Garante privacy: ecco le modifiche che servono alla legge sull’intelligenza artificiale

Il 2 agosto 2024, il Garante per la protezione dei dati personali ha espresso un parere favorevole, seppur condizionato, sullo schema di disegno di legge presentato dalla Presidenza del Consiglio dei Ministri riguardante le disposizioni e le deleghe legislative in materia di intelligenza artificiale (IA). Questo disegno di legge, noto come “disegno di legge IA”, mira a disciplinare la ricerca, la sperimentazione, lo sviluppo e l’adozione di sistemi di intelligenza artificiale, conferendo al Governo una delega legislativa per adeguare la normativa nazionale al Regolamento del Parlamento europeo e del Consiglio n. 2024/1689, noto come AI Act.

Necessità di Coordinamento con l’AI Act Europeo

Il Garante ha condiviso l’intento generale del disegno di legge, ma ha sottolineato la necessità di evitare sovrapposizioni con le disposizioni dell’AI Act europeo. In particolare, ha suggerito di introdurre un articolo specifico nel disegno di legge che garantisca la conformità dei trattamenti di dati personali ai sistemi di IA con la disciplina esistente in materia di protezione dei dati. Questo articolo dovrebbe assorbire i riferimenti alle disposizioni rilevanti per la protezione dei dati personali, con l’eccezione degli istituti richiamati per rinvio mobile.

Riguardo all’articolo 3, comma 1, il Garante ha suggerito di inserire il riferimento alla protezione dei dati personali nell’ambito dei diritti fondamentali, in conformità con l’articolo 8 della Carta dei diritti fondamentali dell’Unione Europea (CDFUE). Inoltre, l’articolo 4, comma 4, del disegno di legge sull’intelligenza artificiale dovrebbe essere perfezionato per allinearsi alle disposizioni del Codice della privacy, evitando difformità e variazioni.

Tutela dei Minori e Settore Sanitario

Il Garante ha richiesto che l’articolo relativo alla legittimazione dei minori sia allineato alle disposizioni del Codice della privacy, con particolare attenzione alle misure per verificare l’età dei minori e prevenire elusioni. Inoltre, ha sottolineato l’importanza di integrare le norme per l’utilizzo dell’IA in ambito sanitario con requisiti stringenti per il trattamento dei dati personali, specialmente quelli sensibili. Questi requisiti includono la preferenza per l’uso di dati sintetici anonimi, limitazioni per l’utilizzo di dati sanitari, il divieto di trasmissione, trasferimento e comunicazione, nonché la limitazione della conservazione dei dati.

Ricerca e Trattamento dei Dati

Per quanto riguarda l’uso dei dati personali a fini di ricerca nella realizzazione di sistemi di IA, il Garante ha sollecitato modifiche all’articolo 8 del disegno di legge. Ha richiesto che il comma 1 sia conformato ai requisiti di determinatezza previsti dagli articoli 6, paragrafo 3, e 9, paragrafo 2, del Regolamento, nonché dall’articolo 2-sexies del Codice. Inoltre, ha sottolineato l’importanza di garantire che l’uso secondario dei dati sia conforme alle garanzie sancite dall’articolo 89 del Regolamento per il trattamento funzionale a scopi di ricerca.

Il Garante ha suggerito di sostituire il riferimento ai “dati privi di elementi identificativi diretti” con il concetto di “dati pseudonimizzati”, in analogia con il comma 1-bis dell’articolo 2-sexies del Codice. Inoltre, ha richiesto la soppressione del riferimento alla possibilità di assolvere l’obbligo di informativa tramite pubblicazione sul sito web del titolare, ritenendolo non compatibile con l’uso secondario dei dati.

IA nel Settore Lavorativo

Il Garante ha sottolineato la necessità di introdurre garanzie specifiche per l’uso dell’IA nel settore lavorativo, richiamando le norme sulla non discriminazione e la protezione dei dati personali durante il processo di selezione del personale e nelle fasi successive all’assunzione. Ha suggerito di richiamare le garanzie previste dagli articoli 22, paragrafo 3, e 88 del Regolamento, nonché dagli articoli 113 e 114 del Codice.

Inoltre, ha raccomandato di chiarire e rafforzare il ruolo del Garante come autorità competente per la tutela dei dati personali nel contesto dell’IA, suggerendo modifiche che garantiscano una cooperazione efficace tra le diverse autorità coinvolte. Tra queste modifiche, ha proposto di inserire il Garante nel Comitato di coordinamento previsto dal disegno di legge, per garantire che gli aspetti relativi alla protezione dei dati siano adeguatamente considerati.

Bullet Executive Summary

In conclusione, il parere del Garante sulla proposta di legge sull’intelligenza artificiale rappresenta un passo cruciale verso l’armonizzazione delle normative nazionali ed europee in materia di IA e protezione dei dati personali. Il Garante ha espresso un parere favorevole, ma ha richiesto modifiche significative per garantire una maggiore tutela dei dati personali dei cittadini. Tra le raccomandazioni principali, spiccano l’introduzione di un articolo specifico sulla conformità dei trattamenti di dati personali, l’allineamento delle norme sulla legittimazione dei minori e l’uso dell’IA in ambito sanitario, nonché l’adozione di garanzie specifiche per l’uso dell’IA nel settore lavorativo.

L’intelligenza artificiale rappresenta una delle tecnologie più promettenti e al contempo più complesse del nostro tempo. La sua capacità di analizzare enormi quantità di dati e di apprendere autonomamente pone sfide significative in termini di privacy e protezione dei dati personali. Una nozione base correlata al tema è quella di machine learning, un sottoinsieme dell’IA che permette ai sistemi di apprendere dai dati senza essere esplicitamente programmati. Questo processo, se non adeguatamente regolamentato, può portare a rischi significativi per la privacy.

Una nozione avanzata applicabile al tema è quella di differential privacy, una tecnica che permette di analizzare i dati mantenendo la riservatezza delle informazioni personali. Questo approccio potrebbe essere fondamentale per garantire che i sistemi di IA possano operare in modo efficace senza compromettere la privacy degli individui. Riflettendo su queste tematiche, emerge l’importanza di un quadro normativo robusto e coordinato che possa bilanciare l’innovazione tecnologica con la protezione dei diritti fondamentali dei cittadini.