Il Garante per la protezione dei dati personali ha messo nero su bianco due pareri che riguardano da vicino l’attuazione italiana dell’AI Act, il regolamento europeo che disciplina l’intelligenza artificiale. Si tratta di osservazioni su altrettanti decreti legislativi, ciascuno con un ambito ben preciso. Il primo definisce la competenza dell’autorità sui sistemi AI considerati ad alto rischio e introduce regole per l’uso dell’intelligenza artificiale nella formazione. Il secondo si concentra su un terreno più scivoloso, ovvero l’impiego di questi sistemi da parte delle forze di polizia. Il tema non è banale, perché tocca diritti fondamentali e ambiti dove la tecnologia rischia di correre più veloce delle regole. Il Garante, in sostanza, chiede maggiore chiarezza su alcuni punti e invita i legislatori a rafforzare le tutele previste per le persone. Vale la pena guardare da vicino cosa dice.
Cosa cambia per formazione e sistemi ad alto rischio
Sul primo decreto legislativo, l’autorità ha indicato una serie di condizioni e osservazioni pensate per irrobustire la protezione dei dati personali. In particolare, chiede che le venga riconosciuto il potere di adottare linee guida, raccomandazioni e buone pratiche nel proprio ambito di riferimento, così come già avviene per altre autorità. Un tassello che, sulla carta, servirebbe a rendere più solido il quadro delle regole.
C’è poi la questione delle sanzioni. Il Garante invita i legislatori a chiarire meglio come vadano applicate in base alla legge sulla privacy, evitando zone grigie. E chiede che venga precisato il proprio ruolo nelle procedure di valutazione della conformità dei sistemi AI ad alto rischio, per i quali l’AI Act gli attribuisce funzioni specifiche di vigilanza. Un passaggio interessante riguarda il mondo del lavoro. L’autorità propone di estendere il divieto di decisioni prese esclusivamente da sistemi automatici anche alle valutazioni capaci di incidere in modo significativo sul rapporto di lavoro. Parliamo di giudizi sulle prestazioni, attribuzione di premi, progressioni di carriera. In pratica, decisioni che pesano sulla vita delle persone non dovrebbero mai essere lasciate solo a un algoritmo.
Riconoscimento biometrico e attività di polizia, il nodo più delicato
Il secondo decreto legislativo è quello che solleva le questioni più spinose, perché prevede l’uso dei sistemi AI per l’identificazione biometrica in tempo reale da parte delle forze di polizia. Qui il Garante è chiaro. Il trattamento automatizzato e generalizzato dei dati biometrici delle persone che entrano in luoghi o eventi pubblici non risulta coerente con quanto stabilito dall’AI Act.
Il regolamento europeo, infatti, consente il riconoscimento facciale a posteriori solo per ricerche mirate. L’elaborazione dei dati biometrici, quindi, dovrebbe avvenire esclusivamente sulle registrazioni già acquisite e in presenza di una specifica esigenza operativa. Niente raccolte massive e preventive, insomma, ma un uso circoscritto e giustificato caso per caso.
C’è un ultimo aspetto che l’autorità mette in evidenza. I legislatori dovrebbero aggiungere il divieto di utilizzare banche dati ottenute tramite tecniche di scraping non mirato oppure in violazione delle norme sulla protezione dei dati personali. Un punto che tocca da vicino le modalità con cui vengono alimentati questi sistemi. Entrambi i decreti legislativi sono stati sottoposti al parere delle commissioni parlamentari, un parere che però non ha carattere vincolante.