Il 31 agosto la Commissione europea ci ha regalato una di quelle notizie che, lette velocemente, sembrano una parodia scritta da qualcuno ostile all’Unione europea. Non lo sono. Purtroppo.
ChatGPT è stato ufficialmente designato come “Motore di Ricerca Online Molto Grande”. Reddit e Roblox, invece, sono diventate “Piattaforme Online Molto Grandi”.
Le maiuscole sono praticamente obbligatorie, perché senza sembrerebbe una frase pronunciata da un bambino di sei anni che cerca di spiegare Internet alla nonna.
In realtà si tratta delle categorie previste dal Digital Services Act: VLOSE, Very Large Online Search Engine, per ChatGPT; VLOP, Very Large Online Platform, per Reddit e Roblox.
Il motivo è semplice. Tutti e tre hanno dichiarato di raggiungere almeno 45 milioni di utenti medi mensili nell’Unione europea. Superata quella soglia, il DSA fa scattare una serie di obblighi aggiuntivi. I tre servizi hanno ora quattro mesi per adeguarsi. (Strategia Digitale Europea)
Fin qui niente di particolarmente misterioso.
La Commissione non si limita a chiedere a queste aziende di rispettare alcune norme facilmente verificabili. Non dice, per esempio: dovete pubblicare questo documento, conservare questi dati, identificare chiaramente la pubblicità, rispondere entro trenta giorni.
Una parte importante della disciplina riguarda qualcosa di assai più ambizioso: i “rischi sistemici”.
Le grandi piattaforme devono valutare e mitigare i rischi derivanti dai propri servizi e dai propri sistemi algoritmici. Fra quelli citati dalla Commissione ci sono la diffusione di contenuti illegali, gli effetti negativi sui minori, il benessere fisico e mentale degli utenti, i diritti fondamentali, i processi elettorali e la sicurezza pubblica. (Strategia Digitale Europea)
Manca il cambiamento climatico, ma probabilmente era finito lo spazio nella pagina.
La prima reazione sensata sarebbe chiedersi che cosa significhi esattamente “mitigare il rischio per il benessere mentale degli utenti”.
La seconda sarebbe chiedersi chi decide quando il rischio è stato mitigato abbastanza.
La terza, che di solito arriva qualche minuto dopo, è capire che la risposta alla seconda domanda sarà inevitabilmente: qualcuno.
E quel qualcuno difficilmente sarà l’utente.
Il problema non è che esistano regole
Vale la pena chiarirlo, perché su questi argomenti si finisce subito dentro una rappresentazione piuttosto infantile del dibattito.
Da una parte ci sarebbero gli eroici difensori dell’Internet libero, secondo i quali Mark Zuckerberg dovrebbe poter vendere direttamente eroina agli alunni delle elementari purché i termini di servizio siano scritti in Helvetica.
Dall’altra i saggi regolatori europei che, armati soltanto di una direttiva di 437 pagine e del bene comune, proteggono la popolazione dagli algoritmi cattivi.
Naturalmente non è così.
Esistono ottime ragioni per avere regole applicabili ai servizi digitali.
Una piattaforma può facilitare frodi. Può ospitare materiale illegale. Può progettare interfacce deliberatamente ingannevoli. Può rendere difficile capire perché vediamo una certa pubblicità. Può raccogliere dati in modi che gli utenti non comprendono. Può costruire sistemi particolarmente aggressivi nei confronti dei minori.
Non serve abbracciare Ayn Rand davanti a un server rack per riconoscere che alcuni di questi problemi meritano una risposta pubblica. La questione è quale risposta.
Il modello europeo di regolazione digitale sta progressivamente spostando il proprio centro di gravità. Non si limita più a stabilire comportamenti vietati e comportamenti consentiti. Sempre più spesso assegna alle imprese obblighi generali di sorveglianza del rischio, valutazione, prevenzione, documentazione e mitigazione.
La differenza sembra tecnica ma non lo è affatto. Una norma che dice “non fare X” lascia almeno intravedere il confine. Una norma che dice “adotta misure adeguate per ridurre il rischio sistemico Y” crea un rapporto assai diverso fra regolatore e regolato.
Il termine “adeguato” non è una quantità. È un giudizio. E i giudizi, quando dall’altra parte della scrivania c’è un’autorità capace di infliggere sanzioni, tendono ad avere un curioso effetto sulle decisioni aziendali.
Si chiama prudenza. Talvolta eccessiva. Talvolta muta i comportamenti delle imprese e non sempre per il meglio.
Il regolatore dei rischi
Prendiamo i processi elettorali. È ragionevole preoccuparsi del fatto che una grande piattaforma possa essere utilizzata per campagne coordinate di manipolazione, account falsi, contenuti illegali o altre operazioni ostili.
Difficile obiettare.
ma nel concreto che cosa deve fare una piattaforma per “mitigare” il rischio?
Rimuovere contenuti? Ridurne la diffusione Cambiare il sistema di raccomandazione Aggiungere avvisi? Impedire determinate forme di targeting? Modificare le risposte generate da un assistente? In quale misura Secondo quali criteri? E soprattutto: chi sopporta il costo dell’errore?
Perché gli errori possibili sono due.
Si può intervenire troppo poco e lasciare circolare qualcosa di dannoso.
Oppure si può intervenire troppo e limitare qualcosa che dannoso non era.
Il primo tipo di errore è estremamente visibile al regolatore. Il secondo molto meno.
Una piattaforma viene difficilmente convocata a Bruxelles perché ha moderato troppo prudentemente un’opinione perfettamente legittima. Può invece finire sotto esame se un determinato contenuto produce uno scandalo politico e qualcuno domanda perché non sia stato fermato.
Gli incentivi non sono difficili da intuire.
Poi arriva il “benessere”
Ancora più interessante è il riferimento al benessere fisico e mentale. Qui entriamo in un territorio in cui la misurazione diventa spettacolare.
Immaginiamo Roblox.
Milioni di persone, moltissime giovanissime, utilizzano il servizio. Quanto benessere mentale avrebbe prodotto Roblox in assenza di una determinata modifica dell’algoritmo Quanto ne produce dopo? Tre per cento in più Sette unità di serenità? Una riduzione statisticamente significativa del desiderio di lanciare il tablet contro il muro?
La difficoltà non significa che il problema non esista.
I prodotti digitali possono evidentemente influenzare comportamento, attenzione, sonno, relazioni sociali e stato psicologico.
Il punto è un altro.
Più un obiettivo regolatorio è ampio e difficilmente misurabile, più aumenta il potere interpretativo di chi deve verificarne il rispetto. E contemporaneamente diminuisce la capacità di un osservatore esterno di capire se la regolazione stia funzionando.
È molto facile contare quante uscite di emergenza possiede un edificio.
È assai più difficile stabilire se una piattaforma abbia sufficientemente protetto “il benessere”.
Possiamo produrre report. Possiamo produrre metriche. Possiamo produrre metodologie, assessment, audit, framework e documenti che spiegano come abbiamo prodotto gli altri documenti.
Su quest’ultimo punto l’Europa possiede un vantaggio comparato difficilmente contestabile.
Resta il dettaglio del risultato.
La conformità come prodotto
Uno degli effetti meno discussi della grande regolazione tecnologica è la creazione di una seconda industria tecnologica.
Quella della compliance.
Avvocati. Consulenti. Auditor. Esperti di policy. Specialisti di trust and safety. Responsabili dei rapporti istituzionali. Tecnici incaricati di costruire sistemi di rendicontazione. Economisti e statistici prestati alla misurazione dei rischi. Vuoi non metterci poi altri economisti che verificano gli economisti che misurano rischi? E, naturalmente, software per gestire tutto questo.
A parte le facili battute, ma come si può facilmente intuire, non riesco a prendere sul serio normative così fumose, qui compare un paradosso che dovrebbe interessare soprattutto chi sostiene che la regolazione europea serva a contenere il potere delle grandi aziende tecnologiche americane.
Chi sopporta meglio enormi costi fissi di conformità? OpenAI o una startup europea con venticinque dipendenti? Meta o una nuova piattaforma sociale? Google o un nuovo motore di ricerca?
La risposta non richiede un modello econometrico. Una grande impresa può assumere trecento persone per occuparsi di compliance.
Una piccola impresa può assumere Marco. Marco è molto bravo. Ma la sera vorrebbe tornare a casa. Quindi l’azienda a chi si affida? Bhe naturalmente ad una grande azienda di consulenza americana. Il corto circuito del “sovranismo europeo” in tutto il suo splendore.
Naturalmente il DSA prevede obblighi diversi in funzione della dimensione e le prescrizioni più pesanti si applicano proprio alle piattaforme molto grandi. Questo attenua il problema.
Tuttavia ogni sistema regolatorio genera aspettative, standard tecnici, interpretazioni e pratiche che tendono con il tempo a diffondersi anche oltre il perimetro formale iniziale. Una startup che spera di diventare enorme deve incorporare nei propri calcoli anche il costo di diventarlo.
E se funzionasse?
Il DSA potrebbe funzionare. Almeno in parte.
Potrebbe costringere le grandi piattaforme a studiare meglio conseguenze che altrimenti avrebbero incentivi economici a trascurare.
Potrebbe aumentare la trasparenza. Potrebbe migliorare la protezione dei minori. Potrebbe rendere più difficile ignorare sistematicamente alcuni abusi. Potrebbe fornire ai ricercatori informazioni che oggi sono difficili da ottenere.
Sarebbe sciocco escluderlo per principio.
Il problema è che per scoprirlo dovremmo fare una cosa molto poco europea. Misurare i risultati della regolazione con la stessa severità con cui misuriamo la conformità delle imprese.
Non chiedere soltanto quanti risk assessment siano stati consegnati. Chiedere anche quali rischi siano effettivamente diminuiti.
Non contare soltanto quanti audit siano stati completati. Capire anche che cosa abbiano scoperto che prima non sapevamo.
Non celebrare il numero di piattaforme sottoposte alla disciplina. Misurare anche quanto sia migliorata l’esperienza degli utenti, quali costi siano stati sostenuti, quali effetti collaterali siano comparsi e quanto la concorrenza sia stata alterata.
E soprattutto essere disposti, fra qualche anno, a concludere che alcune regole non hanno funzionato. Questa è la parte che ammetto sarebbe difficile.
Ma non pensiate che anche quelle precedenti siano facili. Per ognuno di quei temi bisognerebbe costruire uno scenario controfattuale per una verifica rigorosa.
D’altronde fare una legge è politicamente gratificante. Fare un comunicato in cui si annuncia che tre servizi sono diventati Molto Grandi è ancora meglio. Riconoscere nel 2030 che una certa disposizione ha prodotto cento milioni di euro di compliance e praticamente nessun beneficio osservabile richiede una qualità meno diffusa nella politica: la disponibilità ad ammettere che forse l’idea non era così buona. E purtroppo anche l’esperienza del GDPR ci dice che pochissimi in Europa siano disposti a mettere in discussione la regolamentazione.
Benvenuti fra i Molto Grandi
Per anni l’Europa ha osservato la crescita delle più importanti piattaforme digitali del pianeta quasi sempre da una posizione particolare: quella del luogo in cui vengono utilizzate, più raramente del luogo in cui vengono create.
Ora abbiamo perfezionato una specializzazione. Gli americani costruiscono ChatGPT. Gli americani costruiscono Reddit. Gli americani costruiscono Roblox.
Noi stabiliamo quando diventano Molto Grandi.
Anche la tassonomia è una competenza.
E se fra quattro mesi tutto sarà più sicuro, trasparente, competitivo, rispettoso dei diritti fondamentali, favorevole al benessere mentale, protetto dalle interferenze elettorali e immune dai rischi sistemici, sarò il primo a riconoscere il successo.
Se invece avremo soltanto più report, più consulenti, più caselle da spuntare e lo stesso Internet di prima, non sarà comunque tempo perso. Avremo raccolto moltissimi dati sulla conformità.
E con quei dati potremo finalmente preparare una nuova regolamentazione.