USPI informa: GPDP, attuazione AI Act: passa con riserva lo schema di decreto

Il Garante per la Protezione dei Dati Personali (GPDP) dichiara il suo parere favorevole per lo schema di decreto legislativo che disciplina l’attuazione italiana dell’AI Act, la normativa europea che regola la produzione, diffusione e uso di sistemi di Intelligenza Artificiale (IA).

Tale decreto si compone di 22 articoli, suddivisi in 2 titoli, di cui il primo si occupa della sicurezza e tutela dei diritti fondamentali, di prevenzione e contrasto dei reati. Oltre alla promozione di una giusta formazione e un uso responsabile e consapevole dell’IA, il primo titolo regola anche l’utilizzo più ampio di IA nel riconoscimento biometrico specialmente da parte delle Forze di Polizia; il secondo titolo ha come oggetto le eventuali disposizioni penali, sostanziali e processuali in caso di illecito. Il secondo titolo interviene quindi sulla tutela penale e civile. Il provvedimento aggiunge anche regole nel settore finanziario e assicurativo.

Il Garante, designato come Autorità di vigilanza del mercato per i sistemi di IA ad alto rischio, dovrà sorvegliare e intervenire sull’uso i IA nei settori più sensibili, come giustizia, diritti fondamentali e processi democratici.

Nonostante il placet dell’Autorità, il GPDP chiarisce che ci sono alcuni argomenti che avranno bisogno di ulteriori sviluppi e accortezze.

L’importanza della tutela

Il Garante ha elencato diverse osservazioni per assicurarsi che le tutele nei consumatori siano il più complete possibile.

Tra le richieste principali, il GPDP chiede che gli sia riconosciuto il potere di adottare linee guida, raccomandazioni e buone praticheal pari delle altre Autorità competenti per l’IA; che siano chiarite le regole per l’applicazione delle sanzioni di sua competenza, secondo quanto previsto dal Codice privacy; e che sia coinvolto nelle attività dello Spazio di sperimentazione italiano per l’Intelligenza Artificiale.

Importante e necessario chiarimento che il Garante si aspetta è sicuramente quello del proprio ruolo nell’ambito delle procedure di valutazione della conformità dei sistemi di IA ad alto rischio. L’AI Act, infatti, gli attribuisce specifiche funzioni di vigilanza, ma il Garante propone di estendere il divieto di decisioni basate esclusivamente su sistemi automatizzati di IA anche alle valutazioni che possono incidere in modo significativo sul rapporto di lavoro.

Infine, il GPDP esplicita il bisogno di adeguare le risorse finanziarie al nuovo carico di lavoro per svolgere con efficacia il lavoro previsto dall’AI Act.

Il focus sulla biometria

L’integrazione che il Garante chiede per quanto riguarda l’ambito di riconoscimento biometrico va a toccare il tema sensibile della supervisione umana e del trattamento dei dati sensibili.

In particolare, chiede di chiarire il ruolo dellasupervisione umana nei sistemi di IA, di definire con maggiore precisione le responsabilità nei progetti di ricerca e sperimentazione, di coinvolgere il Garante negli spazi di sperimentazione normativa che comportino trattamenti di dati personali e di rafforzare le garanzie relative alla qualità delle banche dati biometriche utilizzate per l’identificazione.

Il Garante non vede coerenza nel trattamento automatizzato e generalizzato dei dati biometrici delle persone che accedono a luoghi o eventi pubblici con l’applicazione dell’AI Act. La normativa, infatti, permette il riconoscimento facciale con IA, ma delimitando il suo utilizzo “ex-post” per ricerche mirate.