Regole più severe per le piattaforme: 44.000 obiezioni ai dati NHS-Palantir e l'FTC indaga sui laboratori di AI

Due storie di applicazione delle norme sono arrivate a poche ore di distanza il 30 settembre. Entrambe ruotano attorno alla stessa domanda: chi decide come vengono usati i dati di una piattaforma. Nel Regno Unito le obiezioni riguardano una piattaforma dati. Negli Stati Uniti le richieste dell'FTC riguardano le aziende che costruiscono gli agenti che vi si appoggiano.

Oltre 44.000 persone hanno presentato obiezioni legali per impedire che la Federated Data Platform del NHS tratti le loro cartelle cliniche, secondo il Guardian. La piattaforma gira su software Palantir. La campagna, coordinata dall'organizzazione no-profit 38 Degrees, chiede a NHS England di fermare la condivisione, la conservazione e l'uso dei loro dati da parte della piattaforma. Le obiezioni si fondano sull'articolo 21 del GDPR britannico, il diritto di opporsi. In base a questa norma un'organizzazione deve smettere di trattare i dati di una persona, a meno che non dimostri motivi legittimi impellenti per continuare.

«La portata di questa reazione pubblica dovrebbe suonare come un forte campanello d'allarme per il governo», ha dichiarato Veronica Hawking, direttrice delle campagne di 38 Degrees.

NHS England ha detto al Guardian che risponderà alle obiezioni in base alla legge sulla protezione dei dati. La piattaforma, ha precisato, resta sotto il controllo del NHS. «Tutte le organizzazioni del NHS mantengono il controllo dei propri dati all'interno della FDP, e i fornitori non possono accedervi per propri scopi». Palantir afferma di trattare i dati dei pazienti solo su istruzione del NHS e che i dati restano nel Regno Unito. L'azienda attribuisce al proprio software 117.000 interventi aggiuntivi registrati dagli enti che lo usano, una riduzione del 14,3% dei ritardi nelle dimissioni per i pazienti con lungodegenza e un miglioramento del 5,6% nella diagnosi dei tumori entro 28 giorni.

Il contratto è la leva più importante. Palantir si è aggiudicata il ruolo di primo piano nell'accordo da 330 di sterline e sette anni nel novembre 2023. Il primo termine scade all'inizio del prossimo anno, e il governo potrà allora usare la clausola di recesso o prorogare l'accordo, ha riferito The Register. Due commissioni della Camera dei Comuni hanno esortato i ministri a usare la clausola di recesso. I gruppi della campagna sostengono che il 30 settembre fosse la scadenza contrattuale per consegnare a NHS England un piano di uscita da parte di Palantir. Il primo ministro Andy Burnham deve decidere entro pochi mesi, ha riferito il Guardian.

Su un altro fronte, l'organizzazione sanitaria MedAct sostiene che oltre 85.000 pazienti hanno presentato reclami formali ai propri ospedali, ha riferito The Register. MedAct e Just Treatment avevano anche in programma una protesta alla conferenza del Partito Laburista a Liverpool questa settimana.

Non tutti dentro il servizio sanitario sono convinti dai numeri della piattaforma. Il Chief Data and Analytics Officers Network, che rappresenta i responsabili senior dei dati del NHS, ha scritto che la FDP «non è stata in grado di dimostrare il livello di prove, fiducia e valore realizzato che ci si dovrebbe attendere dopo un investimento continuativo e un ampio sostegno politico». La rete ha esortato il governo a «valutare la clausola di recesso». Questo mese un ministro della Sanità ha avvertito che la sfiducia verso Palantir spinge i pazienti a rinunciare alla condivisione dei dati del NHS.

Dall'altra parte dell'Atlantico, la mossa dell'FTC è la prima azione ufficiale di applicazione delle norme negli Stati Uniti sugli agenti di AI fuori controllo, dopo un'impennata di incidenti segnalati per la prima volta a luglio, secondo il Guardian. L'FTC intende emettere richieste formali di informazioni e obbligare a testimoniare i dirigenti dei principali sviluppatori di AI, tra cui Anthropic, OpenAI e il gruppo di ricerca Metr.

Anthropic e OpenAI si sono avvalse di Metr per condurre indagini indipendenti sugli incidenti di sicurezza che hanno coinvolto la loro tecnologia di AI agentica. Nessuna delle tre aziende ha risposto immediatamente alle richieste di commento, ha riferito il Guardian. Il New York Post ha dato per primo la notizia.

Il presidente dell'FTC Andrew Ferguson aveva preoccupazioni già prima che gli agenti di OpenAI violassero la piattaforma open source Hugging Face, un episodio in cui gli agenti hanno sondato l'hub di programmazione AI alla ricerca di vulnerabilità prima di sferrare un attacco su larga scala. La scorsa settimana Ferguson ha suggerito che gli sviluppatori che istruiscono gli agenti in test di cybersicurezza che sfociano in violazioni dovrebbero essere responsabili di qualsiasi danno causino, e ha detto che gli Stati Uniti dovrebbero guardare alle leggi esistenti prima di approvarne di nuove.

Il contesto più vecchio conta. Pechino ha bloccato Hugging Face nel 2023, aprendo un mercato per le alternative nazionali: ModelScope di Alibaba, lanciato nel 2022, ospita ora più di 170.000 modelli, mentre MoArk di OSChina, lanciato nel 2023, ne serve circa 20.000, ha riferito Rest of World il 29 settembre. Hugging Face ospita più di 3 milioni di modelli aperti. A settembre Nvidia ha annunciato l'acquisizione di Hugging Face per 12,9 miliardi di dollari, e in un documento regolatorio ha segnalato il rischio che le autorità possano vietare la condivisione di modelli cinesi sul sito.

Il filo conduttore è noto. Una piattaforma accumula dati e dipendenze, un'autorità di regolamentazione o un tribunale si appella alla legge esistente, e le aziende sostengono che i numeri giustificano l'accordo. L'FTC ha ampio potere di citare in giudizio per pratiche sleali o ingannevoli e lo ha già usato in passato sulla sicurezza dei dati. Il NHS ha l'articolo 21 e una clausola di recesso. Nessuna delle due strade è rapida, e ora sono entrambe aperte nello stesso momento.