Testo originariamente pubblicato su LinkedIn. I riferimenti temporali e normativi sono quelli del post originale.
Art. 437-bis c.p.: quando l’omessa sicurezza di un sistema di IA può generare realmente responsabilità 231?
Immaginiamo che un’impresa utilizzi un sistema di IA ad alto rischio sviluppato da un fornitore esterno. Il sistema presenta anomalie, ma nessuno sa chi debba valutarle, sospenderne l’utilizzo o accettare il rischio residuo. Il provider attribuisce il problema al cliente; il deployer confida nelle certificazioni. Intanto, il sistema continua a funzionare.
È in situazioni come questa che il nuovo art. 437-bis c.p. può assumere rilievo. La norma punisce l’omessa adozione delle misure tecniche di sicurezza o di sorveglianza umana relative ai sistemi di IA ad alto rischio.
Non basta, però, una qualsiasi violazione dell’AI Act: dall’omissione deve derivare un pericolo concreto per la vita, l’incolumità individuale o pubblica o la sicurezza dello Stato.
La fattispecie può interessare provider, importatore, distributore e deployer, ma non indistintamente. Bisognerà accertare chi fosse titolare dell’obbligo, disponesse delle informazioni e avesse il potere effettivo di intervenire.
Anche chi utilizza un sistema sviluppato da terzi non potrà limitarsi a esibire il contratto o la certificazione del fornitore: esternalizzare la tecnologia non significa esternalizzare la responsabilità.
I miei due centesimi sul punto.
Nella pratica, il problema principale non sarà l’assenza assoluta di misure di sicurezza, ma la distanza tra i presidi dichiarati e il modo in cui il sistema viene realmente utilizzato.
La “sorveglianza umana” rischia di diventare una formula vuota. Il tema dell’effettività dell’intervento umano è già emerso, in altro contesto, nel caso SHUFA.
La supervisione non è reale se la persona incaricata non comprende gli output — anche per carenza di AI literacy —, non riceve le anomalie, non può discostarsi dal risultato o non ha il potere di sospendere il sistema.
Un controllo umano privo di competenza e poteri è soltanto una firma apposta a valle di una decisione già assunta.
Quando risponde anche l’ente?
La commissione dell’art. 437-bis non determina automaticamente la responsabilità 231. Interesse o vantaggio potranno emergere dalla scelta di ridurre gli investimenti in sicurezza, accelerare il time to market, evitare aggiornamenti o rendere meramente formale la supervisione.
Resta necessario accertare un’autonoma colpa di organizzazione. Poiché il reato presupposto descrive già un’omissione organizzativa, la stessa carenza non può provare automaticamente anche l’inadeguatezza del Modello.
Un Modello efficace dovrà individuare ruoli, responsabilità e poteri di intervento, disciplinare anomalie e condizioni di sospensione e assicurare evidenze e flussi verso l’OdV.
Il punto non è dimostrare che “un essere umano era presente”, ma che fosse realmente in condizione di comprendere, decidere e fermare il sistema.
Leggi il post originale su LinkedIn
Torna al blog