Parere del Garante n. 477 del 02/08/2024

Parere sullo schema di disegno di legge in materia di intelligenza artificiale

Il Garante per la protezione dei dati personali esamina, ai sensi dell’art. 36, par. 4, del Regolamento (UE) 2016/679, lo schema di disegno di legge recante "Disposizioni e delega al Governo in materia di intelligenza artificiale" trasmesso dalla Presidenza del Consiglio dei Ministri. Il parere è favorevole, ma accompagnato da numerose condizioni e da una osservazione volte a garantire il pieno coordinamento del testo con il GDPR, il Codice privacy, il d.lgs. 51/2018 e l’AI Act (Regolamento (UE) 2024/1689).

Inquadramento generale del disegno di legge

Il provvedimento è articolato in sei Capi e reca norme di natura sia programmatica sia settoriale e promozionale, finalizzate a disciplinare ricerca, sperimentazione, sviluppo, adozione e applicazione di sistemi e modelli di intelligenza artificiale. Il testo contiene inoltre una delega al Governo per l’adeguamento della normativa interna all’AI Act. Il Garante apprezza l’impostazione antropocentrica del disegno di legge e l’orientamento alla tutela dei diritti fondamentali, ma segnala il rischio di sovrapposizioni con il quadro europeo e la necessità di evitare disposizioni non perfettamente coordinate con la disciplina di protezione dei dati.

Principi generali e necessità di una clausola trasversale privacy

Il Garante rileva che, dato l’impatto sistemico dell’IA sul trattamento dei dati personali, è opportuno inserire nel Capo I una disposizione generale e trasversale che stabilisca espressamente che il trattamento dei dati personali correlato a sistemi di intelligenza artificiale avviene nel rispetto del GDPR, del Codice privacy e del d.lgs. 51/2018. Tale previsione dovrebbe sostituire i commi 2 e 3 dell’art. 4, così da evitare rinvii frammentari e assicurare coerenza complessiva con la normativa vigente.

Il Garante chiede anche di correggere l’art. 3, comma 1, collocando il riferimento alla protezione dei dati personali nell’ambito dei diritti fondamentali da rispettare, e non tra i meri principi, e di estendere in modo espresso la clausola di salvaguardia delle funzioni dell’Autorità a tutte le disposizioni del disegno di legge che presentino implicazioni in materia di protezione dei dati.

Minori, consenso e verifica dell’età

Con riguardo all’art. 4, comma 4, il Garante ritiene che il riferimento alla soglia dei quattordici anni debba essere sostituito con un rinvio mobile all’art. 2-quinquies del Codice, in modo da mantenere l’allineamento automatico con l’eventuale evoluzione della disciplina nazionale. Il comma dovrebbe inoltre essere integrato con la previsione di misure idonee a garantire un’effettiva verifica dell’età del minore, evitando aggiramenti della soglia di consenso, anche mediante richiamo alle misure già previste dall’art. 13-bis, comma 3, del d.l. 123/2023.

Settore sanitario: dati particolari, AI Act e uso secondario

Nel settore sanitario il Garante considera l’art. 7 condivisibile nei suoi obiettivi, ma insufficiente sotto il profilo delle garanzie per i dati personali. Chiede che venga richiamato l’art. 10 dell’AI Act, applicabile ai sistemi ad alto rischio, con specifico riguardo al trattamento di dati particolari ex art. 9 GDPR. Tra le garanzie da valorizzare indica la preferenza per dati sintetici o anonimi, limiti stringenti all’uso dei dati sanitari, il divieto di trasmissione, trasferimento o comunicazione dei dati e la limitazione della conservazione. La disposizione va inoltre coordinata con il Regolamento sullo Spazio europeo dei dati sanitari.

Quanto all’art. 8, dedicato ai trattamenti per la ricerca e sperimentazione scientifica nella realizzazione di sistemi di IA in ambito sanitario, il Garante ritiene necessario un intervento più articolato. La norma deve essere resa conforme ai requisiti di determinatezza degli artt. 6, par. 3, lett. b), e 9, par. 2, lett. g), GDPR e dell’art. 2-sexies del Codice. L’uso secondario dei dati deve essere assistito dalle garanzie dell’art. 89 GDPR per i trattamenti a fini di ricerca. È inoltre opportuno sostituire la formula relativa ai dati "privi di elementi identificativi diretti" con il concetto di dati pseudonimizzati, eliminare la possibilità di adempiere l’informativa mediante mera pubblicazione sul sito web del titolare e chiarire che il decorso dei trenta giorni dalla comunicazione al Garante non consuma i poteri di controllo e, se del caso, sanzionatori dell’Autorità.

Piattaforma AGENAS e trattamento dei dati in sanità

L’art. 9, che disciplina l’IA per finalità di diagnosi, cura, riabilitazione, prevenzione e ricerca in campo medico, biomedico ed epidemiologico, richiede secondo il Garante ulteriori garanzie. Vanno richiamati i requisiti dell’art. 10 dell’AI Act, deve essere previsto il parere del Garante sui decreti attuativi dell’art. 12-bis del d.l. 179/2012 e la definizione integrativa degli elementi del trattamento affidata a una fonte regolamentare o, in subordine, a un decreto ministeriale anche non regolamentare. Il Garante manifesta anche perplessità sulla scelta di attribuire la titolarità dei trattamenti della piattaforma ad AGENAS anziché al Dicastero competente, che appare invece il soggetto cui il trattamento è complessivamente imputabile.

Lavoro, professioni e fase preassuntiva

Per il settore lavoristico il Garante ritiene che l’art. 10 debba essere rafforzato con il richiamo agli artt. 22, par. 3, e 88 GDPR e agli artt. 113 e 114 del Codice, al fine di presidiare i trattamenti di dati personali funzionali ai sistemi di IA. Precisa che il rinvio all’art. 1-bis del d.lgs. 152/1997 non è esaustivo, poiché si riferisce ai soli trattamenti interamente automatizzati. Inoltre osserva che la disciplina non può limitarsi alla fase successiva all’instaurazione del rapporto, ma deve estendersi anche alla fase preassuntiva, in cui l’IA è spesso impiegata per la selezione del personale.

Strategia nazionale, Autorità competenti e governance

L’art. 17, che attribuisce la predisposizione e l’aggiornamento della Strategia nazionale per l’IA alla struttura della Presidenza del Consiglio competente per innovazione tecnologica e transizione digitale, dovrebbe essere integrato con la previsione del parere del Garante, così da assicurare la coerenza della Strategia con la disciplina privacy. L’art. 18, relativo alle Autorità nazionali per l’IA individuate in AgID e ACN, va perfezionato chiarendo il ruolo del Garante quale autorità indipendente competente in materia di protezione dei dati personali. Il Garante chiede anche di essere inserito nel Comitato di coordinamento e di prevedere un flusso strutturato di trasmissione reciproca di atti e informazioni tra AgID, ACN e Autorità, quando emergano profili rilevanti in materia di protezione dei dati.

Delega per l’adeguamento all’AI Act e ruolo del Garante

Sul versante dell’art. 22, che conferisce al Governo la delega per l’adeguamento dell’ordinamento interno all’AI Act, il Garante ritiene necessari criteri direttivi più specifici. In particolare, va disciplinata l’eventuale autorizzazione dei sistemi di identificazione biometrica remota in tempo reale per finalità di polizia, individuando l’autorità competente a rilasciarla ai sensi dell’art. 5, par. 3, dell’AI Act. Il Garante suggerisce inoltre di designarlo quale autorità competente, ai sensi dell’art. 74, par. 8, AI Act, per i sistemi di IA ad alto rischio impiegati in attività di contrasto, gestione delle frontiere, giustizia e democrazia, nonché di prevedere il suo adeguato coinvolgimento negli spazi di sperimentazione normativa previsti dall’AI Act.

Il Garante osserva infine che dovrebbe essere considerato tra le autorità competenti alla tutela dei diritti fondamentali ai sensi dell’art. 77 dell’AI Act, in ragione della sua competenza primaria sulla protezione dei dati personali, diritto fondamentale di cui all’art. 8 della Carta dei diritti fondamentali dell’Unione europea.

Conclusione

Il parere si chiude dunque con un assenso condizionato: il Garante approva l’impianto complessivo del disegno di legge, ma richiede numerose integrazioni per assicurare un corretto bilanciamento tra sviluppo dell’intelligenza artificiale, tutela dei diritti fondamentali e protezione dei dati personali, nonché per definire con maggiore precisione il ruolo dell’Autorità nel futuro assetto regolatorio e applicativo.