Tempo di lettura: 18 minuti

La sfida al diritto delle intelligenze artificiali

di Antonio Virgili Docente di Psicologia e di Sessuologia, già docente di Sociologia della Comunicazione all’Ist. Superiore di Sociologia

La recente Enciclica di S.S. Papa Leone XIV “Magnifica Humanitas” mostra tutta l’attenzione che la Santa Sede pone nei riguardi delle intelligenze artificiali, anche sulla scia dei vari interventi del precedente Pontefice Papa Francesco. Il Vaticano è lo Stato che maggiormente sta affrontando i problemi etici e morali che tale tecnologia pone. L’impatto delle IA è ancora sottovalutato da molti osservatori, se non per riflessi indiretti dal mondo del lavoro, bellico o della sicurezza. L’Intelligenza Artificiale (IA) si è rapidamente evoluta da innovazione tecnologica a forza strutturale che rimodella sistemi economici, politici e sociali. La sua crescente autonomia, opacità e scala sfidano le dottrine legali tradizionali riguardanti responsabilità, diritti, governance e responsabilità. Queste note offrono degli spunti di analisi delle dimensioni giuridiche dell’IA, concentrandosi sui modelli regolatori, con particolare attenzione al Regolamento dell’Unione Europea sull’IA (Regolamento (UE) 2024/1689) — il primo quadro giuridico vincolante e completo sull’IA a livello globale. L’AI Act è una legge pionieristica che stabilisce obblighi per fornitori e utenti di sistemi di IA, differenziandoli in base al livello di rischio che l’IA può comportare per la salute, la sicurezza o i diritti fondamentali delle persone. L’obiettivo è duplice:

• Tutelare i diritti fondamentali, la democrazia, lo stato di diritto e la sostenibilità ambientale dai sistemi di IA ad alto impatto.
• Stimolare l’innovazione e fare dell’Europa un leader nello sviluppo di un’IA affidabile e antropocentrica.

Ci sono però diverse questioni trasversali come responsabilità, protezione dei dati, proprietà intellettuale e diritti fondamentali, che subiscono la crescente pressione posta dai sistemi di IA avanzati come i modelli generativi e gli agenti autonomi e che quindi non si possono considerare pienamente risolti nella prassi quotidiana.

Una delle conseguenze principali dell’IA è l’impatto sui sistemi giuridici e su alcuni dei loro principi base. I sistemi di IA svolgono sempre più compiti che tradizionalmente richiedevano la cognizione umana, tra cui il processo decisionale, la previsione e l’azione autonoma. Queste capacità sollevano questioni legali complesse ma fondamentali che possono essere esemplificate attraverso alcuni quesiti essenziali: Chi è responsabile delle decisioni sull’IA?  I sistemi di IA possono essere soggetti giuridici? Come possono essere tutelati i diritti fondamentali nella gestione algoritmica? La Legge, tradizionalmente reattiva e abitualmente capace di adattarsi ai mutati contesti, sembra ora avere difficoltà a tenere il passo con lo sviluppo esponenziale dell’IA. Come evidenziato in recenti studi, i quadri normativi devono conciliare innovazione con mitigazione del rischio, una tensione che definisce il controllo e gestione moderne dell’IA.

I paradigmi regolatori nel governo dell’IA

La governance iniziale dell’IA si basava su linee guida etiche (ad esempio, Principi OCSE sull’IA) e quadri di soft law (codici di condotta). Le norme di soft law indicano, nel linguaggio giuridico, norme prive di efficacia vincolante diretta. Tipica delle relazioni internazionali, quando non vi siano trattati specifici, la cosiddetta soft law cerca di rispondere all’esigenza di creare una disciplina flessibile, in grado di adattarsi alla rapida evoluzione che caratterizza certi settori della vita economica o sociale oppure di recepire all’interno dell’ordinamento norme di soft law emanate da organizzazioni internazionali. La soft law si contrappone, quindi, ai tradizionali strumenti di normazione (Leggi, regolamenti ecc., la cosiddetta hard law), emanati secondo determinate procedure da soggetti che ne hanno l’autorità (parlamenti, governi ecc.), i quali producono norme dotate di efficacia vincolante nei confronti dei destinatari. Abitualmente coloro che emanano tali codici non vincolanti sono gli stessi destinatari, gli accordi di questo genere non creano obblighi giuridici tra le parti contraenti ma solo impegni politici il cui rispetto è rimesso alla volontà delle parti, tuttavia, nel caso dell’IA si è già riscontrata la loro inadeguatezza e lentezza. Infatti, tali accordi si sono manifestati insufficienti proprio a causa della mancanza di applicabilità sanzionatoria. Il passaggio verso la hard law è culminato nell’EU AI Act. La legge dell’Unione Europea sull’IA è così diventata un punto di riferimento giuridico globale.

La legge UE sull’IA (2024) costituisce dunque il primo quadro giuridico completo per l’IA a livello mondiale, con l’obiettivo di garantire un’IA affidabile e centrata sull’essere umano, promuovendo al contempo l’innovazione. I suoi obiettivi principali includono: la protezione dei diritti fondamentali, garantire sicurezza e trasparenza, l’armonizzazione del mercato interno. Il regolamento si applica integralmente dal 2 agosto 2026, con un’attuazione graduale a partire dal 2025.     Il modello regolatorio della Legge dell’UE è basato sul rischio. La Legge introduce un sistema di classificazione del rischio a quattro livelli, con un trattamento legale connesso al livello di rischio, dal basso all’alto, implicando divieti ed obblighi di conformità rigorosi. Ad esempio, con rischio minimo non ci sono obblighi specifici, con rischio alto scattano vari divieti.  Ad esempio, sono vietate la profilazione sociale (social scoring) e l’uso manipolativo, specialmente in alcuni settori sensibili come sanità e sicurezza. Questo modello riflette un principio di proporzionalità, allineando l’intensità regolatoria al rischio sociale.   Ci sono obblighi per i sistemi di IA ad alto rischio, che devono prevedere ed essere conformi a:

• Sistemi di gestione del rischio
• Requisiti di governance dei dati
• Documentazione tecnica e registrazione degli eventi
• Meccanismi di supervisione umana
• Standard di robustezza e sicurezza informatica

Questi obblighi creano un paradigma di conformità fin dalla progettazione, integrando i requisiti legali nell’architettura del sistema. L’AI Act istituisce, inoltre, delle Autorità di vigilanza nazionali, un Ufficio europeo per l’IA e sanzioni amministrative significative. La non conformità può comportare sanzioni severe, a testimonianza di un modello di applicazione basato sulla deterrenza.

Soggetti giuridici e responsabilità nei sistemi di IA

Un problema cruciale è che i sistemi di IA non hanno personalità giuridica secondo la legislazione vigente. La responsabilità è pertanto attribuita ad attori umani o aziendali. La legge sull’IA definisce quali siano i molteplici operatori responsabili: 1. Fornitori, 2. Implementatori, 3. Importatori, 4. Distributori.   Questo crea un modello di responsabilità distribuita, in cui la responsabilità segue il controllo sul sistema. Non secondario è l’aspetto del distinguo tra responsabilità civile e responsabilità del prodotto. L’IA mette in discussione i regimi di responsabilità tradizionali, a causa di una serie di caratteristiche che si possono sinteticamente così indicare: l’opacità (spesso indicato come problema della “scatola nera”, ovvero sistemi la cui logica decisionale risulta opaca e difficilmente interpretabile dagli utenti); l’autonomia (quanto è autonoma la decisione/scelta?); la capacità di apprendimento (l’esito è frutto di una specifica programmazione oppure è stato “appreso” autonomamente dall’IA?).   Le recenti riforme dell’UE (ad esempio, la direttiva sulla responsabilità del prodotto) mirano a ridurre l’onere della prova per le vittime ed estendere la responsabilità ai software e ai sistemi di IA.  Ma le procedure non sono semplici, anche a causa del cosiddetto “divario di responsabilità”.  Una questione giuridica fondamentale è proprio il divario tra causalità e responsabilità poiché le decisioni dell’IA potrebbero non essere completamente spiegabili e diversi attori contribuiscono ai risultati (si direbbe non sono solo il risultato di altri dati). Per tali motivi sono stati proposti regimi di responsabilità rigorosi e sistemi assicurativi obbligatori.

Diritti fondamentali e IA

L’impatto delle IA sta mettendo in gioco diversi diritti fondamentali, tra questi la riservatezza, la non discriminazione (causata da errori algoritmici), la libertà di espressione, il giusto processo.  L’AI Act mira esplicitamente a salvaguardare questi diritti imponendo diversi vincoli alle applicazioni ad alto rischio. La cosiddetta “discriminazione algoritmica” è prodotta da procedure di sistema che possono indirettamente introdurre alcuni pregiudizi umani nei sistemi di IA, ad esempio circa le decisioni di assunzione oppure l’accesso ineguale ai servizi. Per limitare tali rischi sono stati previsti requisiti obbligatori di qualità degli insiemi di dati e obblighi di trasparenza.  La sorveglianza e identificazione biometrica è un altro degli aspetti sensibili, pertanto, la Legge impone limiti rigorosi al riconoscimento facciale e all’ azione legale predittiva (cioè solo basata su serie di dati). Alcuni usi sono del tutto sono vietati, mentre altri richiedono l’autorizzazione giudiziaria.

Protezione dei dati e IA

All’interno dell’Unione Europea, l’interazione con il Regolamento Generale sulla Protezione dei Dati – G.D.P.R. e con altri regolamenti di garanzia costituisce una rete di sicurezza per la tutela dei diritti.  Risultano coordinate, o in parallelo, le regolamentazioni previste dal G.D.P.R., dalla Legge sulla governance dei dati e dalla Legge sulla protezione dei dati. Pertanto, i sistemi di IA devono essere conformi al trattamento lecito, alla minimizzazione dei dati e ai requisiti di interpretabilità.  Ai sensi del G.D.P.R. gli individui hanno diritti contro le decisioni puramente automatizzate, e possono richiedere l’intervento umano. Questo crea un modello di governance ibrido, che combina norme specifiche per l’IA e norme sulla protezione dei dati.

Proprietà intellettuale e IA

Una delle questioni più controverse è poi quella dei dati di addestramento e del diritto d’autore. Cioè l’utilizzo di materiale protetto da copyright nell’addestramento dell’IA.  I critici sostengono che le norme attuali creino delle scappatoie legali, soprattutto per i sistemi di IA generativa. E c’è anche il problema dei prodotti dell’IA: chi possiede i diritti sulle opere generate dall’IA? L’IA può essere considerata un autore?  Sino ad oggi la maggior parte delle giurisdizioni negano la paternità all’IA e attribuiscono i diritti solo a creatori od operatori umani.

Un ulteriore aspetto riguarda IA, contratti e agenti autonomi

Se l’IA può negoziare contratti ed eseguire transazioni in modo autonomo, si pone la questione della validità del consenso e dell’attribuzione dell’intento.  Recenti ricerche evidenziano la complessità degli agenti di IA, che agiscono in modo autonomo attraverso diversi sistemi e interagiscono con molteplici parti interessate.  Da un punto di vista giuridico e di sicurezza, questi sistemi sollevano questioni di tracciabilità, di responsabilità legale e di conformità alle normative internazionali.

Prospettive globali sulla regolamentazione dell’IA

In vari ambiti ci si augura che si verifichi l'”effetto Bruxelles”, ovvero che l’Atto UE sull’IA Influenzi gli standard globali e modelli la conformità aziendale a livello mondiale.  Tuttavia, nel mondo i tre principali poli dell’IA si ispirano a procedure diverse. Negli Stati Uniti le norme sono limitate, settoriali e orientate all’innovazione; in Cina sono stato-centriche, orientate al controllo; nella UE sono basate sui diritti, e orientate al rischio.  Questa divergenza crea frammentazione normativa e spiega anche come mai negli ultimi anni ci sia stato chi, per interesse di parte, ha alimentato critiche contro le azioni dell’Unione Europea poiché esse si ispirano alla tutela dei diritti e alla limitazione dei rischi, ponendo argini non graditi all’azione di multinazionali e centri di potere.

Sfide emergenti

Tra le sfide emergenti c’è l’intelligenza artificiale per scopi generali (c.d. “G.P.A.I.”, acronimo di “General Puropse Artificial Intelligence”), espressione con la quale ci si riferisce a quei modelli di IA che, addestrati su un’enorme quantità di dati, sono capaci di apprendere dagli stessi e utilizzare le competenze acquisite per svolgere un’ampia gamma di compiti: dalla produzione di testi, a quella di contenuti audio/video fino al riconoscimento di immagini.   Ai sensi dell’art. 3 (63) dell’AI Act si tratta di un modello “che sia caratterizzato da una generalità significativa e sia in grado di svolgere con competenza un’ampia gamma di compiti distinti, indipendentemente dalle modalità con cui il modello è immesso sul mercato, e che può essere integrato in una varietà di sistemi o applicazioni a valle, ad eccezione dei modelli di IA utilizzati per attività di ricerca, sviluppo o prototipazione prima di essere immessi sul mercato”.

Si tratta, dunque, di modelli di uso generale che, per le loro caratteristiche funzionali, possono soddisfare un’ampia varietà di scopi e possono essere utilizzati da soli o con altri sistemi ed applicazioni di IA, comprese quelle ad alto rischio.  Il legislatore europeo ha individuato e separato due categorie di modelli: modelli di IA per finalità generali e modelli di IA per finalità generali che presentano rischi sistemici. La differenza più significativa risiede negli obblighi contemplati dal Regolamento, più stringenti per la seconda categoria, in quanto potenzialmente suscettibile di dar vita a rischi sistemici, ossia “rischi specifici per le capacità di impatto elevato dei modelli di IA per finalità generali, aventi un impatto significativo sul mercato dell’Unione a causa della loro portata, o di effetti negativi effettivi, o ragionevolmente prevedibili, sulla salute pubblica, la sicurezza, i diritti fondamentali o la società nel suo complesso, che può propagarsi su larga scala lungo l’intera catena del valore” [art. 3(65) AI Act].

Detto ciò, le disposizioni del Regolamento prevedono obblighi specifici sia per i fornitori di modelli di IA per finalità generali, che per i loro rappresentanti autorizzati.   Un modello di IA per finalità generali presenta un rischio sistemico se soddisfa una delle due condizioni contemplate dall’art. 51 del Regolamento e quindi:

• se presenta capacità di impatto elevato “valutate sulla base di strumenti tecnici e metodologie adeguati, compresi indicatori e parametri di riferimento” (lett.a). Capacità che è invece presunta in presenza dei requisiti di calcolo contemplati dal c. 3;
• se, tenuto conto dei criteri dettati dall’All. XIII, presenta una capacità o un impatto equivalenti a quelli di cui alla lett.a. In tal caso, la Commissione classifica il modello come “a rischio sistemico”, ex officio o su segnalazione qualificata del gruppo di esperti scientifici (lett.b).

Per conseguire tale obiettivo di maggior sicurezza è fondamentale che i fornitori di modelli di IA per finalità generali garantiscano una buona comprensione dei loro modelli lungo l’intera catena del valore dell’IA, in modo da consentire ai fornitori a valle di integrare tali modelli nei sistemi di IA e di adempiere ai propri obblighi ai sensi della legge sull’IA. Più specificamente, i fornitori di modelli di IA per finalità generali devono redigere una documentazione tecnica per i loro modelli da mettere a disposizione dei fornitori a valle e fornire, su richiesta, all’ufficio per l’IA e alle autorità nazionali competenti, devono mettere in atto una politica in materia di diritto d’autore e pubblicare una sintesi dei contenuti di formazione. Inoltre, i fornitori di modelli di IA per finalità generali che presentano rischi sistemici, sia perché i modelli sono molto potenti sia perché hanno un impatto significativo sul mercato interno per altri motivi, devono notificare tali modelli alla Commissione, valutare e attenuare i rischi sistemici che ne derivano, anche effettuando valutazioni dei modelli, segnalando incidenti gravi e garantendo un’adeguata cibersicurezza di tali modelli.

Si noti che la generalità significativa e la capacità di eseguire con competenza una vasta gamma di compiti distintivi possono essere raggiunti da modelli all’interno di una singola modalità, come testo, audio, immagini o video, se la modalità è abbastanza flessibile. Ciò può essere ottenuto anche da modelli sviluppati, perfezionati o altrimenti modificati per essere particolarmente bravi in un compito specifico o in una serie di compiti in un dominio specifico.

E che i rischi sistemici, cioè i rischi di danni su vasta scala derivanti dai modelli più avanzati, possono manifestarsi, anche attraverso l’abbassamento degli ostacoli allo sviluppo di armi chimiche o biologiche o attraverso questioni indesiderate di controllo sui modelli autonomi di IA per finalità generali. I modelli più avanzati in un dato momento possono comportare rischi sistemici, compresi rischi nuovi, allo stesso tempo, alcuni modelli al di sotto della soglia corrispondente allo stato dell’arte possono anche comportare rischi sistemici, ad esempio attraverso l’integrazione progressiva e la portata.  Di conseguenza, la legge sull’IA classifica un modello di IA per finalità generali come un modello di IA per finalità generali con rischio sistemico se è uno dei modelli più avanzati in un dato momento o se ha un impatto equivalente. Ne deriva che i modelli considerati di IA per finalità generali con rischio sistemico possono cambiare nel tempo, riflettendo lo stato dell’arte in evoluzione e il potenziale adattamento della società a modelli sempre più avanzati. Attualmente, i modelli di IA per finalità generali con rischio sistemico sono sviluppati da poche imprese, anche se ciò potrebbe cambiare in futuro.

Conclusione

L’IA rappresenta una sfida paradigmatica per i sistemi giuridici, che richiede un ripensamento di concetti giuridici fondamentali come responsabilità, personalità giuridica e diritti. L’Atto UE sull’IA segna un passo storico verso una governance completa dell’IA, stabilendo un modello di riferimento globale. Esso cerca di coniugare aspetti legali, aspetti tecnici e aspetti etici. Restano alcuni punti irrisolti e una complessità potenzialmente problematica. Il suo successo dipenderà da un’attuazione efficace, dall’adattabilità e dal coordinamento internazionale. Il futuro del diritto dell’IA richiede quadri normativi dinamici, forte collaborazione interdisciplinare ed innovazione giuridica continua.

The challenge to the law of artificial intelligences

by Antonio Virgili Professor of Psychology and Sexology,  former professor of Sociology of Communication at the Higher Institute of Sociology

 The recent encyclical of His Holiness Pope Leo XIV, “Magnifica Humanitas,” demonstrates the Holy See’s dedication to artificial intelligence, reflecting the various interventions of the previous Pontiff, Pope Francis. The Vatican is the State most engaged in addressing the ethical and moral issues this technology poses. The impact of AI is still underestimated by many observers, except for indirect implications in the worlds of work, warfare, and security. Artificial Intelligence (AI) has rapidly evolved from a technological innovation to a structural force reshaping economic, political, and social systems. Its increasing autonomy, opacity, and scale challenge traditional legal doctrines regarding responsibility, rights, governance, and accountability. These notes offer insights into the legal dimensions of AI, focusing on regulatory models, with particular attention to the European Union Regulation on AI (Regulation (EU) 2024/1689)—the first comprehensive, binding legal framework for AI globally. The AI ​​Act is a pioneering law that establishes obligations for providers and users of AI systems, differentiating them based on the level of risk AI may pose to people’s health, safety, or fundamental rights. Its objective is twofold:

• Protect fundamental rights, democracy, the rule of law, and environmental sustainability from high-impact AI systems.
• Stimulate innovation and make Europe a leader in the development of trustworthy, human-centric AI.

However, several cross-cutting issues, such as liability, data protection, intellectual property, and fundamental rights, are subject to increasing pressure from advanced AI systems such as generative models and autonomous agents and therefore cannot be considered fully resolved in everyday practice.    One of the main consequences of AI is its impact on legal systems and some of their basic principles. AI systems are increasingly performing tasks that traditionally required human cognition, including decision-making, prediction, and autonomous action. These capabilities raise complex but fundamental legal issues that can be exemplified by a few key questions: Who is responsible for AI decisions? Can AI systems be legal entities? How can fundamental rights be protected in algorithmic management? The law, traditionally reactive and usually capable of adapting to changing contexts, now appears to be struggling to keep pace with the exponential development of AI. As highlighted in recent studies, regulatory frameworks must reconcile innovation with risk mitigation, a tension that defines modern AI oversight and management.

Regulatory paradigms in AI governance

The initial governance of AI was based on ethical guidelines (e.g., the OECD Principles on AI) and “soft law” frameworks (codes of conduct). In legal jargon, “soft law” refers to rules without direct binding force. Typical of international relations, where there are no specific treaties, soft law seeks to address the need to create a flexible framework, capable of adapting to the rapid evolution of certain sectors of economic or social life, or of incorporating soft law provisions issued by international organizations into the legal system. Soft law, therefore, contrasts with traditional standardization tools (laws, regulations, etc., so-called hard law), which are issued according to specific procedures by entities with the authority to do so (parliaments, governments, etc.), and which produce rules that are binding on their recipients. Typically, those who issue such non-binding codes are the recipients themselves. Such agreements do not create legal obligations between the contracting parties, but merely political commitments whose enforcement is left to the parties’ discretion. However, in the case of AI, their inadequacy and slowness have already been demonstrated. Indeed, such agreements have proven insufficient precisely because of the lack of applicable sanctions. The shift towards hard law culminated in the EU AI Act. The European Union law on AI has thus become a global legal benchmark.

The EU AI Act (2024) thus constitutes the first comprehensive legal framework for AI worldwide, aiming to ensure trustworthy and human-centred AI while promoting innovation. Its main objectives include protecting fundamental rights, ensuring safety and transparency, and harmonizing the internal market. The Regulation applies in full dating from August 2, 2026, with gradual implementation starting in 2025. The EU Law’s regulatory model is risk-based. The Law introduces a four-level risk classification system, with legal treatment based on the level of risk, from low to high, implying strict prohibitions and compliance obligations. For example, at low risk, there are no specific obligations; at high risk, various prohibitions are triggered. For example, social profiling (social scoring) and manipulative use are prohibited, especially in sensitive sectors such as healthcare and security. This model reflects a principle of proportionality, aligning regulatory intensity with social risk. High-risk AI systems have obligations, which must include and comply with:

• Risk management systems
• Data governance requirements
• Technical documentation and event logging
• Human oversight mechanisms
• Robustness and cybersecurity standards

These obligations create a compliance-by-design paradigm, integrating legal requirements into the system architecture. The AI ​​Act also establishes national supervisory authorities, a European AI Office, and significant administrative penalties. Non-compliance can result in severe penalties, reflecting a deterrent-based enforcement model.

Legal entities and liability in AI systems

A crucial issue is that AI systems do not have legal personality under current legislation. Responsibility is therefore attributed to human or corporate actors. The AI ​​Act defines the multiple responsible actors: 1. Suppliers, 2. Implementers, 3. Importers, 4. Distributors. This creates a distributed liability model, in which liability follows control over the system. The distinction between civil liability and product liability is also important. AI challenges traditional liability regimes due to a series of characteristics that can be summarized as follows: opacity (often referred to as the “black box” problem, i.e., systems whose decision-making logic is opaque and difficult for users to interpret); autonomy (how autonomous is the decision/choice?); and learning capacity (is the outcome the result of specific programming or was it “learned” autonomously by the AI?). Recent EU reforms (e.g., the Product Liability Directive) aim to reduce the burden of proof for victims and extend liability to AI software and systems. However, the procedures are not simple, partly due to the so-called “liability gap.” A key legal issue is precisely the gap between causality and liability, since AI decisions may not be fully explainable and multiple actors contribute to the outcomes (are they “simply” the result of other data?).  For these reasons, rigorous liability regimes and mandatory insurance systems have been proposed.

Fundamental rights and AI

The impact of AI is jeopardizing several fundamental rights, including privacy, non-discrimination (caused by algorithmic bias), freedom of expression, and due process. The AI ​​Act explicitly aims to safeguard these rights by imposing various constraints on high-risk applications. So-called “algorithmic discrimination” is caused by system procedures that can indirectly introduce human bias into AI systems, for example in hiring decisions or unequal access to services. To limit these risks, mandatory data quality requirements and transparency obligations have been established. Surveillance and biometric identification are another sensitive area, therefore, the Act imposes strict limits on facial recognition and predictive legal action (i.e., based solely on data sets). Some uses are prohibited entirely, while others require judicial authorization.

Data protection and AI

Within the European Union, the interaction with the General Data Protection Regulation (GDPR) is crucial. and other safeguards, it constitutes a safety net for the protection of rights. The regulations set forth by the GDPR, the Data Governance Act, and the Data Protection Act are coordinated, or in parallel. Therefore, AI systems must comply with lawful processing, data minimization, and interpretability requirements. Under the GDPR, individuals have rights against purely automated decisions and can request human intervention. This creates a hybrid governance model, combining AI-specific rules and data protection regulations.

Intellectual property and AI

One of the most controversial issues is training data and copyright – that is, the use of copyrighted material in AI training. Critics argue that current regulations create legal loopholes, especially for generative AI systems. And there’s also the issue of AI products: who owns the rights to the works generated by AI? Can AI be considered an author? To date, most jurisdictions deny AI authorship and attribute rights only to human creators or operators.

Another aspect concerns AI, contracts, and autonomous agents.

If AI can negotiate contracts and execute transactions autonomously, this raises the question of the validity of consent and attribution of intent. Recent research highlights the complexity of AI agents, which act autonomously across diverse systems and interact with multiple stakeholders. From a legal and security perspective, these systems raise issues of traceability, legal liability, and compliance with international regulations.

Global perspectives on AI regulation

In various quarters, there is hope for a “Brussels Effect,” meaning that the EU AI Act will influence global standards and shape corporate compliance worldwide. However, the three main AI hubs around the world follow different approaches. In the United States, regulations are narrow, sector-specific, and innovation-oriented; in China, they are state-centric, control-oriented; in the EU, they are rights-based and risk-oriented. This divergence creates regulatory fragmentation and also explains why, in recent years, some self-interested parties have fueled criticism of the European Union’s actions, which are inspired by the protection of rights and the limitation of risks, placing unwelcome constraints on the actions of multinationals and power centres.

Emerging challenges

Among the emerging challenges is general-purpose artificial intelligence (G.P.A.I.), a term which refers to AI models that, trained on a huge amount of data, are capable of learning from it and using the acquired skills to perform a wide range of tasks: from text production to audio/video content production to image recognition. Pursuant to Article 3 (63) of the AI ​​Act, this is a model “that is characterized by significant generality and is capable of competently performing a wide range of distinct tasks, regardless of how the model is marketed, and that can be integrated into a variety of downstream systems or applications, with the exception of AI models used for research, development, or prototyping prior to being marketed.”

These are, therefore, general-purpose models that, due to their functional characteristics, can satisfy a wide variety of purposes and can be used alone or with other AI systems and applications, including high-risk ones. The European legislator has identified and separated two categories of models: general-purpose AI models and general-purpose AI models that present systemic risks. The most significant difference lies in the obligations set out in the Regulation, which are more stringent for the second category, as it potentially can give rise to systemic risks, i.e. “risks specific to the high-impact capabilities of general-purpose AI models, having a significant impact on the Union market due to their scale, or actual or reasonably foreseeable adverse effects on public health, safety, fundamental rights or society as a whole, which may spread on a large scale along the entire value chain” [art. 3(65) AI Act].

That said, the provisions of the Regulation establish specific obligations for both providers of general-purpose AI models and their authorized representatives. A general-purpose AI model poses a systemic risk if it meets one of the two conditions set out in Article 51 of the Regulation, namely:

• if it has high-impact capabilities “assessed on the basis of appropriate technical tools and methodologies, including indicators and benchmarks” (letter a). This capability is presumed if the calculation requirements set out in paragraph 3 are met;
• if, taking into account the criteria set out in Annex XIII, it has a capability or impact equivalent to those set out in letter a. In this case, the Commission classifies the model as “systemic risk,” ex officio or upon qualified recommendation from the Scientific Expert Panel (letter b).

To achieve this goal of increased security, it is essential that providers of general-purpose AI models ensure a good understanding of their models across the entire AI value chain, enabling downstream providers to integrate those models into AI systems and fulfil their obligations under AI Law. More specifically, providers of general-purpose AI models must prepare technical documentation for their models to be made available to downstream providers and provided, upon request, to the AI ​​Office and competent national authorities. They must implement a copyright policy and publish a summary of their training content. Furthermore, providers of general-purpose AI models that pose systemic risks, either because the models are very powerful or have a significant impact on the internal market for other reasons, must notify those models to the Commission, assess and mitigate the resulting systemic risks, including by conducting model assessments, reporting serious incidents, and ensuring adequate cybersecurity of those models.

Note that significant generality and the ability to competently perform a wide range of distinctive tasks can be achieved by models within a single modality, such as text, audio, images, or video, if the modality is flexible enough. This can also be achieved by models developed, refined, or otherwise modified to be particularly good at a specific task or set of tasks in a specific domain.     And that systemic risks, i.e., risks of large-scale harm arising from the most advanced models, may manifest, including through lowering barriers to chemical or biological weapons development or through unintended control issues over autonomous general-purpose AI models. The most advanced models at any given time may pose systemic risks, including novel risks. At the same time, some models below the state-of-the-art threshold may also pose systemic risks, for example, through progressive integration and outreach. Accordingly, AI law classifies a general-purpose AI model as a general-purpose AI model with systemic risk if it is one of the most advanced models at a given time or has an equivalent impact. This means that the models considered general-purpose AI with systemic risk may change over time, reflecting the evolving state of the art and society’s potential adaptation to increasingly advanced models. Currently, general-purpose AI models with systemic risk are developed by a small number of companies, although this may change in the future.

Conclusions

AI represents a paradigmatic challenge for legal systems, requiring a rethinking of fundamental legal concepts such as liability, legal personality, and rights. The EU AI Act marks a historic step towards comprehensive AI governance, establishing a global reference model. It seeks to combine legal, technical, and ethical aspects. Some unresolved issues and potentially problematic complexity remain. Its success will depend on effective implementation, adaptability, and international coordination. The future of AI law requires dynamic regulatory frameworks, strong interdisciplinary collaboration, and continuous legal innovation.