Harvard, Stanford, MIT e Oxford, insieme a 18 ricercatori, hanno messo sul tavolo una proposta destinata a diventare sempre più rilevante nel dibattito sulla sicurezza dell’intelligenza artificiale: insegnare alle macchine a rispettare la legge. Il paper, “Legal Alignment for Safe and Ethical AI”, parte da un’intuizione apparentemente lineare: se un sistema di AI fosse progettato per conformarsi sistematicamente alle norme giuridiche applicabili, la compliance potrebbe diventare una sorta di livello minimo di sicurezza. Una base verificabile sulla quale costruire sistemi più affidabili, soprattutto in settori nei quali frode, copyright, lavoro, privacy e responsabilità civile producono conseguenze concrete.
Pensare che la sicurezza possa essere ottenuta semplicemente aggiungendo qualche regola al modello. La legge, in realtà, offre una struttura molto più sofisticata. Stabilisce divieti, obblighi, soglie, responsabilità, eccezioni e procedure, creando un perimetro entro il quale un sistema dovrebbe operare. Trasformare questo patrimonio normativo in vincoli computazionali potrebbe quindi rappresentare un importante avanzamento rispetto a un modello di sicurezza basato esclusivamente su policy aziendali o principi etici generici.
Il problema comincia quando si entra nella finanza. Qui la distanza tra “rispettare la regola” e “comportarsi correttamente” diventa molto più difficile da colmare. Una parte sostanziale della regolamentazione finanziaria non consiste infatti in istruzioni binarie facilmente traducibili in codice. Il sistema normativo europeo, per esempio, utilizza continuamente concetti come interesse del cliente, correttezza, proporzionalità, gestione dei conflitti, adeguatezza, trasparenza e tutela dell’investitore. Sono concetti giuridicamente operativi, ma non equivalgono a un semplice if/then.
Un algoritmo può verificare se un documento contiene una determinata informazione. Può controllare se una procedura è stata eseguita entro una certa scadenza. Può confrontare una transazione con una soglia normativa. Può persino costruire una rappresentazione estremamente sofisticata delle norme applicabili a un determinato caso. Ma quando deve stabilire se un comportamento sia realmente nell’interesse del cliente, entra in un territorio nel quale la compliance automatizzata incontra il giudizio professionale.
Questa distinzione è fondamentale perché l’intelligenza artificiale tende naturalmente a trasformare ciò che è misurabile in ciò che sembra governabile. È una tentazione comprensibile per chi costruisce sistemi enterprise: una norma ha un riferimento, una soglia ha un numero, una procedura ha un workflow, un obbligo ha una casella da spuntare. Il software ama queste cose. La realtà finanziaria molto meno.
Il rischio è quindi quello di costruire sistemi straordinariamente efficienti nell’osservare la lettera della normativa e sorprendentemente incapaci di coglierne lo spirito. Un modello potrebbe, in teoria, essere conforme a tutte le regole formalmente applicabili e produrre comunque una decisione incompatibile con il dovere sostanziale che quelle stesse regole intendono proteggere.
È qui che il concetto di “legal alignment” diventa interessante, ma anche pericoloso se viene venduto come soluzione completa. L’allineamento alla legge può essere considerato un lower bound, un livello minimo sotto il quale un sistema non dovrebbe scendere. Non significa che quel livello sia sufficiente per definire un comportamento sicuro, etico o professionalmente responsabile. La differenza semantica sembra piccola; dal punto di vista della governance è enorme.
Per un consiglio di amministrazione, infatti, dichiarare che un sistema AI è “legalmente allineato” potrebbe generare una falsa sensazione di sicurezza. Se il modello ha mappato ogni norma, ogni clausola e ogni obbligo applicabile, il dashboard della compliance potrebbe apparire magnificamente verde. Il problema è che il cliente non vive dentro un dashboard. Vive dentro una decisione.
Nel settore finanziario questo diventa particolarmente evidente con il concetto di best interest. Stabilire che una determinata operazione non viola una specifica disposizione è relativamente semplice. Stabilire che quella stessa operazione sia realmente appropriata per quel cliente, considerando situazione, obiettivi, vulnerabilità, conflitti e conseguenze potenziali, è un esercizio di giudizio. La differenza non è cosmetica. È la differenza tra conformità normativa e responsabilità fiduciaria.
L’AI può assistere enormemente questo processo. Può leggere migliaia di pagine normative, collegare disposizioni tra loro, individuare incoerenze, monitorare aggiornamenti legislativi, simulare scenari, controllare documentazione e segnalare potenziali violazioni. Può persino aiutare il professionista a rendere più strutturato e auditabile il proprio ragionamento. Quello che non dovrebbe fare, almeno non senza una governance molto più sofisticata, è trasformare automaticamente l’assenza di una violazione normativa nell’equivalente di una decisione corretta.
La questione diventa ancora più importante con gli AI agent. Un modello che risponde a una domanda è una cosa. Un agente che interpreta informazioni, decide, esegue un ordine, interagisce con un cliente e produce conseguenze economiche è un’altra. In quel secondo scenario la compliance non può essere soltanto una proprietà del modello. Deve diventare una proprietà dell’intero sistema sociotecnico: dati, modello, strumenti, workflow, autorizzazioni, supervisione umana, log, controlli e responsabilità.
La Silicon Valley tende a preferire sistemi nei quali tutto possa essere rappresentato come un problema di ottimizzazione. La regolamentazione finanziaria ricorda invece una verità meno elegante: alcune decisioni richiedono discrezionalità proprio perché il mondo non è una funzione matematica ben definita. L’assenza di una regola specifica non equivale all’assenza di un dovere.
Questo cambia anche il ruolo del management. Se un’azienda introduce un sistema AI che rispetta tutte le norme ma interpreta in modo miope i principi che le sostengono, la responsabilità non può essere trasferita al modello. Dire “l’algoritmo era compliant” sarà probabilmente una difesa debole quando il problema sarà spiegare perché nessuno abbia considerato il rischio di una decisione formalmente legittima ma sostanzialmente inappropriata.
La governance dell’AI finanziaria dovrà quindi distinguere almeno tre livelli: compliance normativa, comportamento etico e giudizio professionale. Il primo può essere largamente automatizzato. Il secondo può essere supportato da principi e controlli. Il terzo richiede ancora responsabilità umana, soprattutto nei casi ambigui, ad alto impatto o caratterizzati da conflitti di interesse.
La conseguenza più interessante è che l’AI non elimina la responsabilità manageriale; in molti casi la rende più visibile. Quando una macchina prende una decisione sulla base di migliaia di regole, la domanda non sarà soltanto se abbia rispettato la norma, ma chi abbia stabilito quali principi tradurre in codice, quali eccezioni introdurre, quali rischi accettare e quando fermare l’automazione.
Una macchina può essere perfettamente conforme e comportarsi comunque male. Nella finanza, dove la regolamentazione non è fatta soltanto di proibizioni ma anche di doveri fiduciari e principi di condotta, la compliance rappresenta il pavimento, non l’edificio. Confondere i due livelli sarebbe uno degli errori più costosi che l’AI governance possa commettere.
di Beatrix Daros