri, “A Survey of Large Language Models”, in Frontiers of Computer Science, 2024.
^[8] L. Yang e altri, “Diffusion Models: A Comprehensive Survey of Methods and Applications”, in ACM Computing Surveys, 2024.
^[9] M. Suzuki, Y. Matsuo, “A Survey of Multimodal Deep Generative Models”, in Advanced Ribotics, 2022.
^[10] Esiste anche una presunzione di rischio sistemico nel caso in cui le operazioni in virgola mobile (FLOPS) del modello sono maggiori di 1025.
^[11] AI Act, considerando 102.
^[12] Art. 53(1) e considerando 104.
^[13] Per un approfondimento: L. Di Giacomo, “Deepfake e diritto: l’UE è pronta ad affrontare la minaccia dell’IA?”, in diritto.it, 25/10/2024; E. Incampo, “Intelligenza artificiale e cyberbullismo: il nuovo reato di deepfake”, in diritto.it, 14/05/24.
^[14] Art. 50(4).