Tuttavia, l’adozione di AIaaS solleva complesse questioni legali ed etiche, in particolare nel contesto della normativa europea sulla protezione dei dati e sulla responsabilità degli intermediari.
Questo articolo approfondisce le responsabilità legali e gli obblighi associati all’AIaaS. Si concentra principalmente sui ruoli e sugli obblighi dei fornitori di AIaaS, affrontando questioni critiche come la protezione dei dati ai sensi del Regolamento generale sulla protezione dei dati (GDPR) e le sfide poste dalla natura dinamica e interconnessa di AIaaS. Comprendere il panorama legale è fondamentale sia per i fornitori che per gli utenti di AIaaS, poiché influisce sulla privacy, sulla sicurezza e sulla conformità dei dati in questo campo in rapida evoluzione.
Responsabilità e obblighi legali
In questo capitolo, approfondiamo le questioni legali derivanti dall’AI as a Service (AIaaS) nel contesto della normativa europea sulla protezione dei dati e sulla responsabilità degli intermediari. Il nostro obiettivo principale sarà comprendere i ruoli, le responsabilità e le potenziali passività dei fornitori di AIaaS, con un’enfasi su come l’uso dei dati di input dei clienti per l’addestramento dei modelli di intelligenza artificiale influisce su questi aspetti.
Nel corso di questa discussione, sottolineiamo che molte sfide legali affrontate dai fornitori AIaaS derivano dalle loro stesse attività, in particolare quelle relative al trattamento supplementare, e dal fatto che, quando i servizi sono offerti genericamente su base chiavi in mano, i fornitori spesso hanno una conoscenza limitata di come i clienti utilizzano i loro servizi. Inoltre, solleviamo dubbi sull’idoneità dei quadri giuridici esistenti alle relazioni complesse, interconnesse e in continua evoluzione inerenti all’AIaaS.
Protezione dati
Il GDPR (Regolamento generale sulla protezione dei dati) fornisce un quadro completo che disciplina il trattamento dei dati personali. I dati personali sono definiti in generale come qualsiasi informazione relativa a una persona fisica identificata o identificabile. All’interno del GDPR, le entità coinvolte nel trattamento dei dati personali sono classificate come titolari del trattamento o responsabili del trattamento dei dati. Il trattamento comprende varie operazioni eseguite sui dati personali, tra cui raccolta, archiviazione, trasmissione e analisi. Tutti i trattamenti di dati personali coperti dal GDPR devono basarsi su uno dei motivi legittimi specificati nel regolamento.
Determinare se i dati si qualificano come dati personali dipende da due domande chiave:
(1) I dati si riferiscono a una persona fisica?
(2) L’individuo è identificabile da tali dati?
In molti casi, i dati trattati all’interno della catena AIaaS si riferiranno chiaramente a una persona fisica.
L’identificabilità della persona è un fattore cruciale in questa determinazione.
L’identificabilità, come definita dal GDPR, significa che una persona può essere identificata, direttamente o indirettamente, dai dati. Il GDPR non richiede che i dati da soli consentano l’identificazione, né che tutte le informazioni necessarie per l’identificazione debbano essere conservate da un’unica entità. Il GDPR riconosce scenari in cui i titolari del trattamento trattano dati personali senza essere in grado di identificare gli interessati stessi. Ad esempio, se le finalità del trattamento non richiedono l’identificazione degli interessati, i titolari del trattamento non sono obbligati ad acquisire ulteriori informazioni identificative esclusivamente per il rispetto del GDPR.
Dovrebbero essere presi in considerazione fattori quali costi, tempo, tecnologia disponibile e potenziali sviluppi tecnologici. È importante sottolineare che la CGUE (Corte di giustizia dell’Unione europea) ha stabilito che non è necessario che i dati consentano l’identificazione immediata per essere classificati come dati personali. Inoltre, il GDPR prevede situazioni in cui i titolari del trattamento possono trattare dati personali senza essere in grado di identificare gli interessati, a condizione che tale identificazione non sia vietata dalla legge né praticamente impossibile.
Molti servizi di intelligenza artificiale coinvolgono intrinsecamente dati personali, come l’analisi del pubblico, il riconoscimento vocale, la trascrizione vocale, il riconoscimento facciale e l’elaborazione di suoni, immagini e testo. I clienti che utilizzano AIaaS sono generalmente consapevoli se trattano dati personali, soprattutto quando le loro applicazioni interagiscono direttamente o monitorano terze parti.
Tuttavia, i fornitori di AIaaS potrebbero avere una conoscenza limitata dei dati specifici trattati a causa della natura generica dei servizi che offrono. Questa mancanza di conoscenza deriva dal fatto che i fornitori di AIaaS spesso servono numerosi clienti, ciascuno con i suoi casi d’uso unici, e potrebbero non condurre controlli approfonditi su come ciascun cliente utilizza i propri servizi, soprattutto nei casi in cui i dati personali o di categorie speciali non sono inerenti al servizio.
In pratica, per evitare di trattare involontariamente dati personali in modo illegale, i clienti e i fornitori di AIaaS dovrebbero applicare gli standard del GDPR a tutti i trattamenti all’interno della catena AIaaS, indipendentemente dal fatto che coinvolgano dati personali. Questa precauzione è particolarmente importante dato che il GDPR si applica indipendentemente dal fatto che il trattamento comprenda anche dati non personali, senza fare alcuna distinzione tra i due. Senza garanzie, i fornitori di AIaaS rischiano di trattare inavvertitamente i dati personali in violazione del GDPR, soprattutto se presumono che determinati dati non siano dati personali.
Sebbene i requisiti del GDPR si applichino a tutte le fasi della catena di elaborazione AIaaS, diverse questioni sono particolarmente rilevanti per AIaaS. La complessità delle interazioni tra terze parti, clienti e fornitori rende difficile determinare con precisione i ruoli del titolare del trattamento e del responsabile del trattamento.
La natura dinamica e interconnessa dell’AIaaS pone inoltre difficoltà ai fornitori nella gestione delle responsabilità in materia di protezione dei dati e nel rispetto delle basi giuridiche per il trattamento. Di conseguenza, forniamo un’analisi di alto livello delle questioni relative alla protezione dei dati derivanti dalle pratiche comuni dei fornitori per illustrare il contesto giuridico generale per AIaaS, in particolare se offerto come servizio basato su modelli chiavi in mano.
La nostra attenzione si concentra sulla posizione giuridica dei fornitori, valutando le loro pratiche nel mondo reale rispetto al GDPR e alla giurisprudenza della CGUE, piuttosto che approfondire casi d’uso specifici. Tuttavia, riconosciamo che i servizi di intelligenza artificiale offerti a titolo di consulenza o personalizzati esclusivamente per clienti specifici possono comportare accordi che si discostano dagli scenari qui descritti.
Nelle sezioni successive, esploreremo gli aspetti chiave della legge sulla protezione dei dati che sono rilevanti per i fornitori di AIaaS, inclusa l’assegnazione dei ruoli, la base giuridica per il trattamento e le sfide poste dalla natura complessa e in evoluzione dell’AIaaS.
Titolari e Responsabili del trattamento
Nell’ambito dell’AIaaS e della sua complessa catena di trattamento, comprendere i ruoli dei titolari e dei responsabili del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR) è fondamentale. Il GDPR impone obblighi di conformità distinti a queste due categorie e il fatto che un’entità assuma il ruolo di titolare o responsabile del trattamento può avere implicazioni significative per le responsabilità in materia di protezione dei dati.
Titolari del trattamento: la maggior parte degli obblighi di conformità al GDPR ricadono principalmente sui titolari del trattamento dei dati. I titolari del trattamento sono i soggetti responsabili di determinare il motivo e le modalità del trattamento dei dati personali. Sono tenuti a rispettare i principi di protezione dei dati quali liceità, correttezza e trasparenza; limitazione dello scopo; minimizzazione dei dati; precisione; limitazione di archiviazione; integrità e riservatezza; e responsabilità. I titolari del trattamento devono stabilire una base giuridica valida per il trattamento dei dati personali, implementare misure tecniche e organizzative per garantire la conformità al GDPR ed essere in grado di dimostrare tale conformità.
Responsabili del trattamento: I responsabili del trattamento, invece, sono soggetti che svolgono attività di trattamento dei dati personali per conto dei titolari, seguendo le istruzioni del titolare. I responsabili del trattamento hanno obblighi specifici del GDPR, tra cui garantire la sicurezza dei dati, collaborare con i titolari del trattamento ed elaborare i dati solo come indicato dal titolare del trattamento.
A partire da agosto 2020, i principali fornitori di AIaaS come AWS, Microsoft Azure e Google Cloud generalmente si definiscono responsabili del trattamento nei loro contratti di servizio, con i clienti generalmente considerati responsabili del trattamento. Tuttavia, le definizioni contrattuali potrebbero non determinare in modo definitivo questi ruoli, poiché su di essi influiscono anche le circostanze fattuali del trattamento dei dati.
Diversi casi chiave della CGUE (Corte di giustizia dell’Unione europea) hanno fatto luce sull’assegnazione del controllo, evidenziando punti importanti:
- Il concetto di titolare del trattamento dovrebbe essere interpretato in senso ampio per una protezione completa degli interessati.
- Sono considerati titolari del trattamento i soggetti che influenzano il trattamento per proprie finalità o interessi commerciali, anche se non controllano direttamente i dati.
- L’accesso ai dati personali non è un prerequisito per il controllo.
- La titolarità congiunta non esonera alcun titolare del trattamento dagli obblighi del GDPR e l’utilizzo della piattaforma di un’altra entità non esenta un titolare del trattamento dalla conformità.
- La contitolarità non significa necessariamente corresponsabilità per tutte le fasi del trattamento; soggetti diversi possono essere titolari del trattamento per specifiche fasi del trattamento.
Nel contesto di AIaaS, capire se si è un titolare o un responsabile del trattamento è fondamentale, poiché determina l’entità delle responsabilità e degli obblighi di conformità al GDPR. Fornitori e clienti devono valutare attentamente i propri ruoli e responsabilità all’interno della catena di trattamento AIaaS per garantire il rispetto delle normative sulla protezione dei dati.
Assegnazione del controllo

Figura. Assegnazioni di ruoli nella catena AIaaS in cui i fornitori non influenzano il trattamento dei dati di input o output per i propri scopi. In questo caso i clienti sono titolari del trattamento in tutte le fasi ed eventualmente anche degli eventuali trattamenti successivi da loro eseguiti. I fornitori AIaaS agiscono come processori per i propri clienti nelle fasi di trasferimento , analisi e restituzione .
La definizione dei ruoli come titolari o responsabili del trattamento nel contesto dell’AIaaS può essere complessa, con implicazioni significative per le responsabilità in materia di protezione dei dati ai sensi del GDPR. Qui sveliamo le complessità di questi ruoli:
Clienti come titolari del trattamento: nella maggior parte dei casi, i clienti dei servizi AIaaS assumeranno invariabilmente il ruolo di titolari del trattamento lungo l’intera catena di elaborazione AIaaS. Sono loro che definiscono le finalità e le modalità del trattamento dei dati. Ad esempio, quando i clienti offrono funzionalità basate sull’intelligenza artificiale a terzi, delegano il trattamento, compresi scopi e metodi, al fornitore AIaaS. Ciò vale indipendentemente dal modo in cui i dati vengono trasmessi al provider, anche quando questi bypassano l’attrezzatura del cliente. In questi scenari, l’applicazione del cliente determina la modalità di trattamento dei dati e, di conseguenza, definisce le finalità e i mezzi del trattamento AIaaS.
Fornitori come responsabili del trattamento: determinare i ruoli dei fornitori AIaaS è più sfumato, soprattutto considerando le loro attività di elaborazione supplementari. Se un fornitore AIaaS analizza esclusivamente i dati di input, restituisce gli output ai clienti e si impegna nell’elaborazione accessoria necessaria per fornire il servizio (ad esempio fatturazione, sicurezza, conformità), in genere agisce come responsabile del trattamento. In questo caso il cliente mantiene il controllo sulle finalità del trattamento. Le attività del fornitore vengono eseguite secondo le indicazioni del cliente e il loro ruolo principale è facilitare il servizio richiesto.
Fornitori come titolari del trattamento: tuttavia, se il fornitore intraprende qualsiasi trattamento per i propri scopi, indipendentemente dal servizio AIaaS principale, lo scenario cambia. Questa elaborazione supplementare, che opera insieme alla catena AIaaS, introduce complessità. I fornitori influenzerebbero quindi le finalità del trattamento, poiché tali finalità ora vanno oltre le intenzioni del cliente. Le attività di elaborazione supplementari del fornitore si intrecciano con le fasi di analisi e trasferimento della catena AIaaS, poiché servono sia agli scopi supplementari del fornitore che al servizio primario al cliente. Questo duplice scopo significa effettivamente che i fornitori determinano anche i mezzi di elaborazione in queste fasi, poiché stabiliscono come i dati del cliente vengono utilizzati per i propri trattamenti supplementari.
Di conseguenza, quando i fornitori AIaaS effettuano trattamenti supplementari, possono essere considerati titolari del trattamento delle fasi di trasferimento e analisi della catena di trattamento AIaaS. Influenzano non solo il perché ma anche il come dell’elaborazione dei dati in queste fasi. Tuttavia, questo controllo non si estende oltre queste fasi, poiché la restituzione dei dati in uscita ai clienti e il loro successivo utilizzo non hanno lo scopo di facilitare il trattamento supplementare da parte del fornitore. Nella fase di restituzione, i fornitori in genere agiscono come responsabili del trattamento, poiché eseguono le istruzioni del cliente.
In particolare, questa assegnazione legale di ruoli nell’AIaaS può differire dal modello tradizionale dei servizi cloud, principalmente a causa delle attività di elaborazione supplementari degli stessi fornitori di AIaaS. In particolare, i principali fornitori di AIaaS come AWS, Microsoft Azure e Google Cloud si impegnano in elaborazioni supplementari per vari servizi di intelligenza artificiale. Questa complessa interazione di ruoli sottolinea la natura in evoluzione e complessa delle responsabilità in materia di protezione dei dati nel panorama AIaaS.
La relazione tra i controllori

Figura Assegnazione dei ruoli nella catena AIaaS in cui i fornitori influenzano il trattamento dei dati dei clienti per i propri scopi (ovvero per facilitare il trattamento supplementare, in questo caso utilizzando dati di input e output del modello). I Clienti sono titolari del trattamento per le fasi di trasferimento e di analisi , nonché titolari (da soli o congiuntamente ad altri) della fase di raccolta ed eventualmente anche degli eventuali trattamenti successivi da loro effettuati. I fornitori sono contitolari del trattamento con i clienti per le fasi di trasferimento e analisi e responsabili del trattamento per la fase di restituzione .
Quando sia i clienti che i fornitori AIaaS assumono il ruolo di titolari del trattamento nelle varie fasi della catena di elaborazione AIaaS, sorge la domanda:
Sono contitolari o distinti titolari del medesimo trattamento?
Il GDPR definisce contitolari i soggetti che determinano congiuntamente le finalità e i mezzi del trattamento. Tuttavia, in ambienti complessi e multipartitici come AIaaS, possono emergere varie forme di “controllo pluralistico”, in cui i controllori possono perseguire i propri scopi a vari livelli.
Il Comitato europeo per la protezione dei dati (EDPB) sottolinea che “congiuntamente” dovrebbe significare “insieme a” o “non da soli”, a seconda degli accordi specifici tra i titolari del trattamento.
Secondo l’EDPB, la titolarità congiunta può sorgere quando i titolari del trattamento prendono una “decisione comune” su scopi e mezzi o quando hanno “decisioni convergenti” riguardo agli stessi scopi e mezzi. Spesso si verificano decisioni convergenti quando il trattamento serve gli interessi commerciali o economici di entrambe le parti e il trattamento non sarebbe possibile senza la partecipazione di entrambi i responsabili del trattamento.
Nel contesto di AIaaS, i contratti di servizio dei principali fornitori come AWS, Microsoft Azure e Google Cloud specificano in genere che i dati dei clienti possono essere utilizzati per elaborazioni supplementari, con diverse opzioni di adesione o di rifiuto. I clienti accettano implicitamente o esplicitamente questi termini quando utilizzano i servizi AI. A meno che i clienti non si oppongano al trattamento supplementare, il loro contratto di utilizzo implica il consenso affinché il fornitore utilizzi i propri dati inseriti per facilitare il trattamento supplementare. In tali casi, gli scopi del trattamento sia del cliente che del fornitore convergono: fornire il servizio di intelligenza artificiale al cliente e facilitare il trattamento supplementare del fornitore.
Di conseguenza, clienti e fornitori diventano co-titolari del trattamento per il trasferimento e potenzialmente per le fasi di analisi della catena di trattamento AIaaS quando hanno luogo trattamenti supplementari. Tuttavia, se i fornitori effettuano trattamenti aggiuntivi anche dopo che i clienti hanno rinunciato, il fornitore diventa un titolare del trattamento separato per tali fasi. Gli scopi del cliente e del fornitore non coincidono e non determinano congiuntamente scopi e mezzi.
La distinzione tra contitolari e separati titolari del trattamento è significativa perché i contitolari del trattamento condividono le responsabilità per vari aspetti del trattamento e devono stabilire accordi formali per dividere tali responsabilità, compresi i diritti degli interessati. Al momento in cui scrivo, gli accordi di servizio dei principali fornitori AIaaS non tengono conto di tale situazione.
Il GDPR in sé non specifica poteri esecutivi specifici relativi alla titolarità congiunta, ma le autorità di controllo hanno poteri correttivi a loro disposizione, tra cui avvertimenti, ordini di conformarsi, divieti di trattamento e sanzioni significative. Le conseguenze esatte per i contitolari del trattamento che non riescono a organizzare adeguatamente il loro rapporto rimangono poco chiare, poiché il GDPR non delinea sanzioni specifiche in questo contesto.
In questo intricato panorama di AIaaS, comprendere e affrontare le sfumature della titolarità congiunta è fondamentale per garantire il rispetto delle normative sulla protezione dei dati e la tutela dei diritti delle persone e della privacy dei dati.
Titolare del trattamento integrativo
Nella nostra analisi, stabiliamo che i fornitori che effettuano trattamenti aggiuntivi sono co-titolari del trattamento con i clienti per le fasi di trasferimento e analisi della catena di trattamento AIaaS. Tuttavia, riteniamo che i fornitori siano gli unici titolari del trattamento supplementare stesso.
È fondamentale distinguere tra (a) elaborazione dei dati dei clienti effettuata come parte della catena AIaaS per fornire il servizio AI e facilitare l’elaborazione supplementare e (b) elaborazione dei dati dei clienti separatamente da parte del fornitore come parte dell’elaborazione supplementare. I trattamenti aggiuntivi costituiscono una catena di trattamento distinta, finalizzata esclusivamente alle finalità del fornitore.
In questo contesto, il cliente non può essere considerato responsabile del trattamento separato della catena di trattamento supplementare perché non ne influenza le finalità o i mezzi. Pertanto il fornitore è l’unico titolare del trattamento per questi trattamenti aggiuntivi.
Basi giuridiche del trattamento
I titolari del trattamento devono disporre di una base giuridica valida per il trattamento dei dati personali e questo requisito si estende all’intera catena AIaaS. Per i dati personali “ordinari”, il GDPR fornisce sei basi per il trattamento, tra cui il consenso, l’esecuzione del contratto e gli interessi legittimi del titolare del trattamento. Tuttavia, il trattamento dei dati di categorie speciali è soggetto a restrizioni più rigorose, con solo poche esenzioni. Nella maggior parte delle circostanze AIaaS, è necessario ottenere il consenso esplicito degli interessati ai fini della catena di trattamento AIaaS.
Date le difficoltà nel distinguere tra diverse categorie di dati e i rigorosi requisiti per il trattamento dei dati di categorie speciali, i fornitori possono scegliere di trattare tutti i dati immessi come dati di categorie speciali, adottando un approccio precauzionale. I fornitori che effettuano trattamenti aggiuntivi potrebbero non aver bisogno di una propria base giuridica per il trattamento se non eseguono trattamenti aggiuntivi. In tali casi, sono responsabili del trattamento che agiscono secondo le istruzioni dei loro clienti titolari.
Tuttavia, quando i dati di categorie speciali vengono trattati all’interno della catena AIaaS, i clienti e i fornitori che agiscono in qualità di titolari del trattamento necessitano in genere del consenso esplicito degli interessati ai fini del trattamento. Tale consenso deve essere ottenuto per ciascuna finalità per la quale viene eseguita la catena di trattamento AIaaS, che include sia la fornitura del servizio ai clienti sia la facilitazione del trattamento supplementare da parte dei fornitori.
La sfida sta nell’ottenere il consenso esplicito, soprattutto quando i clienti non interagiscono direttamente con terze parti passive, come negli scenari di sorveglianza. I fornitori, che fungono da contitolari del trattamento per le fasi di trasferimento e analisi con interazione limitata con terze parti, possono fare affidamento sulle garanzie dei clienti in merito al consenso esplicito. Tuttavia, questo approccio comporta il rischio di un trattamento illecito se i clienti non ottengono un consenso valido.
Per i trattamenti integrativi da parte dei fornitori la situazione diventa più complessa. I fornitori potrebbero non sempre sapere se i dati dei clienti coinvolgono dati di categorie speciali, rendendo difficile fare affidamento sull’esenzione sostanziale per interesse pubblico. Pertanto, i fornitori dovrebbero, in pratica, fare affidamento sulla base del consenso esplicito per questo trattamento.
Tuttavia, i fornitori incontrano ostacoli nell’ottenere essi stessi il consenso esplicito poiché i clienti non sempre dispongono delle informazioni necessarie per il consenso specifico degli interessati. Inoltre, gli interessati devono avere la possibilità di negare il consenso senza pregiudizio, cosa che non è sempre fattibile in AIaaS.
Attualmente, nessuno dei principali contratti di servizio dei fornitori di AIaaS contiene disposizioni relative alla prova del consenso, il che suggerisce che il trattamento supplementare che coinvolge dati di categorie speciali potrebbe essere condotto illegalmente. Di conseguenza, i fornitori AIaaS che agiscono come titolari esclusivi del trattamento supplementare potrebbero violare involontariamente le disposizioni del GDPR e affrontare potenziali azioni coercitive, tra cui multe, divieti di trattamento e richieste legali di risarcimento.
Il complesso panorama dell’AIaaS e del trattamento dei dati richiede un’attenta considerazione delle basi giuridiche per il trattamento, in particolare quando si tratta di dati di categorie speciali, per garantire il rispetto delle norme sulla protezione dei dati e salvaguardare i diritti e la privacy degli interessati.
Responsabilità dell’intermediario
La fornitura di servizi di IA, spesso offerti “chiavi in mano”, pone potenziali sfide in termini di responsabilità degli intermediari. Queste sfide derivano dal fatto che i servizi di intelligenza artificiale vengono forniti senza controlli approfonditi sull’identità dei clienti o sugli usi previsti. Ciò apre la possibilità all’uso improprio dei servizi di intelligenza artificiale per sostenere varie forme di attività illegali, come crimini finanziari, frodi, molestie, violazioni della proprietà intellettuale o responsabilità civile derivante dall’uso improprio di questi servizi. Sebbene i clienti in genere siano direttamente responsabili per qualsiasi utilizzo illegale dei servizi di intelligenza artificiale, si pone la questione se anche i fornitori possano affrontare un certo livello di responsabilità per aver abilitato, facilitato o addirittura coinvolto direttamente in tali attività illegali.
La direttiva sul commercio elettronico dell’UE offre determinate tutele dalla responsabilità per i fornitori di servizi della società dell’informazione.
Queste protezioni sono potenzialmente disponibili per tre attività specifiche:
(i) agire come un “mero canale” (trasmettere informazioni tra individui senza selezionare o modificare il contenuto),
ii) il “caching” (un’attività tecnica associata alla funzione di canale) e
(iii) “hosting” (memorizzazione delle informazioni fornite dai destinatari del servizio).
L’ammissibilità alla protezione dei fornitori di AIaaS dipende dalla qualifica di AIaaS come servizio della società dell’informazione e dal fatto che le attività dei fornitori rientrino in una di queste categorie. Tuttavia, l’applicazione di queste tutele è soggetta a condizioni specifiche.
AIaaS rientra innegabilmente nella categoria dei servizi della società dell’informazione. Viene fornito dietro compenso, con mezzi elettronici a distanza e su richiesta individuale dei destinatari, assoggettando i fornitori AIaaS alla Direttiva sul commercio elettronico.
Tuttavia, i fornitori AIaaS non soddisfano i criteri per agire come semplici canali, memorizzazione nella cache o hosting ai sensi della direttiva. Queste protezioni sono progettate per servizi che trasmettono o archiviano informazioni in modo neutro, passivo e tecnico, senza modificare o interagire attivamente con il contenuto. Al contrario, i fornitori di AIaaS analizzano attivamente i dati immessi dai clienti utilizzando i loro algoritmi, generano nuove informazioni e le restituiscono ai clienti. Questa attività va oltre la mera trasmissione o archiviazione dei dati e comporta l’elaborazione e la modifica attiva, escludendo i fornitori di AIaaS da queste tutele.
Anche se si dovesse sostenere che i fornitori AIaaS si qualificano come host, operano comunque oltre l’ambito delle protezioni della direttiva. La direttiva impone ai fornitori di servizi di agire come fornitori di servizi intermediari, impegnandosi in attività di “mera natura tecnica, automatica e passiva” senza avere conoscenza o controllo sulle informazioni che trasmettono o archiviano. I fornitori AIaaS analizzano attivamente i dati, esercitando il controllo sulle informazioni elaborate e generate durante il servizio. Tale controllo, anche senza l’effettiva conoscenza degli specifici contenuti, li esclude dalle tutele degli intermediari.
In sintesi, i fornitori di AIaaS non sono protetti dalla responsabilità per attività illegali condotte utilizzando i loro servizi. Che siano considerati host o meno, la natura attiva del coinvolgimento dei fornitori AIaaS nell’elaborazione e nella generazione di informazioni per i clienti li pone al di fuori degli scudi di responsabilità previsti dalla Direttiva sul commercio elettronico. Questa mancanza di protezione lascia i fornitori di AIaaS in una posizione di incertezza riguardo alle potenziali responsabilità derivanti dalle attività illegali dei loro clienti. Anche se i fornitori potrebbero non essere direttamente responsabili della cattiva condotta dei clienti, il fatto che AIaaS consenta, faciliti e sostenga varie funzionalità applicative significa che i fornitori potrebbero dover affrontare domande complesse sul loro coinvolgimento in tali attività.
Sfide per il diritto esistente
Le questioni relative ai fornitori AIaaS, al controllore e alla responsabilità evidenziano i limiti dei quadri giuridici esistenti che hanno avuto origine in un’era diversa di trattamento dei dati. Questi framework sono stati progettati per una comprensione più lineare e meno complessa dell’elaborazione dei dati e faticano ad adattarsi alla natura dinamica, interconnessa e complessa delle architetture e delle relazioni di elaborazione contemporanee.
- Concetti giuridici obsoleti : i concetti di titolare del trattamento e responsabile del trattamento sono stati introdotti nel diritto dell’UE in un momento in cui il trattamento dei dati era più semplice. Questi concetti sono stati sviluppati nell’ambito della Direttiva sulla protezione dei dati e mantenuti nel GDPR, ma potrebbero non affrontare in modo efficace le complessità delle moderne relazioni di elaborazione dei dati.
- Ambienti di rete complessi : l’attuale quadro giuridico non è in grado di accogliere facilmente le complesse relazioni di rete che sorgono negli ambienti contemporanei di elaborazione dei dati. Considerando la possibilità che più entità agiscano come titolari o responsabili del trattamento in diverse fasi dell’AIaaS, l’assegnazione delle responsabilità e la comprensione delle relazioni di trattamento dei dati diventa una sfida.
- Mancanza di chiarezza : in molti casi è difficile definire chiaramente chi sono i titolari del trattamento e cosa comportano i loro rispettivi ruoli e responsabilità. Il panorama giuridico diventa ancora più oscuro quando sono coinvolte applicazioni di terze parti, poiché possono interagire con i fornitori AIaaS, complicando ulteriormente l’assegnazione delle responsabilità.
- Influenza vs. controllo : la concezione tradizionale delle relazioni titolare-responsabile del trattamento non riflette accuratamente le dinamiche di potere in molti scenari moderni di elaborazione dei dati. I fornitori di AIaaS hanno spesso un’influenza significativa sui mezzi e sulle finalità del trattamento, anche se tecnicamente sono considerati responsabili del trattamento. La distinzione tra influenza e controllo rimane poco chiara nel quadro giuridico.
- Predominio dei principali fornitori : i grandi fornitori di AIaaS, come Amazon, Google e Microsoft, esercitano una notevole influenza sul mercato dei servizi di intelligenza artificiale. Le loro politiche e decisioni possono avere un impatto significativo sugli scopi e sui mezzi per i quali AIaaS può essere utilizzato. Le organizzazioni più piccole potrebbero ritrovarsi bloccate negli ecosistemi di questi fornitori, limitando le loro scelte e la loro influenza.
- Applicazione complessa delle leggi sulla protezione dei dati : l’applicazione delle leggi sulla protezione dei dati diventa sempre più complessa negli ambienti AIaaS. Spesso i clienti hanno una visione limitata di come vengono progettati i modelli di intelligenza artificiale e di come incidono sulle loro applicazioni. Questa mancanza di trasparenza solleva interrogativi sui diritti degli interessati e sulle capacità di controllo delle autorità di controllo.
- È necessaria una riforma giuridica : considerando le sfide poste dall’AIaaS, è necessario ripensare le leggi sulla protezione dei dati. La legge potrebbe adottare un approccio più inclusivo, in cui i fornitori di AIaaS sono sempre considerati titolari del trattamento in ragione del loro ruolo attivo nel determinare le finalità e i mezzi del trattamento. In alternativa, potrebbero essere necessari quadri settoriali specifici adattati alle dinamiche uniche dell’AIaaS.
- Tutela della responsabilità : le tutele della responsabilità esistenti ai sensi della direttiva sul commercio elettronico potrebbero richiedere una rivalutazione nel contesto di AIaaS. I fornitori di AIaaS svolgono un ruolo attivo nel consentire e facilitare le applicazioni dei clienti, il che potrebbe giustificare un maggiore controllo legale. Ai fornitori potrebbe essere richiesto di adottare misure proattive per mitigare il rischio di attività illegali da parte dei clienti, come l’esecuzione di controlli dei precedenti personali e l’esame delle domande.
In sintesi, i quadri giuridici esistenti faticano ad adattarsi alle complessità dell’AIaaS e alle moderne relazioni di elaborazione dei dati. Potrebbero essere necessari una riforma giuridica e lo sviluppo di concetti giuridici più sfumati per affrontare in modo efficace le sfide poste dai fornitori di AIaaS, dal controllore e dalla responsabilità nel panorama in evoluzione del trattamento dei dati.
Considerazioni per la riforma giuridica
Sebbene sia essenziale affrontare le sfide immediate con la legge sulla protezione dei dati e la tutela della responsabilità dei fornitori, i politici e i regolatori devono anche considerare le questioni più ampie derivanti dall’AIaaS. L’emergere dell’AIaaS come componente fondamentale dell’infrastruttura digitale introduce nuove complessità e preoccupazioni che richiedono attenzione oltre la protezione dei dati e la responsabilità degli intermediari. In questo capitolo esploriamo queste implicazioni più ampie dell’AIaaS, riconoscendo che va oltre l’essere uno strumento neutrale e può avere effetti sociali e normativi significativi.
La natura normativa dei sistemi di intelligenza artificiale
Le tecnologie di intelligenza artificiale non sono strumenti neutrali ma sono intrinsecamente contestuali e contingenti. Riflettono e codificano i valori, le priorità e le ipotesi dei loro creatori, sia in termini di design che di funzionalità. I sistemi di intelligenza artificiale stabiliscono confini e norme, modellando il comportamento e influenzando potenzialmente le dinamiche del potere sociale. Riconoscere la natura normativa dell’IA è fondamentale per comprenderne l’impatto sulla società e per una regolamentazione efficace.
Ordinamento privato ed effetti normativi
I fornitori di AIaaS esercitano un potere significativo abilitando, facilitando e sostenendo la funzionalità nelle applicazioni dei clienti. Hanno la capacità di impegnarsi nell’ordinazione privata, regolando efficacemente il comportamento degli individui e delle organizzazioni che utilizzano i loro servizi. Poiché l’AIaaS diventa una parte fondamentale dell’infrastruttura sociale, la mancanza di regolamentazione e supervisione indipendenti, pubbliche e responsabili diventa una preoccupazione urgente.
Amplificazione dei problemi etici
L’AIaaS ha il potenziale per amplificare le preoccupazioni etiche esistenti associate all’intelligenza artificiale a causa della scala su cui opera. Poiché i servizi di intelligenza artificiale sono forniti da pochi fornitori dominanti e ampiamente adottati, questioni etiche come pregiudizi, discriminazione e violazioni della privacy possono colpire una popolazione più ampia e diversificata. I politici devono considerare come affrontare queste sfide etiche amplificate.
Dati di training per i modelli AIaaS
I dati utilizzati per addestrare i modelli AIaaS possono sollevare questioni etiche e di privacy. I modelli di intelligenza artificiale si basano su vasti set di dati e la fonte e la qualità di questi dati sono fondamentali. I decisori politici dovrebbero esplorare normative e standard per la raccolta dei dati, garantendo equità, accuratezza e protezione della privacy, soprattutto quando i modelli AIaaS vengono utilizzati in applicazioni sensibili.
Sorveglianza aumentata dall’intelligenza artificiale
L’AIaaS può facilitare la crescita della sorveglianza aumentata dall’intelligenza artificiale, sollevando preoccupazioni sulla privacy e sulle libertà civili. I decisori politici dovrebbero sviluppare norme per garantire che la sorveglianza dell’IA sia condotta entro limiti legali ed etici, con particolare attenzione alla trasparenza, alla responsabilità e alla salvaguardia contro gli abusi.
Potenziale uso improprio e abuso
I servizi di intelligenza artificiale forniti da AIaaS possono essere utilizzati in modo improprio o abusato per vari scopi, inclusi attacchi informatici, campagne di disinformazione e deepfake. I politici devono prendere in considerazione meccanismi per mitigare questi rischi e ritenere sia i fornitori che gli utenti responsabili di eventuali attività illecite.
Sfide della governance transnazionale
I servizi di intelligenza artificiale operano a livello transfrontaliero, rendendo la governance e la regolamentazione complesse. I politici devono collaborare a livello internazionale per sviluppare quadri efficaci che affrontino le sfide poste dall’AIaaS rispettando i principi di sovranità e giurisdizione.
Catene di lavorazione opache
I fornitori di AIaaS spesso operano con una trasparenza limitata per quanto riguarda le loro catene di trattamento e i processi socio-tecnici. Sebbene la trasparenza sia un obiettivo prezioso, da sola non può risolvere i problemi giuridici e sociali evidenziati. I politici dovrebbero concentrarsi su interventi che affrontino direttamente le questioni identificate.
In conclusione, l’ascesa dell’AIaaS introduce profonde sfide sociali, etiche e normative. I politici e i regolatori devono adottare un approccio olistico per affrontare queste sfide, riconoscendo la natura normativa dell’intelligenza artificiale, le dinamiche di potere coinvolte e la necessità di una governance e di una regolamentazione efficaci in un mondo sempre più interconnesso e guidato dall’intelligenza artificiale.
Preoccupazioni etiche e AIaaS
Le preoccupazioni etiche relative all’intelligenza artificiale hanno raccolto un’attenzione significativa negli ultimi anni. Tuttavia, gran parte del discorso parte implicitamente dal presupposto che lo sviluppo dell’intelligenza artificiale avvenga principalmente all’interno di aziende e organizzazioni. Ciò che è stato meno discusso è l’impatto trasformativo dell’AI as a service (AIaaS). Questo capitolo approfondisce le considerazioni etiche che derivano dall’adozione diffusa dell’AIaaS e il modo in cui amplifica i problemi etici esistenti associati all’IA.
Amplificazione dei pregiudizi e della discriminazione
Una delle preoccupazioni etiche più diffuse nell’intelligenza artificiale è il potenziale di pregiudizi nei confronti di diversi gruppi di popolazione. I pregiudizi possono insinuarsi nei sistemi di intelligenza artificiale in vari modi, ad esempio attraverso dati di addestramento distorti o pregiudizi dei progettisti di sistemi. I fornitori di AIaaS, grazie alla loro portata e all’ampia base di clienti, hanno il potenziale per amplificare questi problemi.
I fornitori AIaaS offrono i propri servizi a numerosi clienti impegnati in attività diverse. Se esistono pregiudizi nei sistemi di intelligenza artificiale del fornitore, questi possono propagarsi in un’ampia gamma di applicazioni e domini, con conseguenti risultati potenzialmente discriminatori. Ad esempio, se il sistema di un fornitore mostra distorsioni nel riconoscimento di gruppi specifici di individui, queste distorsioni potrebbero influenzare una moltitudine di richieste dei clienti, con possibili ripercussioni legali.
La portata e la portabilità dei modelli AIaaS pongono sfide particolari nell’affrontare i pregiudizi. In contesti applicativi specifici possono sorgere problemi che difficilmente i fornitori, offrendo modelli generici senza conoscere le singole implementazioni, sono in grado di anticipare. Questa “trappola della portabilità” significa che i modelli utilizzati in un contesto possono inavvertitamente causare danni se implementati in un altro.
Inoltre, affrontare i bias nei modelli di intelligenza artificiale implica l’utilizzo di varie tecniche di equità e mitigazione dei bias, alcune delle quali potrebbero essere in conflitto tra loro. I fornitori selezionano e implementano queste misure in base alle loro priorità e ai loro valori, il che può portare a diverse manifestazioni di bias in vari contesti applicativi.
Sebbene siano stati proposti principi etici per l’IA per affrontare questi problemi, essi sono di natura volontaria e si basano sulle forze di mercato per l’applicazione. Gli interessi commerciali da soli potrebbero non garantire che i fornitori di AIaaS adottino misure sufficienti per mitigare il rischio di distorsioni nella loro base di clienti.
Ruolo dell’intervento legale e normativo
Sebbene i principi etici e i quadri non giuridici possano integrare gli standard legali e normativi per l’IA, non possono sostituirli. Il limite principale dei principi etici è la loro natura volontaria, che ne lascia l’attuazione alle dinamiche del mercato. Sebbene possa essere nel migliore interesse dei fornitori affrontare le preoccupazioni etiche per evitare pubblicità negativa, ciò non è sempre sufficiente a garantire un’adeguata mitigazione dei rischi.
È fondamentale consentire alle aziende private di prendere decisioni su questioni pubbliche critiche, come l’uso della tecnologia di riconoscimento facciale, solleva questioni fondamentali. L’assenza di quadri giuridici e normativi applicabili nell’AIaaS consente essenzialmente ai fornitori di agire come regolatori di se stessi, spesso dando priorità alle considerazioni commerciali rispetto ad altri valori sociali.
Potenziale di intervento legale e normativo
Considerata la portata e il ruolo a livello infrastrutturale dell’AIaaS nei futuri scenari tecnologici, offre potenziali spunti per un intervento legale e normativo. Regolamentare l’intelligenza artificiale a questo livello infrastrutturale potrebbe essere un mezzo efficace per affrontare le sfide etiche associate alla sua adozione diffusa. Ciò consentirebbe ai politici di garantire che l’intelligenza artificiale sia sviluppata e distribuita in modo da allinearsi ai valori e alle priorità della società, anziché lasciare queste decisioni esclusivamente nelle mani delle aziende private.
In conclusione, AIaaS ha il potenziale per amplificare le preoccupazioni etiche legate a pregiudizi, discriminazione ed equità. Sebbene i principi etici abbiano un ruolo da svolgere, non possono sostituire la necessità di quadri giuridici e normativi che affrontino l’impatto sociale dell’AIaaS. I decisori politici devono riconoscere la natura trasformativa dell’AIaaS e adottare normative che promuovano lo sviluppo e l’implementazione etica dell’IA su ampia scala.
Dati di addestramento del modello
Emergono due categorie significative di problemi politici riguardanti i dati utilizzati per addestrare i modelli di intelligenza artificiale all’interno di AIaaS: (1) problemi derivanti dai dati di addestramento provenienti dai clienti e (2) problemi relativi ai dati di addestramento acquisiti da fonti esterne. Ognuna di queste categorie solleva considerazioni uniche.
Dati di formazione dei clienti
Come discusso in precedenza, i fornitori di AIaaS si impegnano in elaborazioni supplementari, che potrebbero comportare l’utilizzo dei dati dei clienti per migliorare i propri modelli di intelligenza artificiale. Spesso questi dati dei clienti includono informazioni raccolte da terze parti, come utenti finali di applicazioni o soggetti di sorveglianza, che i clienti inseriscono nella piattaforma AIaaS. L’utilizzo di questi dati per l’addestramento dei modelli di intelligenza artificiale presenta diversi problemi di privacy.
Innanzitutto , ci sono problemi di privacy associati ai fornitori che utilizzano dati di terze parti per addestrare i propri modelli senza la conoscenza o il consenso di tali terze parti. AIaaS spesso opera in modo discreto sullo sfondo delle applicazioni, lasciando gli utenti finali all’oscuro dei flussi di dati e delle attività di elaborazione che supportano la funzionalità dell’applicazione. Nei casi in cui i dati di terzi, che rappresentano diverse persone, vengono utilizzati a loro insaputa, ciò costituisce una significativa violazione della privacy. Inoltre, l’uso di dati di terze parti nei modelli di formazione può comportare il trattamento di dati di categorie speciali senza ottenere il consenso esplicito, violando potenzialmente le leggi sulla protezione dei dati.
In secondo luogo , esiste un rischio potenziale legato agli “attacchi di inversione del modello”, che possono consentire l’analisi degli input e degli output di un sistema di intelligenza artificiale per estrarre informazioni sui dati di addestramento del modello. In alcuni casi, queste informazioni estratte possono contenere dati personali, potenzialmente rivelando dettagli sugli individui. Questo rischio è aggravato quando nei dati di formazione sono presenti dati di terze parti forniti da più clienti, che possono rappresentare numerosi interessati.
In terzo luogo , l’accesso ai dati dei clienti e agli approfondimenti sull’implementazione dei modelli di intelligenza artificiale nel mondo reale offre ai fornitori un vantaggio competitivo nello sviluppo di sistemi più sofisticati. I fornitori di AIaaS possono sfruttare l’ampio volume di dati dei clienti e le varie implementazioni per perfezionare i propri modelli e migliorare la propria funzionalità. Questo vantaggio può portare allo sviluppo di sistemi più accurati e adattabili a un costo netto inferiore. Inoltre, la concentrazione dei servizi di intelligenza artificiale attorno a poche aziende dominanti con accesso a numerosi dati sui clienti può contribuire alla loro superiorità tecnica, espandendo potenzialmente la loro influenza in altri settori e rafforzando il potere della loro piattaforma.
Considerata la discutibile legalità del trattamento dei dati di categorie speciali, le più ampie preoccupazioni sulla privacy che circondano l’uso di dati di terze parti e il potenziale contributo al potere e alla monopolizzazione della piattaforma, è urgente prendere in considerazione il divieto per i fornitori di AIaaS di utilizzare i dati dei clienti per la formazione o miglioramento di modelli e sistemi. Sebbene tali divieti possano spingere i fornitori a cercare dati di formazione da altre fonti, anche altri meccanismi normativi, come le restrizioni del GDPR sul riutilizzo dei dati, potrebbero risolvere questo problema se adeguatamente applicati.
Dati di addestramento da fonti esterne
Oltre ai dati dei clienti, i fornitori di AIaaS dipendono fortemente da ampie catene di dati e di fornitura tecnica che forniscono i dati di formazione necessari, spesso aggregati, puliti ed etichettati. Mentre alcune fonti di questi dati non sono controverse, altre sollevano preoccupazioni significative.
Fonti non problematiche : alcune fonti di dati di formazione utilizzate dai fornitori AIaaS non sono problematiche. Ad esempio, reCAPTCHA di Google sfrutta la verifica da parte dell’utente degli oggetti di uso quotidiano nelle immagini, consentendo essenzialmente agli utenti di etichettare i dati di addestramento per gli algoritmi di riconoscimento delle immagini di Google. Sebbene ciò avvantaggi Google, si tratta di un’azione volontaria da parte degli utenti.
Pratiche controverse : tuttavia, alcune pratiche sono notevolmente più controverse. Alcuni fornitori di servizi di intelligenza artificiale hanno raschiato siti Web per ottenere dati di formazione, il che solleva questioni etiche e legali. In particolare, Clearview AI, un fornitore controverso, ha estratto le immagini degli utenti dalle principali piattaforme di social media per i propri set di dati di formazione. Il servizio di riconoscimento facciale di Clearview AI è stato adottato dalle forze dell’ordine e dagli enti commerciali a livello globale.
Flussi di dati transfrontalieri : i fornitori di AIaaS spesso si impegnano in flussi di dati transfrontalieri, che consentono pratiche preoccupanti nelle loro catene di approvvigionamento. In primo luogo, i fornitori possono reperire dati di formazione da paesi con normative sulla privacy o sulla protezione dei dati minime o assenti e utilizzare questi dati per sviluppare sistemi da utilizzare in giurisdizioni con solide leggi sulla protezione dei dati. In secondo luogo, i fornitori spesso assumono lavoratori precari e a bassa retribuzione in paesi con standard di lavoro più bassi per etichettare e pulire i dati utilizzati nello sviluppo dei servizi di intelligenza artificiale. Questa pratica è analoga all’outsourcing della catena di fornitura nella produzione di prodotti fisici per eludere i diritti dei lavoratori, la tutela dell’ambiente e le leggi sul salario minimo.
La natura transfrontaliera di queste catene di fornitura tecnica consente ai fornitori di AIaaS di esternalizzare il lavoro cruciale alla base dei servizi di intelligenza artificiale ad altre giurisdizioni, sfuggendo potenzialmente alla privacy, alla protezione dei dati, all’occupazione e ad altre leggi. Qualsiasi futura iniziativa normativa relativa all’AIaaS dovrebbe considerare se i sistemi di intelligenza artificiale offerti come servizio all’interno dell’UE debbano essere addestrati sui dati ottenuti, etichettati, puliti ed elaborati in conformità con la protezione dei dati europea, l’occupazione e altre leggi pertinenti.
Sorveglianza
Una questione politica critica derivante dall’AIaaS è il potenziale di sorveglianza potenziata dall’intelligenza artificiale. La sorveglianza, condotta da enti pubblici o privati, si è gradualmente estesa a vari aspetti della vita moderna attraverso le tecnologie abilitate a Internet. AIaaS, in sostanza, consente ciò che può essere descritto come “Sorveglianza come servizio”. Questa innovazione è particolarmente significativa per coloro che non dispongono delle competenze tecniche o delle risorse per sviluppare sistemi di sorveglianza in modo indipendente.
La crescente presenza di telecamere, microfoni e vari sensori negli spazi fisici ha portato alla raccolta di dati da e su individui, spesso senza la loro conoscenza o consapevolezza di come verranno utilizzati questi dati. I servizi di intelligenza artificiale possono aiutare a monitorare e analizzare il comportamento delle persone in questi spazi. Ad esempio, i rivenditori possono utilizzare l’intelligenza artificiale per tracciare i clienti nei negozi e analizzare i loro modelli di comportamento. Il riconoscimento facciale e altri servizi biometrici possono consentire la sorveglianza negli spazi pubblici, identificando e monitorando potenzialmente individui che altrimenti rimarrebbero anonimi. I servizi di riconoscimento vocale e vocale possono essere utilizzati in modo simile per monitorare conversazioni private e identificare le persone dalla loro voce.
La rapida implementazione di sistemi di sorveglianza potenziati dall’intelligenza artificiale, resi convenienti e scalabili da AIaaS, può trasformare radicalmente sia gli spazi fisici che quelli virtuali. Può anche alterare le dinamiche di potere, controllo e privacy tra coloro che conducono la sorveglianza e coloro che vengono osservati.
Le capacità dell’intelligenza artificiale consentono a coloro che conducono la sorveglianza di passare dall’osservazione passiva all’analisi attiva e all’influenza del comportamento delle persone o al sottoporle a intervento o detenzione. Inoltre, i pregiudizi e gli errori inerenti ai sistemi di apprendimento automatico comportano un rischio significativo di esacerbare le divisioni e le gerarchie sociali basate su genere, razza ed etnia.
Di conseguenza, l’introduzione dell’intelligenza artificiale nella videosorveglianza e nelle infrastrutture di raccolta delle informazioni digitali potrebbe sconvolgere gli equilibri di potere a favore di coloro che controllano questi sistemi un tempo “stupidi”, rendendo necessaria una rivalutazione di come mantenere un equilibrio adeguato tra interessi sociali, diritti fondamentali, e l’espansione delle infrastrutture digitali.
Uso improprio e abuso
La scala con cui i clienti possono sfruttare l’AIaaS presenta un potenziale significativo di uso improprio, abuso o usi indesiderati dei servizi di intelligenza artificiale, che possono avere gravi conseguenze. Per rispondere a queste preoccupazioni, i fornitori di AIaaS in genere delineano nei loro contratti di servizio che i clienti non possono intraprendere o promuovere attività illegali o illecite. Ad esempio, la maggior parte dei fornitori vieta esplicitamente attività quali comportamenti criminali, frode, violazione dei diritti di proprietà intellettuale e diffamazione.
I fornitori impongono inoltre limitazioni sugli scopi per i quali i loro servizi possono essere utilizzati. Ad esempio, Amazon vieta l’uso dei suoi servizi AWS per contenuti dannosi, materiale offensivo, violazioni della sicurezza e abusi di rete. Microsoft vieta che i propri servizi vengano utilizzati per violare i diritti di altri, distribuire malware o intraprendere attività che potrebbero causare danni. Allo stesso modo Google limita l’uso dei suoi servizi per prevenire la violazione dei diritti, la distribuzione di software dannoso e lo spam.
Sebbene l’assenza di protezione dalla responsabilità per i fornitori di AIaaS dovrebbe incentivarli a identificare e prevenire in modo proattivo l’uso illegale dei loro servizi, le motivazioni principali che spingono i fornitori a identificare usi legali ma indesiderabili sono tipicamente le pressioni commerciali e il rischio di danni alla reputazione. Questi fattori hanno già portato diversi fornitori a vietare l’uso dei loro servizi di riconoscimento facciale da parte delle forze dell’ordine.
Identificare l’uso illegale o proibito di AIaaS può essere un compito impegnativo. Tuttavia, esistono diversi metodi potenziali per identificare l’uso improprio o l’abuso. Un cambiamento politico efficace comporterebbe la fine della pratica di offrire servizi di intelligenza artificiale chiavi in mano. Invece, i fornitori potrebbero richiedere la consultazione e il controllo dei clienti e delle loro applicazioni, assicurandosi che rispettino termini di servizio ben definiti e specifici al contesto. I fornitori potrebbero anche implementare meccanismi come la limitazione della velocità, che limita la frequenza e il volume delle richieste API dei clienti. Ad esempio, Amazon e Microsoft utilizzano già metodi simili per servizi specifici, in particolare quelli che elaborano i volti.
Metodi di monitoraggio più avanzati da parte dei fornitori per identificare attività illegali o violazioni dei termini di servizio sono teoricamente possibili, ma potrebbero non essere sempre pratici. Tuttavia, potrebbero essere implementati vari metodi di valutazione dell’utilizzo dell’AIaaS, come il monitoraggio di modelli di utilizzo sospetti dai metadati o l’esame degli input e degli output dei clienti. Questi metodi potrebbero aiutare i fornitori a identificare i casi che necessitano di ulteriori indagini. Tuttavia, tale monitoraggio dovrebbe sempre essere bilanciato rispetto a potenziali problemi di privacy, in particolare quando i dati dei clienti sono spesso dati di terze parti, poiché il monitoraggio sistematico da parte dei fornitori può inavvertitamente rivelare i comportamenti e le attività degli utenti finali. Pertanto, qualsiasi monitoraggio dovrebbe essere giustificato da interessi di ordine pubblico prevalenti, necessari e proporzionati.
collegamento di riferimento:
GDPR – https://gdpr.eu/
Amazon, ‘AWS GDPR DATA PROCESSING ADDENDUM’, section 1.1 accessed 13 November 2020; Microsoft, ‘Online Services Data Protection
Addendum’ (July 2020), 7 https://www.microsoft.com/en-us/licensing/product-licensing/products accessed 13 November 2020 (see also Microsoft Azure, ‘Azure Cognitive Services’ accessed 13 November 2020); Google Cloud, ‘Data Processing and Security Terms (Customers)’, section 5.1 accessed 13 November 2020.
Microsoft Azure, ‘Azure Cognitive Services’ 29 March 2021.
Article 29 Data Protection Working Party, ‘Opinion 1/2010 on the concepts of “controller” and “processor”’
(2010) 00264/10/EN WP169, 10-11.
Article 29 WP (n 72), 14.
Case C-210/16 Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v. Wirtschaftsakademie Schleswig-Holstein GmbH 2018.
Case C-25/17 Tietosuojavaltuutettu v. Jehovan Todistajat [2018] (‘Jehovah’s Witnesses’).
Case C-40/17 FashionID GmbH & Co. KG v Verbraucherzentrale NRW e.V. 2019.
Microsoft’s service agreement says that they will ‘comply with the obligations of an independent data controller under GDPR’ [emphasis added] in relation to some ancillary processing, though notably – unlike in some other areas of their service agreement – they do not claim to actually be a controller for that processing (Microsoft, ‘Online Services Data Protection Addendum’ (July 2020) p.7 accessed 13 November 2020).
European Data Protection Board (n 100), 18.
European Data Protection Supervisor ‘EDPS Guidelines on the concepts of controller, processor and joint
controllership under Regulation (EU) 2018/1725’ (2019), 24; see also Article 29 WP (n 70), 17-22.
René Mahieu, Joris van Hoboken, and Hadi Asghari, ‘Responsibility for Data Protection in a Networked
World: On the Queston of the Controller, “Effective and Complete Protection” and its Application to Data
Access Rights in Europe’ (2019) 10 Journal of Intellectual Property, Information Technology and E-Commerce Law 1.
European Data Protection Supervisor, ‘Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit’ (2017) accessed 13 November 2020.
Data Protection Act 2018 (‘DPA 2018’), sch 1, pt 2.
See table at Information Commissioner’s Office, ‘Guide to the General Data Protection Regulation: What are the substantial public interest conditions?’ accessed 13 November 2020
Information Commissioner’s Office, ‘Guide to the General Data Protection Regulation: What are the substantial public interest conditions?’ accessed 13 November 2020; Some private companies that wish to deploy live facial recognition systems have argued that they can rely on the ‘substantial public interest’ ground for preventing and detecting crime. We find this argument unconvincing. While preventing or detecting crime may be in the public interest, the deployment of facial recognition does not, in our view, meet the necessity test (unless we are to believe that there has until now been an epidemic of crime that only augmenting the already extensive use of CCTV with facial recognition systems deployed by a private company can possibly prevent). Nor do we agree that deploying facial recognition systems in a shopping centre, for example, is in the substantial interest of the public, rather than principally in the interests of the private owner of the shopping centre and their commercial tenants.
Google Cloud, ‘Terms of Service’ section 3.2 https://cloud.google.com/terms accessed 13 November 2020.
The UK’s Data Protection Act 2018, for instance, includes ‘equality of opportunity or treatment’ as a
condition for the substantial public interest exemption (DPA 2018, sch 1, pt 2, para 8).
Directive 98/34/EC of the European Parliament and of the Council of 22 June 1998 laying down a procedure for the provision of information in the field of technical standards and regulations [1998] OJ L 204/37
(‘Technical Standards and Regulations Directive’) art 1 (as amended by Directive 98/48/EC of the European Parliament and of the Council of 20 July 1998 amending Directive 98/34/EC laying down a procedure for the provision of information in the field of technical standards and regulations [1998] OJ L 217/18); see also E- Commerce Directive recital 18.
E-Commerce Directive art 2(d).
E-Commerce Directive art 2(b): “any natural or legal person providing an information society service”.
E-Commerce Directive art 12.
Jasper P Sluijs, Pierre Larouche, and Wolf Sauter (2012) ‘Cloud Computing in the EU Policy Sphere’ (2012) 3
Journal of Intellectual Property, Information Technology and e-Commerce Law 1.
Case C-324/09 L’Oréal SA and Others v eBay International AG and Others [2011] (‘L’Oreal v eBay’) para 113; Cases C-236/08 Google France SARL and Google Inc. v Louis Vuitton, C-237/08 Google France SARL v Viaticum
SA and Luteciel SARL, and C-238/08 Google France SARL v Centre national de recherche en relations humaines (CNRRH) SARL and Others [2010] (‘Google France and Google’) para 114.
E-Commerce Directive s 4; Google France and Google para 112.
E-Commerce Directive recital 42.
E-Commerce Directive recital 42; Google France and Google para 114; L’Oreal v eBay para 113.
Omer Tene, ‘Privacy Law’s Midlife Crisis: A Critical Assessment of the Second Wave of Global Privacy Laws’
(2013) 74 Ohio State Law Journal 1217.
Seda Gürses and Joris van Hoboken, ‘Privacy after the Agile Turn’ in Jules Polonetsky, Omer Tene, and Evan Selinger (eds) Cambridge Handbook of Consumer Privacy (Cambridge University Press 2017); Mahieu et al (n 119); Lilian Edwards, Michèle Finck, Michael Veale, Nicolo Zingales, ‘Data subjects as data controllers: a Fashion(able) concept?’ [2019] Internet Policy Review; Christopher Millard, Christopher Kuner, Fred H Cate, Orla Lynskey, Nora Ni Loideain, and Dan Jerker B Svantesson ‘At this rate, everyone will be a [joint] controller of personal data!’ (2019) 9 International Data Privacy Law 4.
See, for example, Jatinder Singh, Christopher Millard, Chris Reed, Jennifer Cobbe, and Jon Crowcroft,
‘Accountability in the IoT: Systems, Law, and Ways Forward’ (2018) 51 IEEE Computer 7.
Article 29 WP (n 70), 14-15.
European Data Protection Supervisor (n 100), 9.
European Data Protection Board, ‘Guidelines 07/2020 on the concepts of controller and processor in the GDPR’ (2020), 13-15
The UK’s Information Commissioner’s Office, for instance, suggests that where providers decide questions relating to model design and development they may be considered to be data controllers (Information Commissioner’s Office, ‘Guide to Data Protection: What are the accountability and governance implications of AI?’ accessed 13 November 2020.
BBC News, ‘IBM abandons ‘biased’ facial recognition tech’ (9 June 2020)
https://www.bbc.co.uk/news/technology-52978191 accessed 13 November 2020; Abner Li ‘Google Cloud won’t sell facial recognition tech yet, ‘working through’ policy questions’ (13 December 2018)
https://9to5google.com/2018/12/13/google-not-selling-face-recognition/ accessed 13 November 2020.
Seyyed Ahmad Javadi, Richard Cloete, Jennifer Cobbe, Michelle Seng Ah Lee and Jatinder Singh, ‘Monitoring Misuse for Accountable ‘Artificial Intelligence as a Service’ (2020) Proceedings of the 2020 AAAI/ACM Conference on AI, Ethics, and Society (AIES ’20), ACM, New York, NY, USA, 2020
https://dl.acm.org/doi/10.1145/3375627.3375873 accessed 13 November 2020; Seyyed Ahmad Javadi, Chris Norval, Richard Cloete, and Jatinder Singh, ‘Monitoring AI Services for Misuse’ (2021) Proceedings of the 2021 AAAI/ACM Conference on AI, Ethics, and Society (AIES ’21), ACM, Virtual Event, USA, 2021.
https://dictionary.cambridge.org/dictionary/english/terroir.
Services offered on a consultancy basis typically allow customers much greater latitude in defining their relationship with the provider and the service offered.
Javadi et al (n 186); these would be similar to some of the checks undertaken in, for instance, the banking and financial services industry
Engin Bozdag, ‘Bias in algorithmic filtering and personalisation’ [2013] Ethics in Information Technology 15, 209-227 https://link.springer.com/article/10.1007/s10676-013-9321-6 accessed 13 November 2020; Tarleton Gillespie, ‘The Relevance of Algorithms’ In Tarleton Gillespie, Pablo J Boczkowski, and Kirsten A Foot (eds), Media Technologies: Essays on Communication, Materiality, and Society (MIT Press 2014); Robin Hill, ‘What An Algorithm Is’ (2016) 29 Philosophy and Technology 35
https://link.springer.com/article/10.1007/s13347-014-0184-5 accessed 13 November 2020; David Beer, ‘The Social Power of Algorithms’ (2017) 20 Information, Communication & Society 1
http://eprints.whiterose.ac.uk/104026/1/Algorithms_editorial_final.pdf accessed 13 November 2020; Natascha Just and Michael Latzer, ‘Governance by algorithms: reality construction by algorithmic selection on the Internet’ (2017) 39 Media, Culture & Society 2, 238-258
https://journals.sagepub.com/doi/abs/10.1177/0163443716643157?journalCode=mcsa accessed 13 November 2020.
Rob Kitchin, ‘Thinking critically about and researching algorithms’ (2017) 20 Information, Communication & Society 1.
Lawrence Lessig, Code, and Other Laws of Cyberspace (1999)
Kitchin (n 198).
Sylvie Delacroix, ‘Beware of ‘Algorithmic Regulation’’ (2019) SSRN https://ssrn.com/abstract=3327191 accessed 13 November 2020.
Proposal for a Regulation of the European Laying Down Harmonised Rules On Artificial Intelligence (Artificial Intelligence Act) And Amending Certain Union Legislative Acts (‘Proposed Artificial Intelligence Act’).
Proposed Artificial Intelligence Act arts 1-2.
Proposed Artificial Intelligence Act art 5.
For an overview of academic work on bias and fairness in ML, see Sahil Verma and Julia Rubin, ‘Fairness definitions explained’ [2018] FairWare ’18: Proceedings of the International Workshop on Software Fairness. 202 Harini Suresh and John V Guttag, ‘A Framework for Understanding Unintended Consequences of Machine Learning’ [2019] arXiv preprint, arXiv:1901.10002 https://arxiv.org/abs/1901.10002 accessed 29 March 2021.
Joy Buolamwini and Timnit Gebru, ‘Gender Shades: Intersectional Accuracy Disparities in Commercial Gender Classification’ [2018] Proceedings of Machine Learning Research, 81.
Andrew D Selbst, Danah Boyd, Sorelle Friedler, Suresh Venkatasubramanian, and Janet Vertesi, ‘Fairness and Abstraction in Sociotechnical Systems’ [2019] 2019 ACM Conference on Fairness, Accountability, and Transparency (FAT* 19) https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3265913 accessed 29 March 2021.
For a review of some proposed sets of AI ethics principles, see Thilo Hagedorff, ‘The Ethics of AI Ethics: An Evaluation of Guidelines’ [2020] Minds & Machines 30, 99-120.
Elettra Bietti, ‘From Ethics Washing to Ethics Bashing: A View on Tech Ethics from Within Moral Philosophy’ [2020] FAT* ’20: Proceedings of the 2020 Conference on Fairness, Accountability, and Transparency.
IBM has already ceased offering facial recognition services (BBC News (n 165)). Amazon and Microsoft have chosen not to offer facial recognition to law enforcement in the US (Isobel Asher Hamilton, ‘Outrage over police brutality has finally convinced Amazon, Microsoft, and IBM to rule out selling facial recognition tech to law enforcement. Here’s what’s going on’ Business Insider (13 June 2020
https://www.businessinsider.com/amazon-microsoft-ibm-halt-selling-facial-recognition-to-police-2020-6 accessed 13 November 2020).
Amazon Web Services (n 37).
Michael Veale, Reuben Binns, and Lilian Edwards (2018) ‘Algorithms that remember: model inversion
attacks and data protection law’ (2018) 376 Philosophical Transactions of the Royal Society A 2133.
Veale et al (n 210).
James O’Malley, ‘Captcha if you can: how you’ve been training AI for years without realising it’ TechRadar
(12 January 2018) accessed 13 November 2020.
Rachel Connolly, ‘Scraping Faces’ London Review of Books (28 January 2020)
https://www.lrb.co.uk/blog/2020/january/scraping-faces accessed 13 November 2020.
Kashmir Hill, ‘The Secretive Company That Might End Privacy as We Know It’ The New York Times (18 January 2020) https://www.nytimes.com/2020/01/18/technology/clearview-privacy-facial-recognition.html accessed 13 November 2020; Kate Cox, ‘Facebook, YouTube order Clearview to stop scraping them for faces to match’ ArsTechnica (7 February 2020) accessed 13 November 2020.
Ryan Mac, Caroline Haskins, and Logan McDonald, ‘Clearview’s Facial Recognition App Has Been Used By The Justice Department, ICE, Macy’s, Walmart, And The NBA’ Buzzfeed News (27 February 2020)
https://www.buzzfeednews.com/article/ryanmac/clearview-ai-fbi-ice-global-law-enforcement accessed 13
November 2020.
Kristina Irion, and Josephine Williams, ‘Prospective Policy Study on Artificial Intelligence and EU Trade Policy’ (2019) Amsterdam: The Institute for information Law.
Noopur Raval, ‘Automating Informality: On AI and Labour in the Global South’ (2019) Global Information Society Watch; Irion and Williams (n 217); Madhumita Murgia, ‘AI’s new workforce: the data-labelling industry
spreads globally’ Financial Times (24 July 2019) <https://www.ft.com/content/56dde36c-aa40-11e9-984c- fac8325aaa04> accessed 13 November 2020.
Through what Foucault described as the disciplinary power of panopticism (Michel Foucault, Discipline and Punish (trans Alan Sheridan, Penguin 1991)).
Bringing this kind of disciplinary power away from panopticism and closer to the kind of control through ‘universal modulation’ as described by Deleuze (Gilles Deleuze ‘Postscript on the Societies of Control’ (1992) 59 October, 3-7).
Michael Veale, ‘A Critical Take on the Policy Recommendations of the EU High-Level Expert Group on Artificial Intelligence’ (2019) UCL Working Paper Series, No. 8/2019 https://ssrn.com/abstract=3475449 accessed 13 November 2020, 5-6.
Amazon Web Services, ‘AWS Acceptable Use Policy’ https://aws.amazon.com/aup/ accessed 13 November 2020; Microsoft, ‘Online Services Terms’ accessed 13 November 2020; Google Cloud, ‘Google Cloud Acceptable Use Policy’
https://cloud.google.com/terms/aup accessed 13 November 2020.
Amazon Web Services (n 222).
Microsoft, ‘Online Services Terms’ (n 222).
Google Cloud (n 222).
Hamilton (n 208).
Javadi