L'AI Act, all'articolo 5, elenca le pratiche di IA totalmente vietate nell'Unione Europea. Non "regolamentate", proprio vietate. Applicabili dal 2 febbraio 2025 (prime norme dell'AI Act a entrare in vigore).
Le pratiche vietate:
- Manipolazione cognitiva subliminale: sistemi IA che usano tecniche subliminali per alterare il comportamento delle persone in modo dannoso.
- Sfruttamento di vulnerabilità: sistemi che sfruttano vulnerabilità di età, disabilità o situazione socioeconomica per causare danno. Esempio: chatbot che inducono anziani in isolamento ad acquisti rovinosi.
- Social scoring: classificazione delle persone basata su comportamento sociale o caratteristiche personali, con conseguenze ingiustificate (stile sistema cinese di crediti sociali).
- Predictive policing individuale: valutare il rischio di una persona di commettere reati basandosi solo su profilazione (vietato per individui; non vietato per analisi di aree geografiche).
- Scraping di volti per banche dati di riconoscimento facciale: indiscriminato da internet o videosorveglianza. Caso Clearview AI, già sanzionato in Italia.
- Riconoscimento delle emozioni sul lavoro e a scuola: vietato monitorare emozioni di dipendenti o studenti tramite IA, salvo finalità mediche o di sicurezza.
- Categorizzazione biometrica per dati sensibili: classificare persone in base a etnia, opinioni politiche, orientamento sessuale, religione tramite biometria.
- Identificazione biometrica remota in tempo reale in spazi pubblici a fini di polizia: vietato, con eccezioni molto strette (ricerca vittime sequestri, prevenzione attentati imminenti, ricerca specifici sospetti di reati gravi). Eccezioni richiedono autorizzazione giudiziaria.
Sanzioni per violazione pratiche vietate: fino a 35 milioni di euro o 7% del fatturato globale, il maggiore dei due. La sanzione massima dell'AI Act.
Implicazioni concrete:
- I datori di lavoro non possono installare sistemi che riconoscono emozioni dei dipendenti.
- Le scuole non possono usare sistemi che classificano studenti per emozioni o attenzione.
- I gestori di centri commerciali non possono fare riconoscimento facciale di massa.
- Le aziende social non possono usare manipolazione subliminale algoritmica.
Caso italiano rilevante: nel 2022 il Garante Privacy aveva già sanzionato Clearview AI (multa 20M) per scraping di volti, anticipando lo spirito della norma poi codificata nell'AI Act.