Domenica 2 agosto sono diventati applicabili gli obblighi di trasparenza dell'articolo 50 del regolamento UE sull'IA. Visibilmente non è successo nulla, come accade con quasi tutte le scadenze normative. Una settimana passata a scriverne si riduce a tre cose da tenere.
Che cosa è successo davvero il 2 agosto
Una regola pubblica dal 2024 è entrata in funzione. I fornitori di sistemi generativi devono ora assicurare che gli output siano marcati in un formato leggibile dalle macchine come generati o manipolati artificialmente. I deployer, cioè chi pubblica il risultato, devono darne informativa. I deep fake e i testi generati dall'IA pubblicati per informare il pubblico su questioni di interesse pubblico sono nominati espressamente.
Il lunedì non è arrivata nessuna ondata di controlli, e chi ve l'ha annunciata vi stava vendendo qualcosa. È cambiato che l'obbligo ora è un fatto che riguarda ciò che pubblicate, non una data sul calendario.
Le tre cose da ricordare
Uno. Quasi chiunque legga questo è deployer, non fornitore. I team presumono che l'obbligo spetti al fornitore dello strumento usato. Se pubblicate l'output, l'obbligo di informativa è vostro. Era il primo articolo della settimana, una lettura semplice di che cosa chiede l'articolo 50, ed è ancora quello da mandare a un collega che non ha guardato nulla di tutto ciò.
Due. Un'etichetta è un'affermazione, e le affermazioni vengono messe alla prova. È stato il filo conduttore dell'intera settimana. L'informativa è una dichiarazione fatta su una superficie che controllate, cioè esattamente ciò che la regola chiede ed esattamente ciò che smette di bastare appena qualcuno ha motivo di verificarla. Una casella spuntata non è una prova spiegava perché i registri che i team già possiedono, date dei file, thread di email, cronologia di progetto, cronologia delle versioni nel cloud, cedono tutti nello stesso punto: sono in mano alla parte che fa l'affermazione. L'articolo sulla prova di conformità trattava che cosa serve invece.
Tre. Scegliere l'etichetta sbagliata è peggio che non sceglierne nessuna. L'obbligo riguarda l'accuratezza. Le quattro dichiarazioni IA passavano in rassegna generato, modificato, assistito dall'IA e scritto da una persona, e la constatazione onesta è che la maggior parte dei team al lavoro è assistita dall'IA più spesso di quanto gradirebbe mettere per iscritto.
La parte che sta sotto a tutto
A metà settimana l'argomento è cambiato senza cambiare davvero. Non esiste un registro mondiale del diritto d'autore: secondo la Convenzione di Berna la protezione sorge automaticamente alla creazione in 181 paesi, senza alcuna formalità, e quasi nessuno di essi ne tiene registro. Gli Stati Uniti tengono un registro, e quella registrazione non viaggia, perché il diritto d'autore è territoriale e il trattamento nazionale porta il diritto oltre confine senza portare con sé il documento processuale americano.
È lo stesso problema dell'articolo 50 con un altro vestito. In entrambi i casi la legge vi dà qualcosa di reale e non ve ne dà alcuna prova, e la prova è ciò su cui si decide quando c'è una lite. Un'informativa sull'IA e una rivendicazione di paternità si riducono entrambe a: che cosa è stato prodotto, da chi e quando.
Che cosa farne
Sigillare e dichiarare un file richiede circa cinque minuti, e il passaggio che conta è l'ultimo, quello in cui qualcuno fuori dalla vostra organizzazione verifica il registro senza account e senza contattarvi. Ogni registro interno fallisce esattamente lì.
Il consiglio pratico dell'intera settimana non è spettacolare. Mettete il registro nel momento della pubblicazione anziché in quello della verifica. Non provate a sigillare quattro anni di catalogo. Cominciate dalle consegne ai clienti, da tutto ciò che viene pubblicato verso l'UE e da tutto ciò che tocca un tema di interesse pubblico.
Che cosa arriva la prossima settimana
La seconda settimana entra nella meccanica: che cos'è davvero una marca temporale qualificata, come funziona la verifica dal lato di chi riceve, e che cosa distingue in pratica un registro di provenienza da una casella di conformità.
La settimana completa
- 1 agosto: che cosa chiede davvero l'articolo 50, in parole semplici. Chi vincola, che cosa rientra, che cosa significa etichettare.
- 2 agosto: l'articolo 50 è in vigore. Ecco come dimostrare la conformità. Le quattro parti di un registro che regge.
- 3 agosto: una casella spuntata non è una prova. Perché date dei file, email e cronologie cedono nello stesso punto.
- 4 agosto: le quattro etichette IA di cui ha bisogno ogni editore europeo. Come decidere in un minuto e perché sottostimare costa.
- 5 agosto: il mondo non ha un registro del diritto d'autore, tranne gli Stati Uniti. Che cosa non vi dà la protezione automatica.
- 6 agosto: perché una registrazione statunitense non vi protegge fuori dagli Stati Uniti. Territorialità, trattamento nazionale e che cosa viaggia al suo posto.
- 7 agosto: come sigillare e dichiarare un file in meno di cinque minuti. L'intero flusso, compreso il passaggio che si salta.
Se leggete una cosa sola, leggete la pagina sull'articolo 50, che raccoglie tutto il ragionamento in un unico posto.
