Orientarsi tra le norme sulla responsabilità dell’IA: le istituzioni europee si focalizzano sulla tutela dei consumatori

Il 28 settembre 2022, la Commissione europea ha adottato due proposte mirate ad armonizzare le normative nazionali riguardanti la responsabilità nel campo dell’intelligenza artificiale (“IA”). Queste proposte affrontano le sfide legate ai sistemi di IA per quanto riguarda la gestione delle richieste di risarcimento in caso di danni causati da prodotti e servizi che utilizzano sistemi di IA.

Le due proposte sono:

• la proposta di direttiva sulla responsabilità per danno da prodotti difettosi, la quale si concentra sulla responsabilità dei produttori per i prodotti difettosi. La proposta mira a modernizzare il quadro giuridico attuale includendo i software e i file per la fabbricazione digitale nella definizione di “prodotto”. Inoltre, chiarisce che anche i servizi digitali integrati in un prodotto o interconnessi ad esso sono considerati componenti del prodotto stesso;
• la proposta di direttiva relativa all’adeguamento delle norme in materia di responsabilità civile extracontrattuale all’intelligenza artificiale (c.d. direttiva sulla responsabilità da IA), la quale mira ad adattare le norme nazionali in materia di responsabilità civile, in considerazione delle caratteristiche specifiche di determinati sistemi di IA come l’opacità, il comportamento autonomo e la complessità che possono rendere eccessivamente oneroso per il danneggiato identificare i soggetti responsabili, nonché soddisfare l’onere della prova.

Tali proposte fanno parte della strategia digitale dell’UE, che mira a regolamentare l’IA al fine di promuovere lo sviluppo responsabile ed efficace delle tecnologie di IA nell’Unione Europea. La strategia digitale include anche la proposta di regolamento che stabilisce regole armonizzate sull’intelligenza artificiale (il c.d. “AI Act”).

Parere dell’European Data Protection Supervisor (“EDPS”)

Ai sensi dell’art. 57 del Regolamento (UE) 2018/1725 sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione Europea e sulla libera circolazione di tali dati, l’EDPS ha il compito di fornire, di propria iniziativa o su richiesta, consulenza a tutte le istituzioni e organi dell’Unione Europea in merito alle misure legislative e amministrative relative alla protezione dei diritti e delle libertà delle persone fisiche per quanto riguarda il trattamento dei dati personali.

Conformemente, l’EDPS ha accolto favorevolmente le due proposte di direttiva, con la pubblicazione del Parere 42/2023. Secondo l’EDPS, tali proposte riusciranno a garantire ai soggetti che subiscono danni scaturenti da sistemi coinvolgenti l’IA lo stesso livello di tutela dei soggetti danneggiati in altre circostanze.

Nello specifico, la direttiva sulla responsabilità per danno da prodotti difettosi mira a garantire che il sistema a livello dell’UE per il risarcimento delle persone che subiscono lesioni fisiche o danni patrimoniali dovuti a prodotti difettosi sia aggiornato all’attuale evoluzione digitale e, in particolare, alla diffusione di sistemi di IA e di smart product.

Inoltre, la proposta di direttiva sulla responsabilità da IA mira a adattare in modo mirato alcune norme nazionali in materia di responsabilità civile al fine di poter gestire le azioni di responsabilità per danni causati da prodotti e servizi basati sull’IA o, comunque, a situazioni in cui sono coinvolti sistemi di IA. L’EDPS ha riconosciuto che le caratteristiche specifiche dell’IA, tra cui la complessità, l’autonomia e l’opacità, possono creare ostacoli significativi per i soggetti danneggiati che intendono chiedere il risarcimento dei danni.

Secondo il Parere, pubblicato l’11 ottobre 2023, l’EDPS raccomanda quanto segue:

• posto che l’AI Act si applica alle istituzioni, gli uffici, gli organi e le agenzie dell’UE quando agiscono come fornitori o utenti di sistemi di IA, dovrebbe essere garantito un livello di tutela equivalente per i soggetti che hanno subito danni causati dai sistemi di IA prodotti e/o utilizzati dalle istituzioni, gli organi e le agenzie dell’UE, analogamente alle persone danneggiate dai sistemi di IA prodotti e/o utilizzati da soggetti privati o autorità nazionali. Allo stato attuale risulta che le due proposte non si applichino alle istituzioni dell’UE;
• assicurarsi che le proposte non siano in contrasto con la normativa europea sulla protezione dei dati e statuire espressamente che le due proposte non sostituiscono la normativa europea in materia di protezione dei dati personali;
• estendere le garanzie procedurali delineate negli artt. 3 e 4 della direttiva sulla responsabilità da IA, che prevedono la divulgazione degli elementi di prova, la presunzione relativa di non conformità e la presunzione relativa del nesso di causalità in caso di colpa, a tutti i casi di danni causati da un sistema di IA, indipendentemente dalla loro classificazione come sistemi di IA ad alto rischio o non ad alto rischio;
• assicurarsi che le informazioni divulgate ai sensi dell’art. 3 della direttiva sulla responsabilità da IA siano accompagnate da spiegazioni chiare e comprensibili;
• valutare ulteriori misure volte a ridurre ulteriormente l’onere della prova in capo ai soggetti danneggiati dai sistemi di IA.