Il 12 luglio 2024 è stato pubblicato nella Gazzetta Ufficiale dell’Unione Europea l’AI Act, il Regolamento sull’intelligenza artificiale (Regolamento UE 2024/1689 del Parlamento europeo e del Consiglio). Considerando l’impatto dell’intelligenza artificiale sui dati personali è essenziale approfondire il rapporto tra AI Act e privacy, ossia come si armonizza il Regolamento sull’intelligenza artificiale con il Regolamento Generale sui Dati Personali (GDPR).
Già precedentemente alla sua entrata in vigore, il primo atto normativo sull’intelligenza artificiale a livello mondiale è stato di ispirazione per il disegno di legge sull’intelligenza artificiale approvato dal Consiglio dei Ministri italiano il 23 aprile 2024. Il DDL è stato concepito con l’idea di dare regole per l’utilizzo corretto dell’IA.
Un aspetto particolarmente delicato dei sistemi di intelligenza artificiale riguarda l’uso dei dati: i sistemi di AI nascono privi di informazioni e si nutrono dei dati messi a disposizione dal produttore per fornire risposte testuali o grafiche corrette. I cosiddetti “training data” comprendono varie tipologie di informazioni, tra cui le immagini e i testi scritti. E non è detto che tra questi non ci siano i dati identificativi o biometrici, ossia i dati personali riguardanti aspetti fisici delle persone o dati che ne permettano l’identificazione. I sistemi di AI, infatti, hanno bisogno di una grandissima quantità di dati per fornire risposte complesse e sostanzialmente corrette, dati che non vengono rivelati dai produttori.
Ed è questo il motivo che ha spinto il legislatore a ribadire quanto sia importante rispettare i diritti fondamentali dell’individuo nell’utilizzo dell’intelligenza artificiale. In particolare, il diritto alla protezione dei dati personali, così come regolato dal GDPR.
Cosa cambia per gli ecommerce e i siti web con l’entrata in vigore dell’AI Act nel trattamento dei dati personali?
Indice
AI Act: cosa dice sulla privacy?
In vigore da fine luglio 2024 – a venti giorni dalla pubblicazione in Gazzetta – l’AI Act rappresenta il primo quadro normativo mondiale sull’utilizzo dell’intelligenza artificiale. Nasce con lo scopo di garantire il rispetto dei diritti fondamentali dell’individuo nell’utilizzo dell’intelligenza artificiale, soffermandosi su alcuni punti in particolare:
- limitazioni nell’uso dei sistemi di identificazione biometrica;
- divieto di utilizzo di sistemi di credito sociale o sistemi per manipolare o sfruttare la vulnerabilità degli utenti;
- diritto di presentare reclami o richiedere spiegazioni sul funzionamento dei diversi sistemi.
Per quanto riguarda la privacy, l’AI Act fa espressamente riferimento al GDPR. Il considerando 10, infatti, recita:
Il diritto fondamentale alla protezione dei dati personali è garantito in particolare dai regolamenti (UE) 2016/67911 e (UE) 2018/172512 del Parlamento europeo e del Consiglio e dalla direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio. La direttiva 2002/58/CE del Parlamento europeo e del Consiglio tutela inoltre la vita privata e la riservatezza delle comunicazioni, in particolare stabilendo le condizioni per l’archiviazione di dati personali e non personali e l’accesso ai dati in apparecchi terminali. Tali atti giuridici dell’Unione costituiscono la base per un trattamento sostenibile e responsabile dei dati, anche nei casi in cui gli insiemi di dati comprendono una combinazione di dati personali e non personali”.
Dunque, il Regolamento sull’IA non vuole assolutamente andare in contrasto con la precedente normativa sulla protezione dei dati personali. Al contrario, viene ribadito che l’AI Act “non mira a pregiudicare l’applicazione del vigente diritto dell’Unione che disciplina il trattamento dei dati personali, inclusi i compiti e i poteri delle autorità di controllo indipendenti competenti a monitorare la conformità con tali strumenti”.
A chi si applica il regolamento sull’Intelligenza Artificiale? Ambiti di applicazione dell’AI Act
Il nuovo regolamento sull’AI si applica ai paesi membri dell’Unione europea, ai fornitori di sistemi di intelligenza artificiale che immettono questi sistemi all’interno dei paesi UE, agli operatori che utilizzano i sistemi AI all’interno dell’Unione, agli importatori, ai distributori, ai rappresentanti e ai produttori di sistemi di intelligenza artificiale.
Al contrario, l’AI Act non si applica ai sistemi di intelligenza artificiale al di fuori dell’ambito del diritto UE, ai sistemi di AI utilizzati per scopi militari, di sicurezza nazionale o di difesa, agli utilizzatori che ne fanno un uso non professionale nonché ai sistemi AI destinati a ricerca e innovazione.
Privacy: AI act e GDPR
Oltre al riferimento diretto al GDPR, il Regolamento sull’intelligenza artificiale si sofferma direttamente anche su alcuni aspetti fondamentali relativi alla privacy: il trattamento automatizzato dei dati; il consenso; la valutazione d’impatto sui diritti fondamentali (FRIA). Questo per assicurare che i sistemi di intelligenza artificiale siano affidabili, allineati al GDPR e fondati su principi etici, così come raccomandato dall’OCSE e dagli esperti di HLEG, il gruppo di studiosi sull’intelligenza artificiale.
Nella creazione dell’AI Act, il legislatore ha adottato un approccio “risk-based”, ovvero vanno valutati i possibili rischi dovuti all’utilizzo dei dati da parte dell’intelligenza artificiale per stabilire che misure prendere.
Nello specifico, il Regolamento distingue quattro categorie di rischio, ossia:
- sistemi a rischio minimo: si tratta dei sistemi considerati sicuri per gli utenti;
- sistemi a basso rischio: riguarda la maggior parte dei sistemi AI, per i quali vengono indicati obblighi di trasparenza;
- sistemi ad alto rischio: si tratta di quei sistemi che si basano su infrastrutture critiche, sistemi di identificazione biometrica, categorizzazione e riconoscimento delle emozioni, dispositivi medici. Per questi sono previsti requisiti e obblighi ben precisi per l’utilizzo a livello europeo, oltre a una valutazione d’impatto per valutare trasparenza e adeguati livelli di accuratezza, cybersicurezza e robustezza;
- sistemi a rischio inaccettabile: sono considerati inaccettabili, e quindi vietati, quei sistemi che mettono a rischio i diritti fondamentali, come ad esempio la categorizzazione biometrica per elaborare dati sensibili, quali fede o orientamento sessuale.
Sebbene, in linea generale, la Commissione Europea non consideri rischiosi i sistemi di IA, ritiene comunque opportuno evitare che possano emergere problematiche. La classificazione dei rischi, dunque, ha lo scopo di stabilire i limiti per sviluppatori e utilizzatori, relativi proprio alla manipolazione degli utenti, allo sfruttamento dei gruppi vulnerabili, all’identificazione biometrica, al social scoring, ai sistemi di riconoscimento delle emozioni.
Trattamento automatizzato dei dati e profilazione
Nel trattamento automatizzato dei dati, l’AI Act segue i principi stabiliti dal GDPR: “L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona”.
Ciò vuol dire l’interessato ha il diritto di richiedere l’intervento umano nel caso in cui il trattamento possa avere effetti giuridici che lo riguardano. Ossia, alla persona interessata dal trattamento va riconosciuta la possibilità che i suoi dati non siano trattati esclusivamente da sistemi di intelligenza artificiale.
Ad esempio, si può richiedere l’intervento umano per richiedere un prestito, accedere a un mutuo oppure avere un consulto medico.
Consenso
Un altro aspetto fondamentale del GDPR applicato ai sistemi di intelligenza artificiale è il consenso, inteso come manifestazione di volontà esplicita, attiva e informata sulle finalità, le modalità e le tempistiche del trattamento.
L’articolo 22, infatti, chiarisce che il trattamento automatizzato dei dati può avvenire con il consenso granulare dell’interessato. Ossia, sono le persone a decidere se consentire l’uso dei propri dati personali per l’addestramento dei sistemi di AI.
Il trattamento automatizzato dei dati è permesso anche per la conclusione di un contratto o nei casi in cui sia previsto dalla normativa nazionale o europea.
Nel rapporto privacy AI Act, ciò che mina il requisito del consenso informato è che, nella fase di data training, il consenso non è quasi pienamente informato. Ciò vuol dire che il consenso potrebbe non essere valido, con conseguenze pesanti sulle aziende che fanno ricorso ai sistemi di AI.
Valutazione d’impatto sui diritti fondamentali (FRIA)
Nell’AI Act, la privacy vuole essere tutelata anche dalla FRIA, la valutazione d’impatto sui diritti fondamentali. Quest’ultima è obbligatoria per i sistemi considerati ad alto rischio e deve essere eseguita prima dell’immissione in commercio del software. I requisiti di conformità sono:
- trasparenza;
- sicurezza;
- affidabilità.
Inoltre, è necessario che i sistemi di intelligenza artificiale garantiscano il rispetto dei diritti fondamentali degli individui, compreso il diritto alla tutela dei dati personali.
La FRIA, nonostante l’ambito di applicazione più ampio, presenta degli aspetti in comune con la DPIA (la valutazione di impatto della protezione dei dati), richiesta dal GDPR per valutare la necessità e la proporzionalità del trattamento dei dati personali e degli eventuali rischi che potrebbe comportare.
Attuazione dell’AI Act: le scadenze da rispettare
Quali sono i tempi di attuazione dell’AI Act?
Ecco le principali scadenze da rispettare per chi lavora con i sistemi di intelligenza artificiale:
- la legge entra in vigore a 20 giorni dalla sua pubblicazione in Gazzetta (12 luglio 2024);
- dopo 6 mesi dalla sua entrata in vigore, gennaio 2025: divieto di utilizzo dei sistemi AI classificati come a rischio inaccettabile. Tuttavia, agli Stati viene riconosciuto il diritto di applicare l’AI per la classificazione biometrica negli spazi aperti e pubblici;
- a 9 mesi dall’entrata in vigore, marzo 2025: obbligo di applicare i codici di condotta. Le aziende e le associazioni si impegnano a rispettare i principi etici nell’utilizzo dell’AI. Gli obiettivi verranno stabiliti a priori e verranno misurati tramite KPI adeguati;
- dopo 12 mesi, agosto 2025: scatta l’obbligo di applicazione delle regole di governance per i modelli di AI generale ad alto impatto, oltre ad altri obblighi per le AI. In particolare, i contenuti generati dalle macchine dovranno essere riconoscibili;
- a 24 mesi dall’entrata in vigore: parte l’applicazione del Regolamento sull’AI per i sistemi di AI ad alto rischio, ossia sistemi di identificazione e categorizzazione biometrica o per il riconoscimento delle emozioni; applicativi di sicurezza di infrastrutture critiche; software educativi o di formazione; algoritmi usati sul lavoro; sistemi utilizzati dalla pubblica amministrazione o da enti privati per distribuire sussidi, algoritmi usati dalle forze dell’ordine, dalla giustizia e dalle autorità di frontiera per valutare rischi e scoprire flussi di immigrazione illegale. Per questi sistemi sono previste regole ferree e rigidi sistemi di controllo;
- a 36 mesi: l’AI Act va applicato a tutti i sistemi di intelligenza artificiale.
Ma cosa prevede la legge per chi non si adegua all’AI Act?
Le sanzioni previste dall’AI Act
Efficacia, proporzionalità e capacità dissuasiva sono le parole d’ordine che i singoli Stati membri dovranno seguire nel fissare multe specifiche contro gli usi proibiti delle AI generative. Inoltre, ai legislatori nazionali spetta l’impegno di valutare che il sistema sanzionatorio sia in linea con gli interessi e la redditività economica delle piccole e medie imprese e delle startup.
Le sanzioni previste per le violazioni all’AI Act possono raggiungere i 35 milioni di euro o il 7% del fatturato globale annuo dell’anno precedente per gli usi non consentiti dalla legge e la messa in atto delle pratiche vietate.
Per i sistemi ad alto rischio, le sanzioni arrivano a 15 milioni di euro o al 3% del fatturato globale annuo.
Fornire informazioni scorrette sull’uso delle AI può costare all’azienda fino a 7,5 milioni di euro o l’1% dell’esercizio precedente nel caso in cui il fatturato sia superiore.
Multe che si riducono per le violazioni commesse da startup e piccole e medie imprese.
Il sistema sanzionatorio dovrebbe essere attuato ad un anno dall’entrata in vigore dell’AI Act, cosicché i fornitori possano adeguarsi alle nuove regole sull’intelligenza artificiale.
A tal proposito potresti anche leggere il nostro articolo sulle sanzioni GDPR.
Come gestire la privacy nell’utilizzo dell’intelligenza artificiale
Con l’entrata in vigore dell’AI Act è necessario che ogni azienda valuti l’impatto dell’intelligenza artificiale sugli aspetti relativi alla privacy.
L’uso dei sistemi di intelligenza artificiale mette potenzialmente a rischio la compliance del tuo sito internet o dell’ecommerce, soprattutto perché, nella fase di training, tali sistemi possono utilizzare dati personali senza che il requisito del consenso informato sia rispettato appieno.
Banalmente, se utilizzi strumenti per la creazione di contenuti come Chat GPT o Bard, dovresti conformare la tua attività all’AI Act nei prossimi mesi per evitare multe salate.
Per sfruttare le potenzialità dell’intelligenza artificiale e avere un’attività a norma, contatta gli avvocati di Ecommerce Legale. Ti guideremo in questo periodo di transizione e ti aiuteremo ad affrontare il cambiamento in modo competitivo.
Prenota subito il tuo check-up legale e valuteremo fin da ora lo stato di salute del tuo business.
Floriana Capone
L’Avvocato dell’Ecommerce
