Regulatory sandbox e AI Act: guida essenziale

Definizione e obiettivi degli spazi di sperimentazione normativa o regulatory sandbox

Gli spazi di sperimentazione normativi, anche detti regulatory sandboxes, sono definiti all’art. 3, n. 55 dell’AI Act come “un quadro controllato istituito da un’autorità competente che offre ai fornitori o potenziali fornitori di sistemi di IA la possibilità di sviluppare, addestrare, convalidare e provare, se del caso in condizioni reali, un sistema di IA innovativo, conformemente a un piano dello spazio di sperimentazione per un periodo di tempo limitato sotto supervisione regolamentare”. La loro disciplina è prevista all’art. 57 dell’AI Act.

Essi (comma 5) hanno la funzione primaria di consentire lo sviluppo dei sistemi di IA, in particolare sistemi di IA potenzialmente ad alto rischio, all’interno di un ambiente controllato. Tale funzione primaria mira al raggiungimento di vari obiettivi, tra cui, in particolare, la promozione dell’innovazione, assicurata favorendo la certezza del diritto e misure di sostegno alle PMI ed alle startup, nonché l’apprendimento normativo e lo sviluppo di best practices da parte di autorità di controllo e di notifica.

Regolazione e rischi dell’accentramento normativo

La regolazione di tali spazi è affidata alle autorità competenti, vale a dire autorità di controllo e di notifica, cui si somma un potere di coordinamento della Commissione UE, che si esprime attraverso atti di esecuzione che precisano il funzionamento di tali istituti, in particolar modo con riferimento a questioni quali i criteri di ammissibilità agli spazi di sperimentazione, le procedure per l’accesso e l’uscita dagli spazi di sperimentazione, nonché i termini e condizioni applicabili ai partecipanti[1].

L’obiettivo dell’accentramento di tali compiti nelle mani della Commissione è individuato dallo stesso art. 58 dell’AI Act nella necessità di evitare la frammentazione all’interno dell’Unione. Allo stesso tempo, con riferimento al potenziale effetto propulsivo dell’innovazione dei regulatory sandboxes, l’accentramento nelle mani della Commissione delle competenze appena elencate può, in via astratta, rischiare di svilire il potenziale innovativo di tali spazi.

Il rischio di innovazione istituzionalizzata e le criticità del modello

Nella ricostruzione offerta da noti autori statunitensi[2], la vicinanza tra regolatori e imprese rischia di favorire le entità già affermate nel mercato delle informazioni ed in grado di stabilire una relazione privilegiata con le autorità di controllo. La liaison dangereuse appena tratteggiata rischia non solo di soffocarne i concorrenti, ma anche di incanalare l’innovazione tecnologica nei binari prefigurati da tali entità economiche.

L’innovazione istituzionalizzata finirebbe per ridursi così ad un mero miglioramento di tecniche già esistenti, a scapito della possibilità che si realizzi una cosiddetti disruptive innovation. Il termine, letteralmente, indica un’innovazione distruttiva, in grado di scardinare i rapporti di forza all’interno del mercato, modificando radicalmente le abitudini di consumo, le catene di approvvigionamento o altri fattori economici di primaria importanza.

Vantaggi delle regulatory sandbox rispetto al carico normativo dell’AI Act

Con riferimento ai potenziali benefici dei regulatory sandboxes per l’innovazione, si deve premettere che che l’AI Act rischia di sovraccaricare gli sviluppatori di IA di adempimenti burocratici, in particolare con le gravose pratiche necessarie all’ottenimento di un certificato di conformità. Seppur giustificato da esigenze di mitigazione dei rischi dell’IA, l’AI Act rischia di porre gli sviluppatori europei di IA in una situazione di svantaggio, specie se si tiene conto della strategia di deregulation adottata dagli Stati Uniti o la legislazione minimalista cinese.  In questa prospettiva, gli spazi di sperimentazione normativa consentono ai developers di sviluppare, addestrare, convalidare e provare un sistema di IA normativo, anche in condizioni reali[3].

Al termine della partecipazione al regulatory sandbox viene rilasciata allo sviluppatore una relazione di uscita, che illustra in dettaglio le attività svolte e i risultati dell’apprendimento. La partecipazione di un sistema di IA innovativo ad uno spazio di sperimentazione normativo comporta l’accesso da parte del sistema di IA in questione ad un trattamento di favore da parte degli organismi notificati, sebbene l’Art. 57, c. 7 non fornisca particolari indicazioni in merito. Valutazioni più approfondite saranno possibili solo quando la normativa secondaria della Commissione UE potrà meglio chiarire i rapporti tra gli spazi di sperimentazione normativa e l’attività di valutazione della conformità degli organismi notificati.

Procedure di conformità e ruolo degli organismi notificati

Gli organismi notificati accertano la conformità dei sistemi di IA ad alto rischio alle previsioni di cui agli artt. 8 – 27  del AI Act (vale a dire gli obblighi collegati allo sviluppo ed all’uso di sistemi di IA ad alto rischio), secondo la procedura di valutazione della conformità di cui all’art. 43 del AI Act. 

L’esito positivo della valutazione di conformità comporta il rilascio di un certificato, ai sensi dell’art. 44 dell’AI Act, che sfocia in una presunzione di conformità ai requisiti dell’AI Act. Esso ha una durata di cinque o quattro anni, a seconda dei casi. Tali certificati sono prorogabili, ma deve essere nuovamente richiesto nel momento in cui il sistema di IA ad alto rischio sia oggetto di modifiche sostanziali.

Potenziale innovativo degli spazi di sperimentazione normativa e partecipazione delle start-up

D’altro canto, gli spazi di sperimentazione normativa dovrebbero consentire alle autorità coinvolte di acquisire esperienza nella regolazione dei sistemi di IA ed al contempo promuovere l’innovazione agevolando l’accesso al mercato delle start-up[4]. Questi, ai sensi dell’articolo 57 dell’AI Act, sono affidati alle autorità competenti, o a livello nazionale, oppure congiuntamente tra più Stati membri, con una conseguente necessità di coordinare le rispettive autorità[5]. Data la genericità del riferimento alle autorità competenti contenuto al comma 1 dell’articolo 57, si deve riportare che l’art. 3, n. 48 dell’AI Act definisce le autorità nazionali competenti come le autorità di notifica e le autorità di vigilanza del mercato. Applicando all’art. 57 la definizione appena riportata, consente di delimitare il campo di applicazione della norma, escludendo le altre autorità che potrebbero in qualche modo ambire alla gestione degli spazi di sperimentazione normativa.

Responsabilità giuridiche e ruolo del garante europeo

In tema di responsabilità aquiliana, deve rilevarsi come l’art. 57, n. 12 chiarisca come gli sviluppatori di sistemi di IA rimangano responsabili per eventuali danni causati a terzi nel corso delle attività di sperimentazione all’interno dello spazio normativo. Godono tuttavia di un’esenzione da potenziali multe, purché rispettino il piano specifico e seguano in buona fede le indicazioni delle autorità competenti coinvolte nella sperimentazione.

Il comma 3 dell’art. 57 stabilisce inoltre che uno spazio di sperimentazione normativa può essere istituito dal Garante europeo per i dati personali. A scanso di equivoci, occorre fare nuovamente riferimento all’art. 3 n. 48 dell’AI Act. Qui, dopo la definizione del concetto di autorità nazionali competenti, si stabilisce infatti che «per quanto riguarda i sistemi di IA messi in servizio o utilizzati da istituzioni, organi e organismi dell’Unione, i riferimenti alle autorità nazionali competenti o alle autorità di vigilanza del mercato contenuti nel presente regolamento si intendono fatti al Garante europeo della protezione dei dati». In altri termini, dalla competenza del Garante europeo della protezione dei dati non discende una corrispondente competenza dei garanti nazionali.

Responsabilità e prospettive future delle regulatory sandbox

La cerchia di autorità che possono partecipare alla gestione degli spazi di sperimentazione normativa è dunque chiusa, ad eccezione delle competenze affidate alle autorità nazionali per la tutela dei dati personali in tema di protezione dei dati personali dall’art. 59.

L’AI Act contiene in sé il germe di alcune misure che potrebbero salvaguardare la possibilità di un’innovazione distruttiva europea dai rischi appena tratteggiati. Secondo il comma 2 del citato art. 58, gli atti esecutivi della Commissione garantiscono l’equità dei criteri di ammissione, la gratuità di tali spazi per le PMI, start-up incluse e che l’esperienza acquisita in tali spazi faciliti le imprese coinvolte a conformarsi agli obblighi di conformità. Si tratta, è evidente, di disposizioni programmatiche, la cui effettiva realizzazione dovrà essere valutata nel tempo.

Note

[1] Art. 58 del AI Act.

[2] Si vedano, ad es. T. Wu, Network Neutrality, Broadband Discrimination, in Jour. on Telecomm. & High Tech Law, 2003, 144. R. Nelson, Understanding Technical Change As An Evolutionary Process, New Holland Amstedam (1987), passim. L. Lessig, The Future of Ideas, New York, 2001, 3-17.

[3] Art. 2, n. 55 del AI Act.

[4] Considerando 9 del AI Act.

[5] L’art. 57 ammette inoltre la possibilità che spazi di sperimentazione siano stabiliti a livello locale o regionale.