Due pareri favorevoli, ma con richieste di rafforzamento delle tutele. Il Garante per la protezione dei dati personali ha dato il via libera allo schema di decreto legislativo di attuazione dell'AI Act, formulando osservazioni sia sulle disposizioni che disciplinano il sistema nazionale di governance dell'intelligenza artificiale sia su quelle relative all’utilizzo dei sistemi di IA da parte delle Forze di polizia, con particolare attenzione alle garanzie per il trattamento dei dati biometrici.
Ai Act, via libera ma maggiori garanzie - Il decreto legislativo definisce il sistema nazionale di governance e vigilanza sull’intelligenza artificiale e designa il Garante quale Autorità di vigilanza del mercato per i sistemi di intelligenza artificiale ad alto rischio impiegati nei settori più sensibili per i diritti fondamentali, quali giustizia, attività di contrasto, immigrazione, gestione delle frontiere e processi democratici. Il provvedimento, inoltre, introduce regole per i settori finanziario e assicurativo e promuove percorsi di alfabetizzazione digitale e formazione sull’uso consapevole dell’IA nelle scuole, nelle università e nei percorsi professionali.
Nel dare il via libera, l’Autorità ha tuttavia indicato ulteriori condizioni e osservazioni per rafforzare la tutela dei diritti delle persone. Tra le principali richieste, il Garante propone che gli sia riconosciuto il potere di adottare linee guida, raccomandazioni e buone pratiche al pari delle altre Autorità competenti per l’IA; che siano chiarite le regole per l’applicazione delle sanzioni di sua competenza, secondo quanto previsto dal Codice privacy; e che sia coinvolto nelle attività dello Spazio di sperimentazione italiano per l’intelligenza artificiale.
Il Garante chiede che venga inoltre chiarito il proprio ruolo nell’ambito delle procedure di valutazione della conformità dei sistemi di IA ad alto rischio, per i quali l’AI Act gli attribuisce specifiche funzioni di vigilanza, e propone di estendere il divieto di decisioni basate esclusivamente su sistemi automatizzati di IA anche alle valutazioni che possono incidere in modo significativo sul rapporto di lavoro, come quelle relative alle prestazioni, all’attribuzione di premi o alle progressioni di carriera.
Rafforzare le tutele per i dati biometrici - Il Garante Privacy è intervenuto anche sulle disposizioni dedicate all'impiego dell'intelligenza artificiale da parte delle Forze di polizia, sollecitando un rafforzamento delle tutele per il trattamento dei dati biometrici e il divieto di utilizzare banche dati ottenute mediante scraping indiscriminato. https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10275606
In particolare, chiede di chiarire il ruolo della supervisione umana nei sistemi di IA, di definire con maggiore precisione le responsabilità nei progetti di ricerca e sperimentazione, di coinvolgere il Garante negli spazi di sperimentazione normativa che comportino trattamenti di dati personali e di rafforzare le garanzie relative alla qualità delle banche dati biometriche utilizzate per l’identificazione.
Il trattamento automatizzato e generalizzato dei dati biometrici delle persone che accedono a luoghi o eventi pubblici non è, secondo il Garante, coerente con l’AI Act, che consente il riconoscimento facciale ex post solo per ricerche mirate. L’elaborazione dei dati biometrici dovrebbe quindi avvenire esclusivamente sulle registrazioni già acquisite e in presenza di una specifica esigenza operativa, evitando raccolte massive e preventive.
Il Garante chiede che anche le disposizioni relative all’identificazione biometrica disciplinate dal nuovo articolo 359-ter del codice di procedura penale prevedano l’espresso divieto di utilizzare banche dati ottenute mediante tecniche di scraping indiscriminato o in violazione della normativa sulla protezione dei dati personali.
In ultimo, l’Autorità richiama in linea generale l’esigenza di adeguare le proprie risorse finanziarie alle nuove competenze attribuitele anche dalla normativa europea, affinché possa svolgere con efficacia le funzioni di vigilanza previste dall’AI Act e attuate dallo schema di decreto.