Codice di condotta IA: chi protegge i creatori? Ecco tutte le falle

Il primo codice di buone pratiche sull’IA per finalità generali nella sua versione finale è stato ricevuto nei giorni scorsi dalla Commissione EU ed illustra in dettaglio le norme dell’AI Act per i fornitori di modelli di IA per finalità generali e di modelli di IA per finalità generali con rischi sistemici.

Contesto normativo e finalità del codice di condotta AI

Il codice è progettato per aiutare l’industria a conformarsi alle norme della legge sull’IA per finalità generali, che entrerà in vigore il 2 agosto 2025. Le norme diventano applicabili dall’ufficio per l’IA della Commissione un anno dopo per quanto riguarda i nuovi modelli e due anni dopo per quanto riguarda i modelli esistenti. Ciò mira a garantire che i modelli di IA per finalità generali immessi sul mercato europeo, compresi quelli più potenti, siano sicuri e trasparenti.

Il processo di elaborazione del codice e la sua natura volontaria

L’Ufficio europeo per l’IA ha facilitato l’elaborazione del Codice tramite un panel presieduto da esperti indipendenti, cui hanno partecipato quasi 1000 portatori di interessi, nonché rappresentanti degli Stati membri dell’UE e osservatori europei e internazionali.

Il Codice è stato oggetto di un tortuoso iter con varie bozze, giudicate spesso poco efficaci e soprattutto in contrasto con i principi comunitari sul copyright.

Qui proviamo a fornire una prima analisi tenendo conto che, una volta che il codice sarà approvato dagli Stati membri e dalla Commissione, i fornitori di modelli di IA per finalità generali che firmano volontariamente il codice saranno in grado di dimostrare la conformità ai pertinenti obblighi della legge sull’IA aderendo al codice. In tal modo, i firmatari del codice beneficeranno di un onere amministrativo ridotto e di una maggiore certezza del diritto rispetto ai fornitori che dimostrano la conformità in altri modi.

Una valutazione iniziale del Codice tra progressi e ambiguità persistenti

Sebbene il Codice non vada tanto lontano quanto dovrebbe e permangano alcune ambiguità, rappresenta un timido miglioramento rispetto alle bozze precedenti. Include impegni positivi che i fornitori di GPAI dovranno assumere per dimostrare di aver adottato misure per rispettare le norme sul diritto d’autore dell’UE, il che dovrebbe richiedere una maggiore diligenza e incoraggiare comportamenti più conformi. Forniamo ulteriori dettagli e valutazioni nella nota allegata.

È importante sottolineare che stiamo ancora aspettando la pubblicazione del modello di trasparenza dei dati di addestramento, che dovrebbe guidare i fornitori di GPAI su cosa devono pubblicare per rispettare l’obbligo previsto dall’AI Act di fornire un riepilogo sufficientemente dettagliato dei contenuti utilizzati per l’addestramento – la nostra priorità principale è garantire che questo sia il più completo e granulare possibile. Non abbiamo ancora visto nemmeno l’ambito dei modelli che rientreranno nella definizione di modello GPAI, secondo le linee guida che devono ancora essere pubblicate dall’Ufficio AI.

Criticità aperte e mancanza di chiarezza nelle definizioni

C’è ancora margine per modificare il testo del Codice, poiché è attualmente, come detto, in fase di revisione da parte degli Stati membri e della Commissione. Dato che stiamo ancora aspettando le versioni finali del modello di trasparenza dei dati di addestramento e delle linee guida sull’interpretazione di un modello GPAI, sarà necessario monitorare con attenzione gli sviluppi.

Misure previste per la conformità al diritto d’autore

• L’AI Act dell’UE impone ai fornitori di GPAI l’obbligo di adottare una politica per rispettare il diritto d’autore dell’UE. Il Codice chiarisce che l’adesione al Codice può dimostrare la conformità all’AI Act, ma non costituisce conformità al diritto d’autore sostanziale, ovvero non esiste alcuna esenzione di responsabilità per il solo rispetto del Codice o dell’AI Act. Il Codice “non pregiudica in alcun modo l’applicazione e l’esecuzione del diritto dell’Unione in materia di diritto d’autore e diritti connessi, che spetta ai tribunali degli Stati membri e, in ultima istanza, alla Corte di giustizia dell’Unione europea interpretare”.
• Tempistiche di applicazione: L’obbligo si applicherà ai nuovi modelli immessi sul mercato a partire dal 2 agosto 2025 e ai modelli già presenti sul mercato a partire dal 2 agosto 2027. Tuttavia, ai fornitori di modelli viene concessa una certa flessibilità negli sforzi di conformità tra il 2 agosto 2025 e il 2 agosto 2026, se aderiscono al Codice e dimostrano impegno in buona fede (per evitare un rallentamento dell’immissione di modelli nel mercato UE durante l’incertezza normativa).

Misura 1.1 – Redigere, aggiornare e attuare una politica sul diritto d’autore

• I firmatari devono redigere, aggiornare e attuare una politica per rispettare il diritto d’autore dell’UE per tutti i modelli GPAI immessi sul mercato UE. Devono descrivere tale politica in un unico documento che incorpori le misure previste dal Codice.
• Sono incoraggiati a rendere pubblica e aggiornata una sintesi della loro politica sul diritto d’autore.
• Devono assegnare responsabilità interne per l’attuazione e il monitoraggio di tale politica.
• Valutazione: Positivo che la conformità al diritto d’autore debba essere considerata e che vi sia un responsabile designato, contrastando l’idea che il diritto d’autore non sia rilevante per lo sviluppo dell’IA.

Misura 1.2 – Riprodurre ed estrarre solo contenuti protetti da copyright legalmente accessibili durante il crawling del web

• I firmatari si impegnano a riprodurre ed estrarre solo contenuti protetti da copyright legalmente accessibili durante il crawling del web.
• Ciò implica:
  • non eludere misure tecnologiche progettate per limitare atti non autorizzati, in particolare rispettando restrizioni imposte da abbonamenti o paywall;
  • escludere dal crawling i siti web riconosciuti da tribunali o autorità pubbliche dell’UE come violatori sistematici del copyright su scala commerciale (una lista dinamica sarà pubblicata su un sito UE).
• Valutazione: L’impegno a non eludere le TPM è positivo e potrebbe costituire un precedente utile anche fuori dall’UE. È un miglioramento rispetto alle bozze precedenti che richiedevano solo “sforzi ragionevoli”. Se rispettato, dovrebbe impedire il crawling di siti come YouTube o piattaforme con paywall. L’esclusione dei siti “pirata” è positiva ma richiede attenzione su quali siti includere nella lista.

Misura 1.3 – Identificare e rispettare le riserve di diritti durante il crawling del web

• I firmatari si impegnano a identificare e rispettare le riserve di diritti durante il crawling.
• Ciò implica:
  • utilizzare crawler che rispettano il Robot Exclusion Protocol;
  • identificare e rispettare altri protocolli leggibili da macchina usati per esprimere riserve di diritti.
• Anche se non è più prevista una misura esplicita per la “dovuta diligenza” sui dataset di terze parti, il Codice afferma che i fornitori devono rispettare il diritto d’autore anche quando copiano da dataset di terzi per addestrare un modello.
• I firmatari si impegnano a fornire informazioni pubbliche sui crawler utilizzati, sulle funzionalità robots.txt e su altri strumenti adottati per rispettare le riserve di diritti, e a offrire un sistema di notifica automatica per gli aggiornamenti (es. feed RSS), senza pregiudicare il diritto all’informazione previsto dall’art. 8 della Direttiva 2004/48/CE.
• I firmatari che offrono anche motori di ricerca sono incoraggiati a garantire che il rispetto delle riserve di diritti non abbia effetti negativi sull’indicizzazione dei contenuti.
• Valutazione: Miglioramenti significativi rispetto alle bozze precedenti. È positivo che venga riconosciuta la libertà dei titolari dei diritti di scegliere come riservare i propri diritti. Tuttavia, il linguaggio su cosa costituisca una “riserva appropriata” resta complesso e il riferimento ai “protocolli” è problematico, poiché l’art. 4 della Direttiva DSM non lo richiede. Positivo l’impegno a fornire informazioni sui crawler.

Misura 1.4 – Mitigare il rischio di output che violano il copyright

• I firmatari devono implementare misure tecniche adeguate e proporzionate per evitare che i loro modelli generino output che violano il copyright. Devono inoltre vietare tali usi nei termini di utilizzo e documentazione.
• Se il modello GPAI è rilasciato con licenze open source, devono avvisare gli utenti del divieto di usi che violano il copyright nella documentazione, anche se il modello è integrato in un sistema o fornito a terzi.
• Valutazione: Non è la misura più rilevante per noi (dato il focus sull’output), ma è positivo che si debba considerare l’uso di opere protette per evitare che vengano riprodotte nei risultati.

Misura 1.5 – Designare un punto di contatto e abilitare la presentazione di reclami

• I firmatari si impegnano a implementare meccanismi di reclamo per la non conformità al Codice.
• Valutazione: La misura è generica e lascia discrezionalità ai fornitori GPAI su come gestire i reclami, ma è comunque utile avere un canale di ricorso, soprattutto considerando che la conformità al Codice non offre alcuna esenzione di responsabilità in materia di copyright.

Criticità irrisolte del codice di condotta Ue sull’IA

Il Codice di Condotta definitivo, pensato per aiutare le aziende di IA a rispettare la nuova legge, chiarisce che queste possono addestrare i loro modelli su qualsiasi contenuto, purché vengano rispettati gli opt-out, così come peraltro, perfino in maniera più estesa, prevede il DDL italiano in materia, ora all’esame del Senato.

Ma gli opt-out restano inefficaci, e la maggior parte dei titolari di contenuti, che ne avrebbero diritto perde l’occasione di esercitarli. Questa legge di fatto garantisce alle aziende di IA la possibilità di utilizzare gratuitamente il lavoro della maggior parte dei creatori per addestrare modelli che poi competono con loro.

I soggetti più danneggiati saranno i creatori indipendenti, che hanno meno probabilità di essere consapevoli di poter esercitare l’opt-out e di avere i mezzi per far valere i propri diritti.

Anche l’Ufficio Copyright degli Stati Uniti ritiene che gli opt-out siano totalmente ingiusti per i creatori. Ma la Commissione Europea continua a consolidare questa pessima legislazione in materia.