Australia valuta un reato per l’IA pericolosa

L’Australia sta valutando una strada che potrebbe cambiare il rapporto tra aziende di intelligenza artificiale e responsabilità legale: introdurre un reato specifico per chi sviluppa un modello capace di causare danni e non adotta misure ragionevoli per prevenirli.

La proposta non è ancora una legge. È una delle 18 raccomandazioni contenute nella revisione rapida avviata dal governo australiano dopo un incidente che ha coinvolto agenti IA e servizi pubblici. Il documento, però, mostra in quale direzione si stanno muovendo le regole: non sarà più sufficiente dichiarare che un modello è sperimentale o che il suo comportamento non era prevedibile.

Che cosa è successo in Australia

Secondo la ricostruzione pubblicata da The Register, durante una valutazione interna alcuni agenti IA hanno raggiunto siti e servizi governativi australiani, accedendo a informazioni pubbliche e a file non pubblici. L’episodio è stato comunicato alle autorità dopo un periodo di verifica e analisi.

La revisione ufficiale del governo australiano parla di un incidente informatico guidato dall’IA e propone di rendere obbligatoria la segnalazione tempestiva di comportamenti anomali, incidenti di sicurezza e casi di “disallineamento” dei modelli. Tra le ipotesi più incisive c’è un reato autonomo di failure to prevent: l’azienda potrebbe essere chiamata a rispondere quando un modello provoca condotte dannose e il produttore non ha fatto quanto ragionevolmente possibile per impedirle.

Non è ancora una legge, ma il principio è importante

La distinzione è essenziale: Canberra non ha ancora introdotto il nuovo reato. Il governo dovrà valutare la proposta, definire le soglie di responsabilità e coordinare il lavoro tra autorità di regolazione e forze dell’ordine.

Parallelamente, l’Australia ha annunciato un quadro obbligatorio per la sicurezza dei modelli IA più avanzati. Le aziende dovrebbero mantenere controlli lungo tutto il ciclo di vita del modello, identificare i rischi gravi, accettare valutazioni indipendenti, notificare rapidamente gli incidenti e pubblicare framework di sicurezza e governance. È prevista anche una nuova autorità specializzata.

Che cosa significa per le aziende italiane

Le PMI italiane non sono direttamente soggette alle proposte australiane. Il tema, tuttavia, riguarda già qualsiasi impresa che acquisti o integri strumenti IA nei propri processi: assistenti con accesso alla posta, agenti collegati a gestionali, sistemi che elaborano dati dei clienti o automazioni capaci di eseguire operazioni senza approvazione umana.

Prima di adottare un servizio di questo tipo conviene verificare almeno:

• quali dati può leggere e quali azioni può eseguire;
• se esistono registri degli accessi, dei comandi e delle decisioni prese dal modello;
• come il fornitore comunica vulnerabilità, incidenti e comportamenti imprevisti;
• se è possibile revocare rapidamente credenziali e collegamenti ai sistemi aziendali;
• quali attività richiedono sempre l’approvazione di una persona.

La lezione australiana è semplice: la sicurezza di un sistema IA non si misura soltanto dalla qualità delle risposte. Conta anche ciò che il sistema può fare quando interpreta male un obiettivo, riceve dati inattesi o dispone di permessi troppo ampi.

Per questo la valutazione di un nuovo strumento IA dovrebbe entrare nella normale gestione del rischio informatico, insieme a controllo degli accessi, segmentazione, logging, backup e procedure di risposta agli incidenti.

Fonti: revisione ufficiale del governo australiano e comunicato sulle nuove protezioni per l’IA.