Notizie Giuridiche

L'integrazione dell'intelligenza artificiale (IA) nei processi aziendali in Italia rappresenta una rivoluzione tecnologica che porta con sé significative implicazioni legali, in particolare nel campo della privacy e della protezione dei dati personali. La complessa interazione tra il Regolamento Generale sulla Protezione dei Dati (GDPR) (Regolamento UE 2016/679) e il nuovo Artificial Intelligence Act (AI Act) (Regolamento UE 2024/1689) impone alle aziende un attento bilanciamento tra innovazione e rispetto dei diritti fondamentali.

I Fondamenti del GDPR nell'Era dell'IA

Il GDPR rimane la pietra miliare della tutela della privacy e dei dati personali. Quando un'azienda introduce un sistema di IA, deve anzitutto rispettare i principi cardine del Regolamento.

• Trasparenza: Ai sensi dell'Art. 13 e 14 del GDPR, le aziende devono informare gli interessati non solo dell'uso di sistemi di IA, ma anche della logica sottostante alle decisioni automatizzate e delle conseguenze che queste possono avere. In particolare, l'Art. 22 del GDPR vieta le decisioni basate unicamente sul trattamento automatizzato, inclusa la profilazione, che producano effetti giuridici o significativi per l'interessato.
• Minimizzazione dei dati: Il principio di minimizzazione (Art. 5, par. 1, lett. c del GDPR) è cruciale. I sistemi di IA devono essere progettati per raccogliere e trattare solo i dati strettamente necessari per la specifica finalità, evitando la raccolta eccessiva e non pertinente.
• Diritto di revisione umana: L'Art. 22 del GDPR stabilisce il diritto dell'interessato a non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato. Questo garantisce il diritto a una revisione umana, a contestare la decisione e a ottenere l'intervento di un operatore.
• Valutazione d'Impatto sulla Protezione dei Dati (DPIA): La DPIA è un requisito fondamentale (Art. 35 del GDPR) per i sistemi di IA che presentano rischi elevati per i diritti e le libertà delle persone. Tale valutazione deve analizzare la natura, l'ambito, il contesto e le finalità del trattamento, identificando i rischi e le misure per mitigarli.
• Base Giuridica: Ogni trattamento di dati personali da parte di un sistema di IA deve avere una valida base giuridica (Art. 6 del GDPR), come il consenso, l'esecuzione di un contratto o un legittimo interesse. Per le decisioni automatizzate, la base giuridica deve essere particolarmente solida.

L'AI Act: Un Nuovo Quadro di Responsabilità

A integrazione del GDPR, l'AI Act stabilisce un quadro normativo specifico per lo sviluppo, la commercializzazione e l'uso dell'intelligenza artificiale all'interno dell'Unione Europea. Il suo obiettivo primario è garantire che l'IA sia sicura, etica e rispettosa dei diritti fondamentali.

• Classificazione dei sistemi IA: L'AI Act classifica i sistemi di IA in base al rischio che comportano, con categorie che vanno dal rischio inaccettabile (totalmente vietato, ad es. sistemi di sorveglianza sociale), al rischio elevato (soggetti a requisiti stringenti), fino al rischio minimo (con obblighi limitati). Le aziende che utilizzano sistemi ad alto rischio, come quelli in ambito medico, di selezione del personale o di gestione dei trasporti, sono soggette a rigide verifiche e obblighi.
• Obblighi per i fornitori e gli utilizzatori: L'AI Act impone doveri specifici a chi sviluppa (fornitori) e a chi utilizza (utilizzatori) sistemi di IA. Questi obblighi includono la valutazione e mitigazione dei rischi, l'adozione di un sistema di gestione della qualità, la registrazione e la trasparenza algoritmica, e la sorveglianza post-commercializzazione per monitorare il comportamento del sistema dopo il suo lancio.
• Sanzioni: L'AI Act prevede sanzioni severe per le violazioni, che possono arrivare fino a 35 milioni di euro o il 7% del fatturato globale (a seconda di quale sia maggiore), a testimonianza della serietà con cui l'UE affronta i rischi dell'IA.

Rischi e Misure di Mitigazione

L'uso dell'IA introduce rischi specifici che le aziende devono affrontare:

• Fuga di dati e dati inesatti: L'affidamento a piattaforme IA esterne e non controllate può portare a fughe di dati sensibili. La protezione deve essere garantita attraverso l'uso di crittografia, anonimizzazione e rigorosi controlli di accesso. I dati utilizzati per l'addestramento devono essere verificati per garantirne l'accuratezza.
• Bias algoritmici: I sistemi di IA possono riflettere o amplificare i bias presenti nei dati di addestramento, portando a risultati discriminatori. La soluzione richiede un'attenta supervisione umana, la verifica della correttezza dei dati e l'adozione di algoritmi etici.
• Addestramento non autorizzato: Molti strumenti di IA generativa possono involontariamente memorizzare e riutilizzare contenuti proprietari o confidenziali, esponendo l'azienda a violazioni della proprietà intellettuale o alla divulgazione di segreti commerciali. È fondamentale utilizzare piattaforme sicure e ben gestite.

In conclusione, l'impiego dell'intelligenza artificiale in azienda non può prescindere da una governance dei dati solida, che tenga conto sia delle norme generali del GDPR che delle disposizioni più specifiche dell'AI Act.

Le aziende italiane devono:

1. Garantire la trasparenza sul funzionamento dei sistemi di IA e sulle finalità del trattamento dei dati.
2. Rivedere le informative sulla privacy e i registri dei trattamenti per documentare chiaramente l'uso dell'IA.
3. Implementare misure di sicurezza robuste, come la crittografia e l'anonimizzazione dei dati.
4. Effettuare sistematicamente la DPIA per i sistemi ad alto rischio.
5. Assicurare sempre la possibilità di intervento e revisione umana per le decisioni automatizzate.
6. Valutare e mitigare i rischi in conformità con i requisiti dell'AI Act, soprattutto per i sistemi ad alto rischio.

Solo attraverso un approccio etico e conforme alla normativa, le aziende potranno sfruttare pienamente il potenziale dell'IA, proteggendo al contempo i diritti e le libertà degli interessati e da parte del Garante stabilire delle linee guida per la revisione degli adempimenti privacy, in relazione al trattamento dei dati mediante sistemi e modelli AI ai sensi dell'art. 154 bis comma 1, letta) e comma 4, affinché le aziende e i privati non si trovino in difficoltà.