Dal Garante privacy ok alla legge italiana sull’intelligenza artificiale, ma con importanti punti di attenzione per la tutela dei diritti.
Indice degli argomenti
Il parere del Garante Privacy sulla legge italiana sulla IA
Il Garante Privacy con il provvedimento n. 477 del 2 agosto 2024 ha fornito il proprio parere favorevole sullo schema di disegno di legge governativo sull’IA, recante anche delega legislativa per l’adeguamento al Regolamento Ue sull’Intelligenza Artificiale (n. 2024/1689 – AI Act).
Come noto il disegno di legge disciplina la ricerca, sperimentazione, sviluppo, adozione e applicazione dei sistemi e modelli di Intelligenza Artificiale (IA) nei diversi settori della società (sanità, giustizia, lavoro e professioni, sicurezza e difesa nazionale, etc.).
Il parere del Garante esamina in modo critico e approfondito le disposizioni proposte, ponendo particolare attenzione agli aspetti inerenti alla protezione dei dati personali, che sono strettamente intrecciati con l’uso dell’IA.
Il Garante ha esaminato lo schema di legge, che si articola in sei Capi, focalizzandosi sulla necessità di assicurare che i sistemi di IA siano sviluppati e utilizzati in conformità con i principi fondamentali di protezione dei dati, nonché con le normative dell’Unione Europea, in particolare il Regolamento Generale sulla Protezione dei Dati (GDPR) e l’AI Act.
I punti di attenzione e le raccomandazioni del Garante privacy
Il Garante sottolinea la necessità di un coordinamento sistematico e coerente tra le nuove disposizioni legislative nazionali e le norme europee, per evitare sovrapposizioni e garantire che la protezione dei dati personali sia sempre una priorità. In particolare, il Garante raccomanda di integrare il DDL con specifici riferimenti alla conformità con il GDPR, proponendo l’introduzione di un articolo che espliciti il vincolo generale di conformità dei trattamenti di dati personali legati all’IA, in linea con quanto previsto dal GDPR e dalle altre norme nazionali e europee rilevanti.
Un’altra osservazione significativa riguarda la designazione del Garante stesso come autorità competente per specifici aspetti dell’IA, in particolare per i sistemi di identificazione biometrica remota “in tempo reale”, utilizzati per finalità di polizia in spazi pubblici. Il Garante ritiene che, data la sua esperienza consolidata nell’applicazione di norme che regolano processi decisionali algoritmici basati su dati personali, questa designazione sarebbe non solo coerente ma anche vantaggiosa per ridurre gli oneri amministrativi correlati e garantire un controllo efficace su tali sistemi.
Il parere esprime anche preoccupazioni riguardo alla protezione dei dati personali nell’ambito lavorativo e sanitario.
Ambito lavorativo
- Nel contesto lavorativo, il Garante ha evidenziato il potenziale rischio per i diritti dei lavoratori legato all’utilizzo di strumenti di IA, specialmente nella fase di selezione del personale. I sistemi di IA possono essere impiegati per automatizzare processi di reclutamento, come l’analisi dei curricula, la valutazione delle competenze, o persino la conduzione di colloqui tramite chatbot o video interviste. Tuttavia, l’uso di tali strumenti solleva questioni significative in merito alla trasparenza e alla non discriminazione. Il Garante teme che questi sistemi possano basarsi su algoritmi che riproducono o amplificano bias esistenti, portando a decisioni discriminatorie.
- Un’altra area di preoccupazione riguarda la fase preassuntiva, dove il trattamento dei dati personali deve essere conforme al principio di minimizzazione dei dati proprio del GDPR. Il Garante sottolinea la necessità di limitare la raccolta e l’elaborazione dei dati a ciò che è strettamente necessario per le finalità legittime del trattamento, evitando quindi un uso eccessivo o ingiustificato di dati personali, come le informazioni raccolte durante i colloqui o le valutazioni psicometriche.
- Il Garante raccomanda l’introduzione di tutele specifiche nel disegno di legge, che possano assicurare che le pratiche di selezione del personale tramite IA rispettino i diritti dei candidati, con particolare attenzione alla trasparenza delle modalità di funzionamento degli algoritmi, alla possibilità di contestare decisioni automatizzate e alla supervisione umana sui processi decisionali.
Ambito sanitario
- Nel settore sanitario, l’utilizzo di sistemi di IA coinvolge inevitabilmente dati personali di natura particolarmente sensibile, come i dati relativi alla salute. Il Garante evidenzia i rischi legati all’uso di IA per il trattamento di tali dati, sottolineando l’importanza di garantire che tali trattamenti siano effettuati con il massimo rispetto delle normative vigenti, in particolare quelle relative al GDPR, che impone stringenti requisiti per il trattamento di categorie particolari di dati personali.
- Il Garante raccomanda che, nel contesto sanitario, vengano adottate misure di protezione particolarmente rigorose. Questo include l’uso preferenziale di dati anonimizzati o pseudonimizzati quando possibile, per ridurre al minimo i rischi per la privacy degli individui. Inoltre, il Garante suggerisce l’utilizzo di dati sintetici, che possono essere generati artificialmente per simulare i dati reali senza esporre informazioni personali sensibili.
- Un altro aspetto di particolare attenzione riguarda la necessità di garantire la qualità e l’accuratezza dei dati utilizzati dai sistemi di IA in ambito sanitario, per evitare decisioni errate o potenzialmente dannose per i pazienti. Il Garante insiste anche sull’importanza di prevedere meccanismi di controllo e supervisione umana sui processi decisionali automatizzati, al fine di tutelare la sicurezza dei pazienti e garantire il rispetto dei loro diritti.
- Infine, il Garante richiede che venga chiarito e rafforzato il suo ruolo nel coordinamento delle autorità nazionali per l’IA, garantendo così una protezione integrata e coerente dei diritti fondamentali, con particolare riferimento alla protezione dei dati personali.
In conclusione, il Garante approva il disegno di legge, ma con diverse condizioni e raccomandazioni che mirano a garantire che la normativa italiana sull’IA sia pienamente conforme agli standard europei in materia di protezione dei dati personali e che il Garante stesso sia adeguatamente coinvolto nelle fasi di autorizzazione e controllo dei sistemi di IA .
Sarà da vedere se e come il legislatore ne terrà conto.
