Intelligenza Artificiale tra nuove e vecchie problematiche.
La configurazione di una responsabilità penale in capo alle “macchine”, una problematica mai risolta. Ultime indicazioni in materia provenienti dal legislatore Eurounitario.
Dott. Lorenzo Danieli
1. Una definizione di Intelligenza Artificiale (IA).
L’Intelligenza Artificiale (d’ora innanzi IA) nell’ultimo decennio ha assunto un ruolo di sempre maggiore rilievo nella vita di ognuno di noi, anche se spesso la sua presenza nelle nostre vite non è percepita in tutta la sua completezza e complessità.
Sono infatti strumenti che si fondano su sistemi di Intelligenza Artificiale, oggetti e servizi di più comune utilizzo, vedremo poi nel proseguo alcuni casi pratici, verificatesi, di particolare rilevanza sotto il profilo penale.
Lo sviluppo dell’Intelligenza Artificiale è stato reso possibile da due fattori principali: il primo è sicuramente costituito dallo sviluppo tecnologico soprattutto in campo di hardware e software(i), con la presenza di computer molto evoluti e dalle grandi capacità anche in termini di memoria; il secondo è invece rappresentato dal notevole aumento dei dati digitalizzati (ii )essendo stata intrapresa, oramai da alcuni anni, la strada di una se non totale ma comunque numerativamente molto elevata digitalizzazione dei dati più disparati, basti pensare ad es. alle modalità di pagamento da smartphone.
Tutto ciò è stato agevolato poi, da un’assenza di regolamentazione legislativa sia a livello nazionale dei vari stati membri dell’Unione Europea, sia del legislatore dell’Unione in materia. Non è stata, infatti, disciplinata in materia alcuna normativa compiuta.
È proprio l’assenza di una regolamentazione legislativa che ha portato, però, per converso alla realizzazione di condotte criminose, sia mediante l’utilizzo di sistemi di Intelligenza Artificiale, sia proprio da parte degli stessi sistemi di Intelligenza Artificiale i quali, nelle ipotesi di sistemi più evoluti, sono dotati di un elevato grado di autonomia decisionale nonché di capacità di apprensione dal mondo esterno che gli permette poi di effettuare delle prestazioni (o scelte decisionali termine quest’ultimo riferibile alla persona fisica) in via autonoma; è stato infatti affermato da molti studiosi come i sistemi di Intelligenza Artificiale di ultima generazione, imparino autonomamente dall’ambiente esterno immagazzinando i dati ed elaborandoli e modifichino, quindi autonomamente le proprie prestazioni (o, come detto, decisioni per utilizzare un termine riferibile all’essere umano) sulla base dei dati che hanno appreso ed elaborato in via autonoma, reagendo agli stimoli emersi.
Ciò che a livello legislativo Eurounitario è stato, invece, compiutamente fatto è stato di dare una definizione unitaria di Intelligenza Artificiale (soprattutto rispetto ai sistemi di ultima generazione), in prima battuta con una comunicazione elaborata nel 2018 dalla Commissione europea dal titolo: “Artificial Intelligence for Europe” nella quale si precisa che: “l’IA indica sistemi che mostrano un comportamento intelligente analizzando il proprio ambiente e compiendo azioni, con un certo grado di autonomia, per raggiungere specifici obiettivi. I sistemi basati sull’IA possono consistere solo in software che agiscono in modo virtuale […], oppure incorporare l’IA in dispositivi hardware(iii)”; in seconda battuta sulla base di tale comunicazione un gruppo indipendente di 52 esperti del settore iv ha elaborato un documento denominato “una definizione di IA: principali capacità e discipline scientifiche” nel quale oltre a essere data una definizione più completa e specifica di IA vengono elencati una serie di specificazioni e delucidazioni in materia. In questo documento viene precisato che: “Intelligenza Artificiale indica sistemi software o hardware progettati dall’uomo che, dato un certo obiettivo complesso, agiscono nella dimensione fisica o digitale percependo il proprio ambiente attraverso l’acquisizione dei dati, interpretando i dati strutturali e non strutturali raccolti, ragionando sulla conoscenza o elaborando le informazioni derivate da questi dati e decidendo di migliorare le azioni da intraprendere per raggiungere l’obiettivo dato,[…], come disciplina scientifica l’IA comprende diversi approcci e tecniche come l’apprendimento automatico, il ragionamento meccanico e la robotica”(v).
Da ultimo in materia di IA il 21 aprile 2021 è stata presentata da parte della Commissione europea la proposta di regolamento sull’Intelligenza Artificiale, il quale propone un primo quadro giuridico europeo in materia di IAvi. (di tale aspetto ne affronteremo i dettagli nei prossimi paragrafi).
A livello di legislazione nazionale nulla è stato fatto compiutamente, se non limitatamente ad ipotesi dottrinali in merito alla configurabilità di una responsabilità penale per le condotte delittuose attuate in ambito di IA; tale inattività è sicuramente dovuta all’assenza in tale materia di indicazioni normative da parte del legislatore dell’Unione, ma anche dalla complessità, per alcuni aspetti in riferimento anche al profilo più squisitamente penalistico, che caratterizza tale settore particolarmente innovativo e che richiede sicuramente del tempo per una migliore e più definita comprensione di tutte le sue possibili dinamiche e derive.
La definizione più generica e sintetica che può essere data di IA soprattutto in relazione a quelli di “nuova generazione”, sulla base delle definizioni contenute in tali documenti, è che si tratti di sistemi software o sistemi contenuti in hardware che in via autonoma agiscono per ottenere un certo obiettivo prefissatogli, sulla base dell’elaborazione dei dati che essi hanno acquisito dal mondo esterno potendo autonomamente modificare o innovare la loro azione, qualora ci siano modificazioni dei dati o nuovi dati da essi acquisiti.
2. La questione della configurabilità di una responsabilità penale in materia di IA.
I sistemi di Intelligenza Artificiale possono realizzare delle condotte, delle più diverse tipologie (es. dal campo economico finanziario con il reato di manipolazione del mercato, al traffico di stupefacenti mediante l’utilizzo di droni), che possono assumere profili penalmente rilevanti. In tale ambito bisogna preliminarmente effettuare una fondamentale distinzione tra due macrocategorie di condotte che sostanzialmente identificano gli usi distorti che si possono fare dei sistemi di IA. Una di queste due tipologie condotte comporta particolari difficoltà per l’individuazione del soggetto in capo a cui configurare una responsabilità penale e per alcuni giuristi sta corroborando alla crisi e conseguente radicale mutamento della fattispecie incriminatrice tradizionale (vii).
La prima di queste macrocategorie, che non comporta particolari problemi sul piano della configurazione penale, è quella in cui il sistema di IA viene utilizzato come strumento di realizzazione del reato; tale tipologia di condotta non comporta complesse problematiche di configurabilità di una responsabilità penale, in quanto esse vengono realizzate pressoché con sistemi di IA c.d. di vecchia generazione in cui il comportamento di tali sistemi è predeterminato, poiché si basa su algoritmi preimpostati dal programmatore e poi eventualmente, anche, utilizzati in maniera penalmente distorta dall’utilizzatore.
Pertanto ai fini della configurabilità di una responsabilità penale è sicuramente attuabile e utilizzabile il modello di imputazione indiretta dell’uomo (viii), in quanto il comportamento tenuto da tali sistemi di Intelligenza Artificiale è predeterminato e quindi prevedibile da colui che l’ha programmata o utilizzata in modo distorto sotto il profilo penale. L’azione, quindi, penalmente rilevante tenuta dal sistema di IA viene imputata sia per il profilo oggettivo (condotta) sia per il profilo soggettivo (dolo o colpa) a colui che l’ha programmata o utilizzata in maniera legalmente distorta, in conformità perciò sia con quanto sancito dall’art. 27 comma I della Costituzione che afferma il principio di personalità della responsabilità penale (ix), sia con quanto affermato dall’art. 42 comma I c.p. che esprime il concetto del coefficiente psichico di personale riferibilità del comportamento alla persona autore(x), ossia la c.d. Suitas; necessario per far si che si possa parlare di condotta in senso penalistico.
A tale soggetto, in capo a cui si configura la responsabilità penale, sarà quindi possibile muovere un rimprovero, quanto meno a titolo di colpa sulla base dell’art 43 comma I c.p., per la condotta penalmente rilevante tenuta mediante l’utilizzo e l’azione dei sistemi di IA, i quali costituiscono esclusivamente lo strumento di realizzazione dell’illecito penale. Il reato è, quindi, considerato commesso dalla persona fisica (che programma o utilizza in modo distorto il sistema di IA, sia esso, appunto, il programmatore o l’utilizzatore di tale sistema) mediante l’ausilio di tali sistemi, il cui comportamento come detto è preordinato e non autonomo, e non dal sistema di IA stesso. Il soggetto persona fisica risponderà, personalmente, del reato nella sua species una volta accertato e provato il fatto, con la possibilità che l’utilizzo di sistemi di Intelligenza Artificiale rilevi in sede di commisurazione della pena, quale elemento aggravante o attenuante in base all’art 133 c.p. (comma primo, punto 1).
Un esempio concreto di tale tipologia di condotte può essere la fattispecie di traffico sostanze stupefacenti (ex art. 73 del DPR 309/90) mediante l’utilizzo di droni automatici impostati per un determinato tragitto, senza quindi la presenza nello specifico tragitto o il controllo da remoto di alcuna persona fisica.
La seconda macrocategoria di condotte delittuose, in materia di sistemi IA è quella più problematica in particolar modo sotto il profilo del soggetto in capo al quale configurare la responsabilità penale; queste condotte sono infatti realizzate dai sistemi di Intelligenza Artificiale di ultima generazione ossia da quei sistemi, come indicato sopra, dotati di autonomia decisionale e capaci di acquisire ed elaborare i dati ed esperienze attuando o modificando, in corso di esecuzione, sulla base di tali desunte indicazioni delle azioni determinate (xi); tali sistemi reagiscono quindi agli stimoli “esterni” che ricevono avendo capacità di apprendimento e autonoma decisione. Rispetto a tale tipologia di condotte risulta molto difficile applicare il meccanismo di imputazione indiretta, in quanto da un lato, la condotta è materialmente posta in essere dal sistema di IA, il quale reagendo agli stimoli che gli provengono dall’elaborazione dei dati che ha acquisito attua una determinata azione e comportamento non essendo stato quest’ultimo interamente predeterminato dal programmatore o utilizzatore, dall’altro lato è molto difficile individuare la persona fisica in capo a cui configurare la responsabilità penale e muovere eventualmente un rimprovero essendo molto problematico se non pressoché impossibile individuare concretamente tale soggetto.
Un esempio concreto di tale tipologia di condotte può essere la fattispecie di manipolazione del mercato (ex art. 185 TUF) realizzata mediante un utilizzo patologico dei sistemi di trading algoritmico ad alta frequenza (HFT)(xii), i quali sfruttando un’estrema velocità di realizzazione delle operazioni finanziarie, riescono sulla base dei dati, che acquisiscono ed elaborano autonomamente dal mercato, ad eseguire in un arco temporale di frazioni di secondo migliaia di operazioni (xiii) (anche tra loro opposte), producendo pertanto oscillazioni dei prezzi degli strumenti (o titoli) finanziari ed incidendo in tal modo sulle negoziazioni di mercato e quindi sul mercato stesso, non intaccando però il valore sostanziale del titolo oggetto di negoziazione, come nel flash crash del 2010 (xiv) (tale terminologia indica infatti un fenomeno improvviso e rapido di ribasso dei prezzi degli strumenti finanziari con conseguente ripresa nell’arco temporale di pochi minuti, senza però incidere, appunto, sul valore sostanziale del titolo-i interessati). Il flash crash del 2010 ha portato, tra i differenti effetti, l’indice Down Jones a perdere nel giro di pochi minuti 8 punti percentuali, con una perdita di migliaia di miliardi di capitalizzazione, per poi però riprendersi altrettanto velocemente, ristabilizzandosi sui livelli precedenti; tale evento ha innescato un’attività di indagine da parte delle due autorità di vigilanza statunitensi SEC (autorità di controllo dei mercati finanziari) e CTFC (autorità di controllo dei mercati delle commodity e dei derivati), per comprendere cosa sia avvenuto e approfondire così tale evento. L’esito di tale indagine non ha però portato a conclusioni chiare e precise, le due autorità infatti non sono state in grado di determinare se tale flash crash sia stato causato esclusivamente dall’operare in modo patologico degli HFT (xv), tale indagine ha però accertato la presenza e l’operatività dei sistemi HFT nei mercati finanziari ed il loro coinvolgimento nel flash crash del 2010 avendo essi amplificato ed accelerato la fase di discesa dei prezzi, ma nel momento in cui il trend si è interrotto hanno altresì permesso il repentino recupero nei minuti successivi.
Le difficoltà per la configurazione di una responsabilità penale (in tale seconda macrocategoria di condotte) e per l’individuazione del soggetto in capo a cui configurare tale responsabilità, non comportano però che tale tipologia di condotte, attuate appunto mediante sistemi IA di ultima generazione, rimangano impunite.
Infatti, oltre ad una tesi minoritaria (sostenuta in particolar modo da Gabriel Hallevy (xvi) e di difficile applicazione - soprattutto in relazione agli aspetti : dell’ elemento soggettivo del reato (dolo o colpa), della pena nelle sue funzioni (in particolar modo general preventiva) ed al principio di personalità della responsabilità penale (art. 27,1 Cost.) - secondo cui si può configurare una responsabilità penale in capo ai sistemi IA e quindi muovere a tali sistemi (o più in generale alle macchine) un rimprovero penale (xvii) (ciò sulla base della considerazione che in capo a tali sistemi di IA possono configurarsi alcune forme di mens rea, in quanto gli stessi possono prevedere e volere un certo risultato come conseguenza delle proprie azioni grazie alla loro capacità di assumere decisioni sulla base dei dati, che appunto acquisisco ed elaborano dall’esterno (xviii); teorizzando lo stesso Hallevy tre paradigmi di responsabilità fondati sul riconoscimento della personalità giuridica ai sistemi di Intelligenza Artificiale (xix); si è sviluppata, trovando anche discreto riscontro tra diversi giuristi, la tesi secondo la quale, ai fini dell’individuazione del soggetto in capo a cui configurare una responsabilità penale in ipotesi di tal specie, si possa ricorrere al D.Lgs. num. 231 del 2001 (disciplinante la responsabilità amministrativa da reato dell’ente) e più precisamente al meccanismo di imputazione previsto all’art. 8, il quale configura in capo all’ente la permanenza della responsabilità giuridica per il reato che è stato commesso qualora non sia individuabile il soggetto persona fisica autore dello stesso (xx).
La responsabilità che configura il D.lgs. num. 231/2001, si ricorda brevemente, è una responsabilità da organizzazione e più precisamente da non corretta organizzazione dell’ente (xxi), infatti tale responsabilità prende le mosse dalla mancata implementazione dei modelli di organizzazione e gestione, da parte dell’ente, al fine di prevenire efficacemente la commissione dei reati-presupposto previsti dal D.Lgs. 231/01.
La responsabilità da reato dell’ente è autonoma e si aggiunge -in via eventualmente concorrente- a quella delle persone fisiche autrici del reato, quando sia possibile individuarle; qualora ciò non sia possibile, ad esempio per l’elevata complessità strutturale della società, la responsabilità e la conseguente sanzione si configura solamente rispetto alla società. È quindi rilevante in concetto inerente la distinzione tra la responsabilità penale della persona fisica e quella dell’ente (ex art. 8 D.Lgs. 231/01).
I meccanismi previsti dal D.Lgs. num. 231/2001 ed in particolare dall’art. 8 riuscirebbero infatti a sopportare le distorsioni sotto il profilo penalistico, soprattutto negli elementi come detto della colpevolezza e della pena nelle sue funzioni, che i sistemi di IA possono produrre; l’art. 8 del D.lgs.231/2001 configura, appunto come indicato sopra, la permanenza della responsabilità in capo alla persona giuridica ed il reato commesso verrebbe imputato, quindi, ad una colpa di organizzazione. Si configura così un nuovo modello di colpevolezza, che viene concepita come “rimproverabilia”(xxii) del soggetto e prescinderebbe dal nesso psichico tra fatto ed autore e quindi dall’integrazione dei requisiti di rappresentazione e volontà del fatto tipico.
3. Proposta di Regolamento sull’approccio europeo all’Intelligenza Artificiale, ultime indicazioni in materia da parte del legislatore dell’Unione.
Le indicazioni normative nel settore dell’Intelligenza Artificiale sono praticamente assenti sia a livello nazionale che comunitario, come brevemente accennato è stata data solamente una definizione dei sistemi di Intelligenza artificiale senza fornire alcuna regolamentazione compiuta in materia; il legislatore comunitario sta però colmando tali lacune ed ha avviato una politica diretta alla regolamentazione e quindi allo sviluppo dei sistemi di IA.
Il 21 aprile del 2021 la Commissione europea ha pubblicato una proposta di regolamento sull’approccio europeo all’Intelligenza Artificiale al fine di elaborare un quadro giuridico europeo specifico per l’IA (xxiii); tale proposta di regolamento ha come base fondante la caratteristica della trasparenza per ciò che riguarda i sistemi Intelligenza Artificiale, infatti vuole fornire ai programmatori, produttori ed utilizzatori dei sistemi di IA requisiti ed obblighi chiari per quanto riguarda gli usi specifici dell’IA.
Più dettagliatamente la proposta di Regolamento disciplina i sistemi di IA con una suddivisione per categorie di rischio, delineando appunto quattro categorie (xxiv): 1) rischio inaccettabile; 2) rischio alto; 3) rischio limitato e 4) rischio minimo, a seconda dell’appartenenza a una di queste categorie il sistema di IA dovrà rispettare i relativi obblighi dettati. La proposta di regolamento ha come obiettivo quello di determinare in relazione ai sistemi di IA: A) norme armonizzate in materia, in particolar modo per ciò che riguarda l’immissione sul mercato e l’utilizzo di sistemi di Intelligenza Artificiale; B) le pratiche di sistemi di Intelligenza Artificiale vietate (sostanzialmente quei sistemi di Intelligenza Artificiale che rientrano nella categoria del rischio inaccettabile, ossia sistemi ad es. che utilizzano tecniche subliminali al di là della consapevolezza di una persona per falsarne sostanzialmente in misura rilevante il comportamento o sistemi che sfruttino la vulnerabilità di uno specifico gruppo di persone.); C) i requisiti specifici per i sistemi IA ad alto rischio e gli obblighi per coloro che utilizzano tali sistemi; D) regole di trasparenza per i sistemi di IA che sono destinati ad una interazione con la persona fisica e F) norme in materia di monitoraggio e sorveglianza.
La proposta di regolamento è sicuramente un primissimo passo verso una regolamentazione dei sistemi di IA, ci troviamo, infatti, ad una fase embrionale della legislazione in materia. I tempi per l’iter legislativo comunitario prima e nazionale poi (per ciò che riguarda le disposizioni del legislatore nazionale, per l’adeguamento della normativa nazionale alle disposizioni del regolamento europeo), sono però molto lunghi (richiedono almeno due anni) e si rischia che il Regolamento approvato in via definitiva sia già inattuale rispetto ai sistemi IA che saranno presenti al momento della sua approvazione, essendo il settore dei sistemi di Intelligenza Artificiale in continua e rapida evoluzione e mutazione, e caratterizzato da continui cambiamenti.
NOTE BIBLIOGRAFICHE.
i R.Borsari, Intelligenza artificiale e responsabilità penale: le prime considerazioni, in riv. Media Laws, 2/2019, pag. 262-266.
ii F.Basile, Intelligenza Artificiale e diritto penale: quattro possibili percorsi di indagine, in riv. diritto penale dell’uomo,2019.
iii R. Borsari, Intelligenza Artificiale e responsabilità penale: le prime considerazioni, cit.pag.I.
iv R. Borsari, Intelligenza Artificiale e responsabilità penale: le prime considerazioni, cit.pag.I.
v R. Borsari, Intelligenza Artificiale e responsabilità penale: le prime considerazioni, cit.pag.I.
vi Il nuovo approccio europeo all’Intelligenza artificiale, temi.camera.it.
vii F.Palazzo corso di diritto penale parte generale V ed.
viii R.Borsari, Intelligenza Artificiale e responsabilità penale: le prime considerazioni, cit.pag.I.
ix F.Palazzo corso di diritto penale parte generale V ed. pag. 221 ss cit. pag 3.
x F.Palazzo corso di diritto penale parte generale. cit pag 3.
xi F.Basile, Intelligenza Artificiale e diritto penale: quattro possibili percorsi di indagine, cit. pag. I.
xii Le condotte illegittime in materia di HFT, correlate ad un uso patologico di tali sistemi di trading non sono state tipizzate nel nostro ordinamento, non essendo quindi stata dettata una disciplina ed una regolamentazione dettagliata. L’orientamento maggioritario è però quello, di ricondurre tale tipologia di condotte alla fattispecie di manipolazione del mercato disciplinata, appunto, dall’art. 185 del TUF, vedi F.Consulich, il nastro di mobius, Intelligenza artificiale e imputazione penale nelle nuove forme di abuso del mercato, in riv. Banca borsa titoli di credito, fasc. 2-2018, Giuffrè.
xiii F.Consulich, il nastro di mobius, Intelligenza Artificiale e imputazione penale nelle nuove forme di abuso del mercato, cit. pag. III.
xiv A.Puorro, Questioni di economia e finanza (Occasional papers) High Frequency Trading.
xv A.Puorro, Questioni di economia e finanza (Occasional papers) High Frequency Trading.
xvi R.Borsari, Intelligenza Artificiale e responsabilità penale: le prime considerazioni, cit.pag.I.
xvii R.Borsari, Intelligenza Artificiale e responsabilità penale: le prime considerazioni, cit.pag.I.
xviii R.Borsari, Intelligenza Artificiale e responsabilità penale: le prime considerazioni, cit.pag.I.
xix R.Borsari, Intelligenza Artificiale e responsabilità penale: le prime considerazioni, cit.pag.I.
xx D.Lgs. 8 giugno 2001 num.231, A.Presutti,A. Bernasconi e C.Fiorio, la responsabilità degli Enti commento articolo per articolo al D.Legisl. 8 giugno 2001 num.231 e F.Consulich, il nastro di mobius, Intelligenza Artificiale e imputazione penale nelle nuove forme di abuso del mercato, cit. pag. III.
xxi Sul punto A.Presutti,A. Bernasconi e C.Fiorio, la responsabilità degli Enti commento articolo per articolo al D.Legisl. 8 giugno 2001 num.231.cit pag. 4
xxii R. Palmisano, L’abuso di mercato nell’era delle nuove tecnologie di trading algoritmico e principio di personalità della responsabilità penale, in Nuove frontiere tecnologie e sistema penale. Sicurezza informatica strumenti di repressione e tecniche di prevenzione, in riv. Diritto penale contemporaneo 2019.
xxiii Il nuovo approccio europeo all’Intelligenza Artificiale, cit.pag. II.
xxiv Proposal for regulation laying down harmonised rule on Artificial Intelligence (Artificial Intelligence Act).