Il tema della regolazione delle piattaforme è indubbiamente di attualità e lo ha dimostrato anche la recente decisione dell’Autorità per la tutela dei dati personali di sospendere l’attività di ChatGPT in Italia, una decisione che ha sollevato numerose polemiche ma che va valutata anche alla luce dei giganteschi problemi di sicurezza posti dall’integrazione della piattaforma in numerosissime applicazioni.
Allarme per l’evoluzione dell’intelligenza artificiale generativa
L’allarme più autorevole è stato dato qualche giorno fa da Jen Easterly, direttrice della CISA, la Cybersecurity and infrastructure Security Agency americana, in un intervento all’Atlantic Council. Easterly ha definito i tools di intelligenza artificiale generativa il più grande problema di sicurezza che dovremo affrontare in questo secolo. La ragione sta nella facilità con cui si realizza il jailbreaking di ChatGPT, cioè la possibilità di inserire codici di terze parti superando le restrizioni della piattaforma. I rischi sono legati alla possibilità di inserire un codice maligno e di diffonderlo in maniera massiva; l’utilizzo di dati sensibili aziendali per alimentare le piattaforme; la possibilità di generare campagne estremamente realistiche e personalizzate di phishing per la diffusione di ransomware. Proprio in ragione di questi rischi alcune società come JPMorgan hanno proibito l’utilizzo di ChatGPT.
Commentando i rischi che comporta l’utilizzo delle piattaforme di intelligenza artificiale generativa e la necessità di un sistema regolatorio che ne controlli la messa in circolazione e l’utilizzo, Easterly ha fatto riferimento ai problemi posti dalla diffusione dei social media che è avvenuta senza regole e con l’obiettivo dichiarato da Zuckerberg di “move fast and break things” e che adesso sta distruggendo la salute mentale dei nostri figli.
La spinta di tutti i grandi gruppi per incorporare nelle loro piattaforme, il più in fretta possibile, una applicazione di intelligenza artificiale generativa, senza porsi alcun problema circa le modalità di utilizzo e di sicurezza e bollando qualsiasi invito alla prudenza come retrogrado è ispirato ad una mentalità contraria alla innovazione assomiglia molto a quanto era avvenuto tra la fine degli anni ottanta e gli inizi degli anni novanta quando una serie di imprenditori incominciarono ad utilizzare senza autorizzazione l’infrastruttura di internet per finalità di tipo commerciale. La National Science Foundation che aveva sviluppato il backbone (dorsale) di internet per collegare i centri di calcolo delle Università e delle agenzie governative e che ne aveva ristretto l’uso ai soli utenti certificati, si vide costretta, per la pressione politica che veniva esercitata dalle nuove imprese ad aprire nel 1992 l’infrastruttura agli utilizzi commerciali.
Internet e le prime preoccupazioni sulla sua regolamentazione
L’infrastruttura di internet non era però stata costruita per quelle finalità e nelle specifiche di progetto mancava un requisito essenziale e cioè un sistema di sicurezza intrinseco. Dato che la finalità era di garantire resilienza dell’infrastruttura i punti di accesso dovevano essere chiaramente identificabili e protetti. Con l’apertura a finalità di tipo commerciale si moltiplicavano senza controlli i punti di accesso aumentando esponenzialmente la vulnerabilità. Per questo si è sviluppata una gigantesca industria di Cybersecurity che cresce più rapidamente della stessa crescita di internet.
L’industria legata ad internet riuscì nella prima metà degli anni novanta ad esercitare una forte pressione politica sul congresso e sull’amministrazione americana creando le condizioni per una riforma radicale del sistema di comunicazioni che si concretizzò nella approvazione del Telecommunications Act del 1996 e dai successivi interventi legislativi. L’aspetto più significativo fu la garanzia della immunità civile e penale alle piattaforme impedendo che venissero assimilati agli editori. L’industria godeva presso la politica e l’opinione pubblica di una simpatia proporzionale all’antipatia nei confronti delle società di telecomunicazioni, giganti che avevano dominato il mercato per cento anni, con scarsa disponibilità all’innovazione e al servizio del clienti.
La diffusione internazionale di internet fu rapidissima nonostante alcune remore iniziali. C’era la preoccupazione che i servizi americani usassero l’infrastruttura per le loro attività di intelligence (lo scandalo Echelon era emerso in Nuova Zelanda già nel 1996) e si pensava che alla fine tutto sarebbe stato ricondotto all’interno dell’ITU (Unione internazionale delle telecomunicazioni) secondo lo schema che aveva sempre caratterizzato il mondo delle telecomunicazioni. L’obiettivo degli Stati Uniti era però quello di una diffusione della tecnologia su scala planetaria mantenendo un saldo controllo della infrastruttura. Per questo l’amministrazione americana esercitò una fortissima pressione diplomatica. Ira Magaziner, braccio destro di Clinton per le questioni più complicate, convinse a far accettare all’Europa senza discussioni le tesi americane. Fu così che più tardi venne approvato il Safe Harbor che consentiva alle società americane di operare in Europa alle stesse condizioni con cui operavano negli Stati Uniti.
Sola la Cina regolamentò Internet sin dall’inizio
Solo i cinesi si preoccuparono fin dall’inizio di regolamentare internet. Parlando con Xia Hong, il responsabile delle pubbliche relazioni di una startup legata a internet, i due giornalisti di “Wired” Geremie Barme e Sang Ye riportarono in termini estremamente incisivi i problemi che sarebbero poi diventati visibili anche in Occidente molti anni dopo: “Una rete che consente ad ogni individuo di fare ciò che vuole con tutto quel confuso chiacchiericcio buono e cattivo, giusto e sbagliato, tutto mescolato insieme, una rete egemonica che danneggia i diritti degli altri. Non c’è dubbio che internet sia una colonia: una colonia dell’informazione. Dal momento che vai online ti devi confrontare con l’egemonia inglese. Qui non si tratta di rendere internet più conveniente anche per quelli che non parlano inglese. Il nostro ideale è creare una rete esclusivamente cinese”.
A valle di almeno 16 interventi normativi e regolatori, nel 2000 la IX Assemblea nazionale del popolo approvò le decisioni per garantire la sicurezza di internet: un atto con il quale venne definito un quadro organico per guidare lo sviluppo della nuova infrastruttura. Non voglio discutere gli obiettivi del governo cinese di allora, ma va sottolineata la consapevolezza che i cinesi avevano del fenomeno.
In Europa invece ci fu una sostanziale condiscendenza nei confronti delle richieste dell’amministrazione americana, con un minimo di approfondimento e discussione solo per le implicazioni dello scandalo Echelon. Ci fu un relazione che venne presentata al Parlamento Europeo e si concluse con un’imbarazzata discussione nel settembre del 1998, durante la quale, pur ammettendo la legittimità di strumenti di controllo di massa per prevenire criminalità e terrorismo, si sottolineava la necessità di un maggiore controllo democratico sugli strumenti.
Il parlamento UE, comunque, era al termine della legislatura, e non avrebbe avuto il tempo per varare un’iniziativa al riguardo. Dopo le elezioni europee, la discussione su Echelon venne ripresa dal nuovo parlamento agli inizi del 2000 nell’ambito dei lavori sulla tutela della privacy, e questa volta diede origine a una commissione temporanea d’inchiesta con lo scopo di accertare l’esistenza e la funzionalità di Echelon e di verificare le iniziative da adottare a tutela dei cittadini e delle imprese europee.
Il caso Max Schrems
Nell’inerzia del parlamento, a prendere un’iniziativa decisiva fu sorprendentemente un giovane studente di legge austriaco, Max Schrems: rimettendo al centro della discussione il ruolo delle piattaforme elettroniche. In seguito alle rivelazioni di Snowden, Schrems sporse denuncia contro Facebook Ireland dinanzi al commissario irlandese per la protezione dei dati personali.
La denuncia prendeva le mosse dal trattato di Safe Harbor che gli Stati Uniti avevano firmato con l’Unione Europea nel 2000, ed era volta a impedire che i dati raccolti da Facebook Ireland Ltd venissero trasferiti a Facebook Inc. negli Stati Uniti. Il commissario irlandese respinse inizialmente il caso, qualificandolo come frivolo e infondato, ma Schrems non si diede per vinto. Attraverso più gradi di giudizio e con un supporto crescente di organizzazioni della società civile, riuscì ad arrivare fino alla Corte di giustizia europea, la quale, con una storica sentenza dell’ottobre 2015, invalidò il trattato di Safe Harbor che così faticosamente l’Unione Europea aveva elaborato.
L’Unione Europea si trovò costretta a rinegoziare su altre basi il trattato con gli Stati Uniti, e nel giro di pochi mesi elaborò un nuovo accordo che entrò in vigore a metà 2016. Non avevano però tenuto conto della determinazione di Schrems, il quale nel frattempo aveva fondato un’organizzazione chiamata Noyb, (acronimo di none of your business), per difendere le proprie ragioni. Con il supporto dell’organizzazione, Schrems sollevò un’altra azione legale contro Facebook, approdata di nuovo alla Corte di giustizia: nella sentenza emessa il 16 luglio 2020 la Corte ha stabilito che la legislazione europea messa frettolosamente in atto dopo la cancellazione del Safe Harbor non risponde ai requisiti di proporzionalità richiesti dal diritto dell’Unione perché i programmi di sorveglianza fondati sulla normativa interna degli Stati Uniti non si limitano a quanto strettamente necessario.
Nel frattempo la Commissione Europea ha recuperato il terreno perduto varando numerosi atti per regolare l’utilizzo di internet, ma l’efficacia di questi interventi rischia di essere limitata in assenza di un intervento normativo da parte del Congresso americano. Il legislatore americano, che negli ultimi tempi ha promosso una serie di audizioni e di indagini conoscitive sulla attività delle piattaforme, è consapevole dei problemi ma è anche in difficoltà nell’intervenire per la fortissima opposizione ad un intervento legislativo che ne regoli l’attività. L’argomento principale è che la regolazione frena l’innovazione.
Il confronto tra Ietf e Iso
In realtà il successo di internet non nasce dalla assenza di regolazione ma dal metodo di lavoro che aveva adottato la Internet Engineering Task Force (Ietf). Un metodo di lavoro distante anni luce da quello della industria di telecomunicazioni tradizionale. David Clark, uno dei pionieri del web, agli inizi degli anni Novanta, al culmine della battaglia degli standard per la rete che vedeva contrapposta la comunità di internet all’Iso (l’Organizzazione internazionale per la normazione) lo aveva espresso in questo modo: “Rifiutiamo i re, i presidenti e il voto. Crediamo, invece, in un consenso approssimativo e nel lavoro di codifica”. Nello Ietf non esistono membri permanenti ma solo partecipanti, e non c’è nemmeno un meccanismo di votazione: il sistema di formazione del consenso è basato sulla funzionalità delle soluzioni tecniche.
Viceversa proprio per le sue caratteristiche burocratiche, il processo di sviluppo dei protocolli all’interno dell’Iso era molto lento e la formazione del consenso più difficile mentre il metodo di lavoro della comunità degli ingegneri di internet era molto più rapido ed efficace e si basava sulla tacita accettazione del principio che chiunque potesse partecipare allo sviluppo, mettendo a disposizione le sue idee: alla fine si adottava la soluzione che funzionava meglio. Mike Padlipsky, uno dei primi membri del gruppo di lavoro che ha sviluppato i protocolli di rete ARPANET, sintetizzò efficacemente la diversità dei due approcci qualificando quello della comunità di internet come metodo descrittivo e quello dell’Iso come metodo prescrittivo. Aggiungendo maliziosamente che “mentre l’approccio descrittivo adottato dalla comunità di internet è adatto alla tecnologia, il modello prescrittivo usato dagli organi di standardizzazione come l’Iso si adatta meglio alla teologia”. In realtà l’elemento fondamentale che differenziava i due approcci era che internet si accontentava di un modello a “best effort”, cioè senza garanzie di prestazioni, mentre Iso e Itu perseguivano un modello a qualità garantita, come richiedevano le società di telecomunicazioni. Tra i due modelli la differenza è più teorica che reale, perché con la crescita di performance della tecnologia la qualità migliora al punto da rendere i due modelli indistinguibili, ma nel primo caso il miglioramento è ottenuto con costi significativamente più bassi.