Rapido sviluppo dell'intelligenza artificiale. Quali sono le lacune nell'ambito della legislazione e dell'applicazione del diritto?

Wortlaut

Alla luce del rapido sviluppo dell'IA, attualmente soprattutto dell'IA generativa, ci si interroga su come contrastare i possibili danni anche a livello legislativo.

Occorre distinguere tra l'attività legislativa e l'applicazione del diritto. Se già oggi sono definiti chiari beni giuridici, probabilmente non è necessaria una regolamentazione specifica per quanto riguarda la loro violazione da parte delle tecnologie di IA, ma al massimo solo adeguamenti legislativi per facilitare l'effettiva applicazione del diritto. Purtroppo, nella sua risposta al postulato 23.3201, il Consiglio federale si è rifiutato categoricamente di fornire una panoramica che indichi se e dove vi siano attualmente delle lacune nella situazione legislativa e nella prassi giuridica che impediscono al nostro sistema giuridico di far fronte agli sviluppi legati all'IA, e di indicare quali misure intenda adottare per colmare tali lacune.

Per ciascuno dei settori indicati, chiedo pertanto di determinare se e, in caso affermativo, quale necessità di adeguamento il Consiglio federale rilevi nell'ambito della legislazione e/o dell'applicazione del diritto:

1. I corpora per l'addestramento dell'IA generativa necessitano di quantità considerevoli di materiale come immagini, foto, video, voci, testi: in che misura il loro utilizzo è coperto o meno dal diritto d'autore? Quali pretese di indennità possono eventualmente far valere gli autori delle opere? In che misura le società collettive di gestione dei diritti d'autore agiscono in questo ambito? Per quanto riguarda i dati personali, in che misura si tratta anche di un loro trattamento illecito?

2. Le IA prendono sempre più spesso decisioni automatizzate o suggeriscono decisioni a cui poi ad esempio le persone che trattano il caso "annuiscono" solamente: in che misura le disposizioni della nuova LPD sono applicabili?

3. Violazione del diritto della personalità, danni alla reputazione, ecc. attraverso la generazione di immagini, video, documenti audio che fanno falsamente credere di essere registrazioni di una persona fisica esistente: l'esperienza dimostra che, nel caso di diffusione via piattaforme di social media, l'applicazione del diritto si dimostra ardua e difficilmente accessibile.

Stellungnahme des Bundesrates

1. La questione se l'utilizzazione di contenuti per l'addestramento dell'IA generativa costituisca un uso rilevante per il diritto d'autore è oggetto di intense discussioni. Al fine di chiarire se l'uso dell'IA generativa richieda una regolamentazione, ai destinatari della consultazione sulla protezione legale delle pubblicazioni giornalistiche (protezione delle prestazioni editoriali) saranno sottoposte anche domande specifiche sull'uso dell'IA.

In relazione ai dati personali, si può affermare che chi tratta dati personali non può ledere illecitamente la personalità delle persone interessate (art. 30 cpv. 1 della legge sulla protezione dei dati riveduta [nLPD]; RU 2022 491). Vi è lesione della personalità, tra l'altro, se sono trattati dati personali in violazione dei principi generali della legislazione in materia di protezione dei dati (art. 30 cpv. 2 lett. a nLPD). Una lesione della personalità è illecita se non è giustificata dal consenso della persona interessata, da un interesse preponderante privato o pubblico oppure dalla legge. (art. 31 cpv. 1 LPD). Di regola non vi è lesione della personalità se la persona interessata ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente al trattamento. (art. 30 cpv. 3 nLPD).

2. La nLPD prevede disposizioni specifiche per le decisioni individuali automatizzate (particolari obblighi di informazione e il diritto di presentare su richiesta il proprio parere e chiedere che la decisione individuale automatizzata vada riesaminata da una persona fisica; art. 21 e art. 25 cpv. 2 lett. f nLPD). Queste disposizioni si applicano se la decisione si fonda esclusivamente sull'elaborazione automatizzata dei dati senza l'intervento di una persona fisica, se presenta un certo grado di complessità e se ha ripercussioni legali sulla persona interessata o incide su di essa in modo significativo.

Se l'IA viene utilizzata per preparare la decisione, non rientra nella definizione di decisione individuale automatizzata secondo la nLPD. In questo caso, si applicano le altre disposizioni della nLPD, che tengono anch'esse conto dell'uso delle nuove tecnologie. Oltre ai già vigenti principi della proporzionalità o della destinazione vincolata (art. 6 cpv. 2-4 nLPD), sono nuovi il principio della protezione dei dati sin dalla progettazione (art. 7 nLPD) o la valutazione dell'impatto sulla protezione dei dati (art. 22 e seg. nLPD).

Le disposizioni della nLPD relative alle decisioni individuali automatizzate soddisfano i requisiti della Convenzione 108+ del Consiglio d'Europa, nonché della Direttiva (UE) 2016/680 relativa alla protezione dei dati nel settore del diritto penale. Avvicinano anche la legislazione svizzera in materia di protezione dei dati al Regolamento generale dell'UE 2016/679 sulla protezione dei dati. È consigliabile attendere l'entrata in vigore della nLPD prima di valutare l'eventuale necessità di un adeguamento.

3. Le disposizioni di diritto civile sulle lesioni della personalità (in particolare il diritto alla propria immagine e voce, il diritto al rispetto dell'intimità e della sfera privata, il diritto all'onore; art. 28 e segg. Codice civile) e i corrispondenti rimedi giuridici (ovvero la rimozione o l'omissione) sono concepiti in modo da essere neutrali dal punto di vista tecnologico e applicabili anche all'IA Tuttavia, l'applicazione del diritto in caso di violazioni perpetrate su Internet è innegabilmente complessa a causa del possibile anonimato e dell'internazionalità. Il 5 aprile 2023, il Consiglio federale ha incaricato il DATEC di elaborare entro la fine di marzo 2024 un avamprogetto da porre in consultazione sulla regolamentazione delle grandi piattaforme di comunicazione, al fine di incoraggiarle a fornire soluzioni a bassa soglia. Il progetto di legge deve basarsi, laddove è opportuno, sulle norme del Regolamento (UE) 2022/2065 del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali e che modifica la direttiva 2000/31/CE (Legge sui servizi digitali).

Risposta del Consiglio federale.