I "cinque pilastri" dell'UE digitale: tra Big Tech, data privacy e IA

Le "incursioni" dell'UE nel settore tecnologico sono ormai sempre più frequenti: dall'approvazione del Chips Act europeo, che favorirà la produzione di chip e semiconduttori nell'UE (nonché la ricerca informatica in generale), fino ai regolamenti europei sulla riparabilità degli smartphone, pare che Bruxelles stia affrontando la questione hi-tech con un approccio molto più attivo rispetto al passato. Si tratta di una mossa che, a meno di regolamenti e leggi eccessivamente stringenti, andrà sicuramente a tutela dei consumatori e degli utenti europei, anche se spesso il suo nodo più importante viene dimenticato dall'opinione pubblica e dai giornalisti.
Il grosso dell'attività comunitaria degli ultimi anni, infatti, va soprattutto nella direzione della messa in sicurezza dei dati dei cittadini europei, con una serie di atti volti a normare le modalità di raccolta, memorizzazione, utilizzo ed eliminazione di tali informazioni.

I regolamenti principali in tal senso sono essenzialmente cinque, ovvero il Data Act, il Digital Markets Act (DMA), il Digital Services Act (DSA), il Data Governance Act (DGA) e l'Artificial Intelligence Act (AI Act): questa legislazione comprende ciò che oggi conosciamo come i "cinque pilastri" dell'approccio europeo alla tecnologia.

Le fondamenta: DMA e DSA

L'iter legislativo di Digital Markets Act e Digital Services Act è stato in gran parte parallelo: i due regolamenti sono strettamente correlati l'uno all'altro e la loro approvazione non poteva che essere congiunta. Per sommi capi, l'UE ha raggiunto un accordo sul DMA a fine marzo 2022, mentre un accordo politico europeo sul DSA è arrivato qualche settimana dopo, nell'aprile del 2022.

DMA e DSA sono entrati in vigore circa sei mesi più tardi: l'implementazione della nuova legislazione UE, infatti, è avvenuta il 1° novembre 2022, nonostante le previsioni catastrofiste su una "rivoluzione dell'Internet europeo" arrivate da più voci (molte delle quali, invero, provenivano dalle stesse aziende che i due atti legislativi colpivano più duramente).
D'altro canto, il DSA e soprattutto il DMA agiscono come una sorta di legislazione antitrust su scala europea, con lo scopo di spingere le Big Tech, ovvero le grandi multinazionali del settore informatico, ad "aprire" le proprie piattaforme in modo da non avvantaggiare eccessivamente le soluzioni proprietarie e i propri ecosistemi: l'esempio più limpido è quello della paventata "apertura" di Whatsapp, in virtù della quale dovrebbe essere garantita l'interoperabilità con app come Telegram e Signal, permettendo agli utenti di un servizio di dialogare con quelli dell'altro senza soluzione di continuità. Parimenti, viene avversata la prassi di installare pacchetti di app su PC e smartphone di propria produzione (si pensi alla G Suite sugli smartphone Android e a quella di Apple su iPhone, iPad e Mac), nel tentativo di evitare politiche di "gatekeeping" da parte delle grandi aziende, che impedirebbero ai concorrenti di dimensioni minori di sfondare nel mercato.

"Con il Digital Markets Act, le grandi piattaforme online saranno finalmente responsabili delle loro azioni. L'UE cambierà così lo spazio online in tutto il mondo": con queste parole, ad agosto 2022, il Vicepremier ceco per la Digitalizzazione Ivan Bartoš ha commentato la prossima entrata in vigore del DMA. Per la verità, le aspettative di Bartoš sono state largamente disattese (almeno sul breve termine), ma ciò non toglie che il DMA sia un progetto di regolazione estremamente ambizioso.
In termini semplificati, il DMA è il regolamento europeo sui mercati digitali realizzato nel tentativo favorire lo sviluppo di una piena concorrenza all'interno di questi ultimi e di evitare le tendenze monopolistiche e gli abusi di posizione dominante da parte di una ventina di Big Tech "sotto sorveglianza speciale", tra le quali troviamo Apple, Amazon, Google, Meta e TikTok, ma anche Zalando, Aliexpress, LinkedIn, Twitter, Pinterest e persino Wikipedia.

Queste aziende sono note come gatekeeper, il che significa che si tratta di compagnie potenzialmente capaci di usare le loro dimensioni e il loro "potere" economico per impedire l'ingresso nel proprio settore ad altre aziende.
Per questo, si è resa necessaria una legislazione preventiva (o ex ante) che prevede controlli stringenti sulle Big Tech "a rischio" e sulle loro pratiche, condannando in particolare il self preferencing (la prassi per cui, ad esempio, un produttore integra il suo browser sul suo sistema operativo come strumento predefinito), il rifiuto dell'accesso ai propri dati ad aziende terze e la combinazione dei dati degli utenti tra diversi servizi gestiti dalla stessa azienda (pensate alla profilazione degli utenti su tutte le piattaforme social di Meta, per esempio).

Tutte queste prassi, insieme al leveraging, ovvero allo sfruttamento della propria posizione di predominanza per ridurre la concorrenza, vengono posizionate in una vera e propria blacklist dall'UE, che si impegna a indagare sull'azione delle Big Tech e a fare in modo che esse non contrastino la libera concorrenza nei rispettivi settori di operatività.

Le multe sono salate: chi non rispetta il DMA si vede recapitata una sanzione pari al 10% del fatturato annuo, che diventa il 20% in caso di recidiva. Il Digital Services Act, il nuovo regolamento sui servizi digitali dell'UE, rafforza il DMA: non a caso, i due atti sono stati approvati insieme.
L'idea alla base del DSA è semplice, quasi scontata, e si può spiegare con le parole di Ursula von der Leyen: "ciò che è illegale offline deve essere illegale anche online". Vengono così regolamentate pratiche che finora si collocavano nella "zona grigia" dei servizi sul web, con lo scopo di fornire un quadro normativo europeo chiaro, volto alla tutela dei diritti (e dei dati) dei consumatori e al contrasto della disinformazione online.
Il DSA divide tutte le aziende operative online in quattro categorie, ossia "hosting e cloud", "social media e piattaforme online", "very large platforms" e "servizi intermedi". Tutte queste compagnie devono illustrare chiaramente le proprie condizioni di utilizzo agli utenti e fornire al legislatore europeo delle indicazioni trasparenti sui propri sistemi di moderazione (su questo punto si era generata una piccola "crisi" politica tra UE e Twitter, all'epoca del takeover di Elon Musk) e sui propri algoritmi (il che aveva messo Bruxelles ai ferri corti con Amazon e con Meta negli scorsi mesi).
Inoltre, esse non possono operare pratiche ingannevoli per manipolare le scelte degli utenti, specie nel caso delle pubblicità: tutte le inserzioni, infatti, devono essere regolate da algoritmi diffusi online al pubblico.

La gestione dei dati dei cittadini europei

Il Data Act è a uno stadio più arretrato rispetto a DMA e DSA, dal momento che l'accordo politico tra Parlamento e Consiglio Europeo è stato raggiunto solo il 28 giugno.
La palla è dunque passata ai parlamentari europei, che dovranno approvare formalmente la legge, la quale verrà applicata (nel migliore dei casi) solo tra 20 mesi. Ammesso che venga approvato nella forma attuale, il Data Act creerà la figura dei "Data Holder", ovvero delle aziende che detengono, con l'approvazione dei cittadini europei, alcuni dati di questi ultimi. Queste compagnie saranno tenute a fornire informazioni chiare e complete sui dati raccolti sulla base delle attività degli utenti che utilizzano i loro dispositivi e servizi e potranno utilizzarli solo previa firma di un contratto con l'utente (i famosi "termini e condizioni di servizio").

Nelle scorse settimane, il Data Act è stato collegato allo scudo per la privacy digitale dell'UE, che deroga l'atto stesso ancora prima della sua entrata in vigore e che consente la condivisione dei dati degli utenti con gli Stati Uniti, permettendo così alle grandi piattaforme (social network in primis) di memorizzare le informazioni dei cittadini europei sui propri server americani, pur limitando l'accesso a questi ultimi da parte delle autorità di Washington.
Limitatamente al mercato europeo, invece, i Data Holder devono fornire i dati dei loro utenti alle agenzie di polizia solo in condizioni "speciali", dettate da precise condizioni di legge e da situazioni emergenziali.

Invece, il Data Governance Act è stato approvato dal Parlamento Europeo a inizio aprile 2023: si tratta del primo strumento regolamentare sui dati dell'UE, approvato sulla base di una serie di disposizioni risalenti al 2020 per la creazione di uno spazio europeo di condivisione dei dati dei cittadini nei settori strategici.

Nello specifico, il Data Governance Act riguarda il settore pubblico più che quello privato, coinvolgendo ambiti come la sanità, la mobilità e la pubblica sicurezza. Tuttavia, esso permetterà pure alle aziende di condividere tra loro i dati immagazzinati nei propri server, anche se per fare ciò sarà necessario richiedere il consenso agli utenti, che potranno a loro volta avvalersi della tutela di appositi "intermediari", il cui compito sarà quello di aiutarli a esercitare i propri diritti seguendo le linee guida tratteggiate dal DGA stesso.
Il Data Governance Act, dunque, è fondamentale perché permette la circolazione dei dati dei cittadini europei tra enti pubblici e privati nell'Eurozona, ma anche perché pone importanti paletti per questa prassi, implementando così delle garanzie di sicurezza (e delle figure volte a farle rispettare) per gli utenti. L'idea alla base della regolazione, che non è stata particolarmente contestata dalla Big Tech, è infatti quella di utilizzare i dati come volano dell'economia europea, pur garantendo un giusto riconoscimento dei diritti di base dei consumatori.

Regolare l'Intelligenza Artificiale: l'AI Act

L'ultimo atto legislativo, nonché il più controverso, è l'AI Act dell'Unione Europea. A fine giugno, per esempio, ben 150 aziende si sono schierate contro l'AI Act, mentre persino OpenAI ha cercato di modificare il regolamento con un'intensa attività di comunicazione tra Bruxelles e Strasburgo.
Nelle intenzioni dell'UE, l'AI Act vuole assicurare il funzionamento del mercato europeo nell'ambito delle Intelligenze Artificiali. All'atto pratico, però, la misura comprende diverse parti, alcune più criticate di altre. In primo luogo, esso regola alcune pratiche legate all'IA ritenute eccessivamente "rischiose" per via dello stato ancora embrionale della tecnologia.

Tra queste pratiche "illegali" abbiamo l'identificazione biometrica a distanza e la profilazione basata sull'IA degli utenti in base a sesso, etnia, religione od orientamento politico, ma anche i sistemi di riconoscimento delle emozioni e persino lo scraping dei dati dei cittadini europei a partire dai grandi database online, come quelli dei social network o di Google Immagini.
Anche i sistemi di polizia predittiva sono proibiti, che siano basati sull'IA o che si tratti di applicativi tradizionali. Benché in molti siano a favore di queste misure in gran parte precauzionali, alcuni ritengono che una legislazione troppo stringente sull'IA possa stroncare sul nascere il settore in Europa, causando ingenti danni economici sul medio e lungo periodo.

Il nodo principale del regolamento, che ha fatto quasi uscire ChatGPT dal mercato europeo, è però quello della condivisione dei modelli di base delle IA. In altre parole, una versione preliminare dell'AI Act europeo avrebbe imposto ad OpenAI di pubblicare (o almeno di fornire ai legislatori europei) il codice di base dei suoi Large Language Model (LLM), come GPT-3.5 e GPT-4.

Lo stesso avrebbero dovuto fare anche Google, Meta e Microsoft, ovviamente.
Non a caso, buona parte di queste aziende hanno minacciato di uscire dall'Unione Europea con i loro progetti IA qualora l'AI Act, almeno in questa forma "dura", dovesse entrare in vigore.
Proprio per questo, è assai probabile che la versione definitiva dell'atto legislativo sarà ben più "annacquata" nei contenuti rispetto alla bozza originale. Resterà, invece, un approccio basato sul rischio dell'IA, che dividerà tutti gli applicativi in tre categorie, ovvero le IA a rischio "inaccettabile", assolutamente vietate sul suolo europeo; quelle a rischio "elevato", che devono condividere alcuni dati con i legislatori europei (tra le quali rientrano gran parte dei Chatbot e degli assistenti digitali AI-Based); e quelle a rischio ridotto o minimo, che invece godranno di maggiore libertà operativa nell'Eurozona. In ogni caso, l'AI Act è ancora ben lungi dall'entrata in vigore: la sua approvazione ufficiale da parte del Parlamento Europeo potrebbe arrivare solo a fine 2023, se non addirittura ad inizio 2024, con un'entrata in vigore nel corso del 2024 o persino del 2025.