Intelligenza artificiale e responsabilità civile. Tocca all’Ue

L’ampio utilizzo di sistemi di Intelligenza Artificiale (A.I.) nella quotidianità della nostra vita (prevenzione del crimine, acquisti sempre più personalizzati, moderatori e giornalisti artificiali, monitoraggio della salute individuale attraverso l’uso di dispositivi indossabili e app personalizzate, investimenti finanziari) segna l’inizio di una “Rivoluzione Industriale Tecnologica” che, inevitabilmente, vede coinvolta tutta l‘odierna società.

L’A.I. è il ramo della computer science che studia lo sviluppo di sistemi di Hardware e Software per riprodurre o emulare l’intelligenza umana attraverso la capacità di ragionamento, apprendimento, pianificazione e creatività per il raggiungimento di un obiettivo specifico.

Non trattandosi di intelligenza umana, bensì artificiale, il relativo utilizzo comporta rischi diversi rispetto a quelli legati al fattore umano e rispetto ai quali si pongono, inevitabilmente, problemi di carattere etico e giuridico, come è stato anche osservato dal Parlamento Europeo, nella propria Risoluzione del 16 febbraio 2017 recante “Raccomandazioni alla Commissione concernenti norme di diritto civile sulla robotica“.

L’utilizzo dell’A.I. necessita di una specifica regolamentazione, ad oggi non esistente, che ponga al centro dell’attenzione la persona ed i suoi diritti fondamentali, quali: la sicurezza, la salute, la libertà, la dignità, l’autodeterminazione, la non discriminazione, la protezione dei dati personali, la trasparenza e la responsabilità individuale e sociale.

Nel perseguire tale priorità, il 21 aprile 2021, è stata formulata la “Proposta di Regolamento del Parlamento europeo e del Consiglio che stabilisce regole armonizzate sull’intelligenza artificiale (legge sull’intelligenza artificiale) e modifica alcuni atti legislativi dell’unione”, nella quale è prevista una classificazione dei prodotti che utilizzano l’A.I. in base al relativo rischio di impatto sui richiamati diritti fondamentali della persona.

In tale contesto, si pone il problema della individuazione della disciplina giuridica da applicare in tema di responsabilità civile nelle diverse ipotesi di danni derivanti dall’utilizzo di un sistema di A.I.

La prima osservazione da fare è strettamente legata all’alto grado di autonomia di cui sono dotati i sistemi di A.I., tale per cui gli stessi dovrebbero essere considerati gli unici responsabili per avere operato in modo autonomo e non come meri strumenti dell’uomo.

Tale ragionamento, seppur valido da un punto di vista teorico, è destinato tuttavia a soccombere di fronte ad una inconfutabile verità giuridica: l’A.I. è un oggetto e non un soggetto giuridico.

Con la conseguenza che, l’Intelligenza Artificiale, in quanto “oggetto” seppur “intelligente”, non può essere titolare di diritti e doveri (capacità giuridica); l’Hardware ed il Software che utilizzano l’A.I. rimangono oggetti dipendenti dall’uomo anche nell’individuazione dello specifico obiettivo che si prefiggono di raggiungere.

La mancanza di soggettiva giuridica in capo all’A.I. impedisce che possa essere imputata all’Intelligenza Artificiale una responsabilità giuridica per danni e, allo stesso tempo, pone il problema di individuare quali soggetti, in qualità di responsabili, siano tenuti a risarcire il danno.

Inoltre, non si può non tenere presente che l’A.I. funziona grazie all’inserimento nel sistema di un numero indeterminato di dati forniti dall’esterno, con la conseguenza che il corretto funzionamento del sistema di A.I. dipende anche dalla correttezza dei dati inseriti.

Secondo la richiamata Risoluzione europea, in mancanza di una disciplina ad hoc, la responsabilità civile per i danni determinati dall’A.I. potrebbe essere inquadrata nell’ambito dell’attuale normativa della responsabilità oggettiva, in forza della quale il produttore o il fornitore del bene potrebbero essere chiamati a rispondere, qualora il danneggiato provi il danno ed il nesso di causalità tra il funzionamento dell’A.I. ed il danno, a prescindere dalla esistenza della colpa (ossia dell’errore).

A livello europeo, la responsabilità oggettiva è prevista dalla Direttiva 85/374/CEE con riguardo ai danni da prodotto difettoso, che configura una responsabilità del produttore, anche in assenza di colpa, qualora il danneggiato provi: la difettosità del prodotto, il danno ed il nesso di causalità tra quest’ultimo ed il difetto. Il produttore andrebbe esente da responsabilità qualora, in base al rischio da sviluppo, provi che il difetto non era prevedibile al momento della messa in circolazione del prodotto o lo stesso sia sorto in seguito.

Nell’ambito di alcuni sistemi di A.I., il produttore potrebbe, però, essere in grado di controllare anche da remoto il prodotto e addirittura prevedere, in ragione degli algoritmi che ne governano il funzionamento, condotte non programmate al momento della sua commercializzazione.

E’ evidente che, in tali ipotesi, il produttore non potrebbe invocare a suo favore il “rischio da sviluppo” previsto dalla richiamata normativa europea che appare, dunque, lacunosa.

Passando alla disamina delle norme interne, gli istituti giuridici che disciplinano le diverse ipotesi di responsabilità oggettiva sono quelli di cui agli artt. 2050 c.c., 2051 c.c. e 2052 c.c.

In particolare, la norma di cui all’art. 2050 c.c. intitolata “La responsabilità per l’esercizio di attività pericolose” si riferisce soltanto a quelle attività potenzialmente dannose in ragione della pericolosità ad esse connaturata ed insita nel loro esercizio, a prescindere dal fatto dell’uomo.

In presenza della prova del danno e del nesso di causalità, sussisterà una presunzione di responsabilità in capo al danneggiante che potrà liberarsene provando di avere adottato, anche in via preventiva, tutte le misure idonee per evitare il danno.

A ben guardare, parlare dell’A.I. come un sistema pericoloso significherebbe, però, negare la sua stessa essenza; il sistema di Intelligenza Artificiale dovrebbe essere considerato più sicuro ed affidabile dell’uomo, in quanto creato proprio per evitare e risolvere criticità.

Di contro si osserva che, sarebbe alquanto utopistico considerare una macchina, seppur dotata di intelligenza artificiale, come perfetta, esistendo sempre la possibilità che la stessa possa commettere errori e causare un danno ad un terzo soggetto.

Altra norma teoricamente idonea a disciplinare la responsabilità in tema di A.I. sarebbe quella di cui all’art. 2051 c.c. “Danno cagionato da cose in custodia” che prevede la responsabilità oggettiva in capo a colui che ha il potere di vigilanza e controllo sulla cosa.

In questo caso, il custode della cosa, che ha determinato il danno, andrà esente da responsabilità solo in presenza del c.d. caso fortuito ossia il fatto naturale o del terzo imprevedibile ed inevitabile.

Trasponendo la norma nelle ipotesi di A.I, il custode non sarebbe il proprietario del prodotto, ma colui che in quel momento ha il controllo della cosa ed è nelle condizioni di prevenire il danno, salvo la prova del caso fortuito.

L’applicazione della norma non appare pacifica se si pensa a coloro che considerano l’A.I. non come semplice “cosa” intesa nel significato codicistico, bensì come “cosa” con un’alta autonomia tecnologica che, ad oggi, non risulta essere stata mai considerata dal legislatore.

Si richiama anche la norma di cui all’art. 2052 c.c.” Responsabilità per danni cagionati da animali”, secondo cui il proprietario di un animale o chi se ne serve è responsabile dei danni cagionati dall’animale, sia che questo si trovi sotto la sua custodia o che sia fuggito o smarrito, salvo che provi il caso fortuito.

Il presupposto dell’applicazione della norma è dato dalla equiparazione tra A.I. ed intelligenza animale, ragionamento che difficilmente potrebbe essere condiviso se si osserva che gli animali non hanno ragione e sono esseri imprevedibili, mentre l’A.I. è stata creata per agire in modo programmato e non in modo imprevedibile.

Dalla disamina normativa appena esposta, è evidente come l’attuale disciplina giuridica della responsabilità civile non sia al passo con l’evoluzione tecnologica degli ultimi anni, risultando inidonea a regolamentare il complesso mondo dell’A.I.

Tutte le suddette criticità valgono ancor di più in tema di responsabilità sanitaria, quando il sistema di A.I., utilizzato per l’espletamento dell’attività sanitaria, determina un errore diagnostico o di esecuzione di un intervento chirurgico. In questa ipotesi, chi è il soggetto responsabile? Il produttore dell’A.I., la struttura sanitaria, il medico?

Sembra che ad oggi, l’unica soluzione possibile, che consenta di far fronte alle lacune normative, sia quella di utilizzare al meglio l’autonomia negoziale che l’ordinamento giuridico interno riconosce alle parti contrattuali (art. 1322 c.c.), le sole in grado di individuare le modalità di interazione tra l’Intelligenza Artificiale e l’ambiente ed aventi interesse a disciplinare quanto non attenzionato dalla norma.

Al fine di limitare il più possibile il rischio di contenziosi, anche il fornitore ed il cliente devono valutare, sia in sede di negoziazione che nella fase di esecuzione del contratto, le potenziali conseguenze dannose derivanti dall’utilizzo dell’A.I., innanzitutto, attraverso l’esame del tipo di rischio di impatto che il bene o il servizio considerato possano produrre.

In sede di negoziazione (prima che il contratto venga sottoscritto), il fornitore dovrà informare il cliente sulle potenzialità e sui limiti del sistema di A.I. utilizzato, in modo che il cliente sia messo nelle condizioni di potere effettuare una scelta contrattuale consapevole.

Il fornitore, in violazione del principio di trasparenza, risponderebbe a titolo di responsabilità precontrattuale verso il cliente, con conseguenziale sua condanna al risarcimento del danno, per non avere comunicato circostanze essenziali per la conclusione del contratto che se conosciute avrebbero indotto il cliente a non concludere il contratto o a concluderlo a condizioni differenti.

Il contratto, nel delineare correttamente la responsabilità del fornitore ed evitare un riconoscimento automatico della stessa, dovrà attenzionare alcune circostanze peculiari in tema di sistemi di Intelligenza Artificiale, ossia: il livello di autonomia del sistema di A.I. impiegato; l’elaborazione dei dati del cliente la cui fonte è estranea al controllo del fornitore; la necessità dell’intervento del cliente per il corretto funzionamento del sistema. In ogni modo, occorrerà quantificare l’importo da risarcire prevedendo un tetto massimo rispetto al tipo di rischio da cui potrebbe scaturire il danno.

In un’ottica di corretta prevenzione del rischio, è fondamentale individuare, a carico del fornitore, un’adeguata copertura assicurativa del rischio informatico proprio per consentire che il cliente possa avere fiducia nella nuova tecnologia, sebbene sussista il rischio di patirne un pregiudizio.

Il regime assicurativo sarà variabile in relazione al tipo di A.I. utilizzato e dovrà tenere in considerazione la probabilità e l’entità del danno potenziale, nonché il numero di persone che potrebbero essere danneggiate dal sistema informatico.

Ulteriore aspetto che le parti contrattuali dovrebbero prevedere è l’assunzione dell’obbligo da parte del fornitore di assistere il cliente e trasferirgli la propria conoscenza tecnica, affinché il cliente stesso, al momento della scadenza del contratto, sia posto nelle condizioni di internalizzare il processo e scegliere se svolgerlo in autonomia o affidarlo ad un diverso fornitore.

Il fornitore è anche tenuto a formare il personale del cliente sia sulle logiche di funzionamento del sistema A.I. utilizzato che in tema di manutenzione e di corretto utilizzo del prodotto. Pertanto, non si profilerà alcuna responsabilità del fornitore, qualora il danno sia stato causato dal mancato controllo, dall’inadeguata manutenzione o dall’errato funzionamento del sistema di A.I. da parte del cliente che si trovava nelle condizioni di potere eseguire correttamene tali adempimenti contrattuali a seguito della formazione ricevuta.

Anche il contratto in esame prevede, dunque, a carico di ogni parte (perfino del cliente) il corretto adempimento di precise prestazioni e, per tale ragione, è indispensabile concordare un obbligo di garanzia (c.d. obbligo di manleva), in forza del quale ciascuna parte si obbliga a sollevare l’altra parte dai danni derivanti dall’inadempimento della propria prestazione.

Nella definizione del contratto, non bisognerà tralasciare la tutela dei diritti di proprietà intellettuale su dati e tecnologie impiegati; il rischio di contenziosi anche in tale ambito risulta piuttosto elevato se si pensa che nei processi di A.I. sussiste una stretta interdipendenza tra dati del cliente e tecnologia A.I. del fornitore che li elabora.

Le parti dovranno, altresì, disciplinare il rapporto contrattuale con riguardo alla protezione dei dati personali, in quanto il fornitore eseguirà il loro trattamento per conto del cliente.

Come è noto, infatti, i sistemi A.I. sono maggiormente esposti al Ciber Risk a causa del ricorso ad infrastrutture di tipo cloud e ogni parte – ciascuna per le proprie competenze – ha l’obbligo di proteggersi dalle conseguenze fortemente pregiudizievoli: perdita dei dati, interruzione dell’attività, furto di diritti di proprietà, ecc.

Sebbene, sulla base delle osservazioni formulate, sembri che l’autonomia negoziale riesca a compensare la lacunosità della disciplina giuridica esistente, è auspicabile che la normazione della responsabilità civile per i danni causati dall’utilizzo dell’A.I. venga affrontata in sede di Unione Europea, in modo da assicurare a tutti gli Stati membri la stessa certezza del diritto in termini di efficienza e trasparenza per tutelare gli interessi di tutti i soggetti coinvolti ed, al tempo stesso, rendere possibile lo sviluppo di nuove tecnologie.