L’intelligenza artificiale, specie quando connessa alla tutela dei dati personali, è uno fra i temi più dibattuti di questi ultimi tempi, anche nelle aule giudiziarie. Le questioni legate a questo binomio sono, evidentemente, per nulla trascurabili.
Se prendiamo come “parametro” di riferimento il formante giurisprudenziale sono ravvisabili, al momento, due principali filoni sui quali i nostri giudici sono attestati.
Il primo filone è costituito dal rapporto tra l’utilizzo di sistemi algoritmici (anche non di livello sofisticato da potersi tecnicamente parlare di IA) e la legittimità del procedimento amministrativo della PA.
Il secondo filone è relativo al rapporto tra la pubblica amministrazione, che procede attraverso procedimentalizzazioni digitali “spinte”, e la sua controparte (l’interessato), rispetto al trattamento dei suoi dati personali ed alle “garanzie” (invero non facilmente decrittabili, come da molti giustamente sottolineato) previste dall’art. 22 del GDPR.
L’IA nei processi decisionali pubblici: la guida del Governo Uk nel contesto internazionale
Le indicazioni ricavabili dalla giurisprudenza
Scrutinando, in termini estremamente sintetici, le indicazioni dei nostri giudici se ne ricava – con qualche personale silloge – il decalogo di seguito rappresentato.
Legittimità generale dell’algoritmo decisionale
Il ricorso alle tecnologie informatiche risponde ai canoni di efficienza ed economicità dell’azione amministrativa (art. 1, legge n. 241/90) i quali, secondo il principio costituzionale di buon andamento dell’azione amministrativa (art. 97 Cost.), impongono all’amministrazione il conseguimento dei loro fini con il minor dispendio di mezzi e risorse e attraverso lo snellimento e l’accelerazione dell’iter procedimentale (Cons. Stato, sez. VI, 8 aprile 2019, n. 2270; Cfr. anche Cons. Stato, Sez. VI, 7 febbraio 1995, n. 152).
Natura dell’algoritmo decisionale
L’algoritmo decisionale è considerato un atto amministrativo informatico (Tar Campania-Napoli, sez. I, 22 marzo 2017, n. 3769; Cons. Stato sez. VI, 8 aprile 2019, n. 2270).
Da ciò, oltre all’applicazioni delle regole generali, derivano i seguenti corollari (Cons. Stato, Sez. VI, 13 dicembre 2019, n. 8472):
- l’algoritmo possiede una piena valenza giuridica e amministrativa; anche se viene declinato in forma informatica deve soggiacere ai principi generali dell’attività amministrativa, quali quelli di pubblicità e trasparenza (art. 1, legge n. 241/90), di ragionevolezza, di proporzionalità, etc.;
- l’algoritmo non può disporre di margini di discrezionalità che non siano quelli pre-elaborati al momento della predisposizione dello strumento digitale (Cons. Stato, Sez. VI, 8 aprile 2019 n. 2270);
- l’amministrazione è sempre tenuta a compiere un ruolo ex ante di mediazione e composizione di interessi, anche per mezzo di costanti test, aggiornamenti e modalità di perfezionamento dell’algoritmo (soprattutto nel caso di apprendimento progressivo e di deep learning);
- l’algoritmo deve contemplare la possibilità che sia il giudice a dover svolgere, per la prima volta sul piano ‘umano’, valutazioni e accertamenti fatti direttamente in via automatica, con la conseguenza che la decisione robotizzata impone al giudice di valutare la correttezza del processo automatizzato in tutte le sue componenti (sia tecniche che giuridiche).
Principio di trasparenza e di conoscibilità
L’interessato ha diritto di conoscere l’esistenza di procedimenti automatizzati che lo riguardano, nonché di ottenere informazioni con riferimento ai suoi autori, al procedimento usato per la sua elaborazione, al meccanismo di decisione, comprensivo delle priorità assegnate nella procedura valutativa e decisionale e dei dati selezionati come rilevanti (Cons. Stato, Sez. VI, 8 aprile 2019, n. 2270).
L’algoritmo attraverso il quale si concretizza la decisione deve essere “conoscibile”, secondo una declinazione rafforzata del principio di trasparenza, che implica anche quello della piena conoscibilità di una regola, anche se espressa in un linguaggio differente da quello giuridico.
La “regola tecnica” che governa il funzionamento dell’algoritmo – che resta pur sempre una regola amministrativa generale, costruita dall’uomo e non dalla macchina – deve essere adeguatamente rappresentata e corredata da spiegazioni che la traducano nella “regola giuridica” ad essa sottesa per fare in modo che sia leggibile e comprensibile, sia per i cittadini che per il giudice.
Diritto di accesso all’algoritmo
La tutela derivante dagli istituti della proprietà intellettuale ed industriale relativi all’algoritmo non ostano all’accesso alle sottostanti informazioni sotto forma di visione ed estrazione di copia (del codice sorgente del programma) se e nella misura in cui tali azioni siano funzionali e proporzionate alla tutela degli interessi legittimi di chi richiede l’accesso (Tar Lazio – Roma, sez. III-bis, 21 marzo 2017, n. 3742; Tar Lazio – Roma, sez. III-bis, 22 marzo 2017, n. 3769).
Nelle controversie sulla correttezza dell’algoritmo il soggetto, spesso esterno, che lo ha creato o gestito è un necessario controinteressato al diritto di accesso e deve essere presente quale contraddittore (Cons. Stato, Sez. VI, 2 gennaio 2020, n. 30).
Principio di non esclusività della decisione algoritmica
Sulla base dell’art. 22, par. 1, del Regolamento UE 679/2016 (GDPR) “L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona”. Tuttavia, si fa presente che – a parte tutti i casi in cui non trova applicazione il GDPR – fanno eccezione i casi in cui la decisione automatica sia necessaria per la conclusione o l’esecuzione di un contratto; l’interessato abbia prestato il suo esplicito consenso, ovvero la legittimità sia stata stabilita dal diritto dell’Unione o di uno Stato membro, indicando le opportune cautele che deve osservare il titolare del trattamento (Cons. Stato, Sez. VI, 13 dicembre 2019, n. 8472).
L’assenza di intervento umano in un’attività di mera classificazione automatica di istanze numerose, secondo regole predeterminate e l’affidamento di tale attività a un algoritmo appaiono come doverose declinazioni dell’art. 97 Cost. coerenti con l’attuale evoluzione tecnologica (Cons. Stato, sez. VI, 8 aprile 2019, n. 2270). Nonostante questa affermazione – che mantiene la sua validità quando non trova applicazione il sovra citato art. 22, par. 1, del GDPR – l’algoritmo automatico è stato anche qualificato quale “modulo organizzativo” e “strumento istruttorio”, espressioni che implicano la supervisione dell’uomo (Cons. Stato, Sez. VI, 4 febbraio 2020, n. 881).
Consenso ad una decisione o profilazione algoritmica
Qualora la base giuridica del trattamento dei dati personali, basato su una decisione automatica o una profilazione, sia costituita dal consenso dell’interessato, questo si considera validamente prestato solo se espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato; il requisito di consapevolezza non può considerarsi soddisfatto ove lo schema esecutivo dell’algoritmo e gli elementi di cui si compone restino ignoti o non conoscibili da parte degli interessati (Cass. 25 maggio 2021, n. 14381).
Principio di non discriminazione algoritmica
Considerato il trattamento di dati personali, il titolare del trattamento deve impiegare procedure statistiche appropriate e robuste nonché mettere in atto le misure idonee per correggere eventuali inesattezze ed errori, al fine di impedire effetti discriminatori nei confronti di persone fisiche sulla base della razza o dell’origine etnica, delle opinioni politiche, della religione o delle convinzioni personali, dell’appartenenza sindacale, dello status genetico, dello stato di salute o dell’orientamento sessuale (Cons. Stato, Sez. VI, 4 febbraio 2020, n. 881, richiamando il Considerando 71 del GDPR).
Motivazione della decisione algoritmica
L’amministrazione è tenuta a motivare i suoi provvedimenti anche nella parte elaborata dall’algoritmo indicando i dati e l’iter tecnico-logico attraverso i quali sono state compiute le valutazioni presenti nella motivazione e nella decisione (Cons. Stato, sez. VI, 8 aprile 2019, n. 2270).
Imputabilità della decisione algoritmica
Al momento non è riconosciuto alcun elemento di soggettività in capo agli stessi algoritmi, per cui non possono essere né imputabili né responsabili; pertanto, alle decisioni algoritmiche si applicano le norme generali in tema di imputabilità e responsabilità che comportano la riferibilità della decisione finale all’autorità ed all’organo competente in base alla legge attributiva del potere (Tar Campania-Napoli, sez. I, 22 marzo 2017, n. 3769).
È ritenuto necessario che i responsabili dei procedimenti amministrativi e quelli che autorizzano la decisione conclusiva dell’iter siano pienamente edotti delle modalità di elaborazione impiegate dall’algoritmo.
Sindacabilità della decisione algoritmica
L’algoritmo deve anche essere soggetto alla piena cognizione, e al pieno sindacato, del giudice amministrativo (Cons. Stato sez. VI, 8 aprile 2019, n. 2270).
La decisione amministrativa automatizzata impone al giudice – se del caso mediante specifica CTU – di valutare in primo luogo la correttezza del processo informatico in tutte le sue componenti: dalla sua costruzione, all’inserimento dei dati, alla loro validità, alla loro gestione.
Il giudice deve poter sindacare la stessa logicità e ragionevolezza della decisione amministrativa robotizzata, ovvero della “regola” che governa l’algoritmo. Il procedimento amministrativo è illegittimo se il funzionamento dell’algoritmo non è conoscibile e comprensibile.
Qualche “puntello” normativo
Ad onor di cronaca non si può omettere una menzione di indicazioni apertamente contrarie alla prospettazione di un algoritmo per decisioni di tipo amministrativo. Secondo il TAR del Lazio, ad esempio, delegare la decisione ad un algoritmo – in assenza di una espressa previsione legislativa – si tradurrebbe in una abdicazione, da parte della pubblica amministrazione, all’esercizio della funzione amministrativa (Tar Lazio – Roma, sez. III-bis, 10 settembre 2018, n. 9224; Tar Lazio – Roma, sez. III-bis, 27 maggio 2019, n. 6606).
La prospettazione – anno domini 2018 (che, per la telematica, significa molti anni fa) – appare suggestiva poiché, ad opinione del giudicante, il principio di legalità dell’azione amministrativa postula una specifica presa di posizione operata, a monte, dal legislatore. Evidentemente, si pone in secondo piano la funzione strumentale dell’innovazione procedimentale, a meno che il tema sottotraccia non fosse già – cosa di cui è lecito dubitare – la “soggettività” autonoma dell’algoritmo.
Se proprio sono necessari riferimenti generali, lasciando da parte situazioni specifiche (per es. il processo telematico), si può iniziare dall’art. 3-bis della legge 241/1990, il quale statuisce – nella sua valenza generale – che “Per conseguire maggiore efficienza nella loro attività, le amministrazioni pubbliche agiscono mediante strumenti informatici e telematici, nei rapporti interni, tra le diverse amministrazioni e tra queste e i privati”.
Sul versante “prossimo” all’amministrazione costituito dal codice dell’amministrazione digitale-CAD (D.Lgs. n. 85/2005), i riferimenti abbondano. Si pensi, tra gli altri, alle seguenti prospettazioni:
- La presentazione di istanze, dichiarazioni, dati e lo scambio di informazioni e documenti, anche a fini statistici, tra le imprese e le amministrazioni pubbliche avviene esclusivamente utilizzando le tecnologie dell’informazione e della comunicazione. Con le medesime modalità le amministrazioni pubbliche adottano e comunicano atti e provvedimenti amministrativi nei confronti delle imprese (art. 5-bis, comma 1);
- Le pubbliche amministrazioni, nell’organizzare autonomamente la propria attività, utilizzano le tecnologie dell’informazione e della comunicazione per la realizzazione degli obiettivi di efficienza, efficacia, economicità, imparzialità, trasparenza, semplificazione e partecipazione, nel rispetto dei principi di uguaglianza e di non discriminazione, nonché per l’effettivo riconoscimento dei diritti dei cittadini e delle imprese in conformità agli obiettivi indicati nel Piano triennale per l’informatica nella pubblica amministrazione definito dall’AgID (art. 12, comma 1);
- La riorganizzazione strutturale e gestionale delle pubbliche amministrazioni volta al perseguimento degli obiettivi indicati all’art. 12, comma 1, avviene anche attraverso il migliore e più esteso utilizzo delle tecnologie dell’informazione e della comunicazione nell’ambito di una coordinata strategia che garantisca il coerente sviluppo del processo di digitalizzazione; tra l’altro è necessario procedere alla semplificazione dei procedimenti amministrativi, delle attività gestionali, dei documenti, della modulistica, nonché delle modalità di accesso e di presentazione delle istanze da parte dei cittadini e delle imprese (art. 15, commi 1 e 2);
- le pubbliche amministrazioni formano gli originali dei propri documenti con mezzi informatici e gestiscono i procedimenti amministrativi utilizzando le tecnologie dell’informazione e della comunicazione (art. 40, comma 1 e art. 41, comma 1).
Conclusioni
In attesa di conoscere quale sarà la versione definitiva dell’Artificial Intelligence Act proposto dalla Commissione europea per i sistemi di IA ad alto rischio (Regolamento che “stabilisce regole armonizzate sull’intelligenza artificiale (legge sull’intelligenza artificiale) e modifica alcuni atti legislativi dell’unione” (COM(2021) 206 final del 21 aprile 2021)), appare necessario iniziare a confrontarci seriamente con l’IA (o algoritmo) di piccolo cabotaggio.
Sul tema appare certo che di lavoro da svolgere ve ne sia a sufficienza se, ai giorni nostri, si assiste a risultati, invero imbarazzanti, come la “compilazione” (e poi successiva analisi) delle domande per i testi di ammissione ai corsi laurea magistrale a ciclo unico di medicina e chirurgia, odontoiatria e protesi dentaria, medicina veterinaria e corsi di laurea delle professioni sanitarie, di cui al D.M. 25 giugno 2021.
All’opera l’IA del Cineca (già protagonista di sortite poco o nulla meditate che non vale la pena riprendere) per una valutazione all’insegna dell’automazione, al netto dei commendevoli errori per i quali è certa una raffica di ricorsi, in via di formalizzazione.
Il decreto – che, tra l’altro, è praticamente la copia quasi conforme del precedente D.M. 16 giugno 2020, n. 218 – nonostante discussione avanzate, che un dicastero dell’Università dovrebbe pur conoscere, sviluppa il tema del rapporto “trattamenti automatizzati-tutela dell’interessato” in quella che sembra poco più che una nota a piè di pagina. Al termine dell’Allegato 3 al decreto, infatti, rubricata “Processo decisionale automatizzato”, si legge la seguente clausola: “1. I dati forniti dal candidato sono sottoposti a processi decisionali automatizzati, in relazione alla valutazione informatizzata dei punteggi conseguiti ed all’associazione dei codici etichetta modulo risposte/scheda anagrafica”. Un adempimento “minimale” dell’art. 13, par. 2, lett. f), del GDPR. Tutto qui, con buona pace tanto di una base giuridica specifica, quanto di quel poco di tutela contenuta nell’art. 22 del GDPR.
Insomma, tanti discorsi, molte elaborazioni culturali, adeguate riflessioni tecniche e, arrivati al “dunque”, la pubblica amministrazione “digitale” segna il passo. La strada da percorrere appare pertanto molto lunga e viene spontaneo un moto di comprensione nei confronti di quanti manifestino qualche legittima perplessità ad un passaggio di consegne dall’uomo all’intelligenza artificiale, soprattutto se quest’ultima, paradossalmente, debba imparare da noi.
