Il parere Garante Privacy AI Act interviene sullo schema di decreto legislativo destinato ad adeguare l’ordinamento italiano alle disposizioni del Regolamento (UE) 2024/1689, con particolare riferimento ai poteri delle autorità nazionali e all’utilizzo dell’intelligenza artificiale nella formazione, nel lavoro, nella sanità e nella Pubblica Amministrazione.
Con il provvedimento n. 532 del 14 luglio 2026, il Garante per la protezione dei dati personali ha espresso una valutazione complessivamente favorevole sul testo, trasmesso alle Camere come Atto del Governo n. 421.
Il parere favorevole è tuttavia accompagnato da quattro condizioni e da un’osservazione, finalizzate a rafforzare il coordinamento tra la disciplina dell’intelligenza artificiale e quella sulla protezione dei dati personali.
Le autorità nazionali previste dal decreto sull’AI Act
Lo schema di decreto legislativo si compone di 51 articoli, suddivisi in cinque Capi, e definisce la struttura nazionale di attuazione e vigilanza dell’AI Act.
L’AgID viene individuata come Autorità nazionale di notifica, competente per le procedure di valutazione, designazione e controllo degli organismi incaricati della valutazione di conformità.
L’Agenzia per la cybersicurezza nazionale – ACN assume invece il ruolo generale di autorità di vigilanza del mercato sui sistemi di intelligenza artificiale.
Per i sistemi utilizzati nel settore finanziario sono inoltre previste specifiche competenze della Banca d’Italia, della Consob e dell’IVASS, mentre il Garante Privacy esercita le attribuzioni riconosciute dall’articolo 74, paragrafo 8, del Regolamento europeo sull’intelligenza artificiale.
Il decreto disciplina anche le forme di collaborazione e di scambio informativo tra le diverse autorità, prevedendo accordi, protocolli d’intesa e meccanismi di risposta rapida in caso di incidenti gravi.
Parere Garante Privacy AI Act: il potere di adottare linee guida
La prima condizione formulata dal Garante riguarda l’articolo 11 dello schema di decreto.
La disposizione consente alle autorità nazionali per l’intelligenza artificiale e alle autorità finanziarie di adottare linee guida, raccomandazioni e buone pratiche, allo scopo di assicurare un’applicazione uniforme della normativa.
Secondo il Garante, lo stesso potere deve essere espressamente riconosciuto anche all’Autorità per la protezione dei dati personali, almeno negli ambiti nei quali questa esercita le funzioni di vigilanza previste dall’AI Act.
L’integrazione appare necessaria per garantire che le indicazioni applicative sui sistemi di intelligenza artificiale tengano conto, fin dalla fase di progettazione e utilizzo, dei principi del GDPR, della minimizzazione dei dati, della trasparenza e della tutela dei diritti degli interessati.
Il procedimento sanzionatorio del Garante
La seconda condizione riguarda il sistema sanzionatorio delineato dagli articoli da 19 a 25 dello schema di decreto.
Il Garante chiede che, per le sanzioni rientranti nella propria competenza, venga inserito un esplicito rinvio all’articolo 166 del Codice Privacy, che disciplina il procedimento per l’adozione dei provvedimenti correttivi e sanzionatori dell’Autorità.
Il richiamo dovrebbe comprendere anche le disposizioni relative alla destinazione dei proventi derivanti dalla riscossione delle sanzioni.
L’obiettivo è evitare sovrapposizioni o incertezze procedurali, mantenendo coerente il sistema sanzionatorio dell’AI Act con le regole già applicate dal Garante nell’esercizio delle proprie funzioni.
La responsabilità per la valutazione di conformità
La terza condizione riguarda il ruolo attribuito al Garante nella valutazione della conformità di determinati sistemi di intelligenza artificiale.
Alla luce delle competenze riconosciute dall’articolo 74, paragrafo 8, dell’AI Act, il Garante assume anche la qualità di organismo notificato negli ambiti previsti dall’articolo 43 del Regolamento europeo.
Il parere richiede quindi di precisare quale delle opzioni previste dall’articolo 31, paragrafo 9, dell’AI Act intenda adottare lo Stato italiano e, in particolare, se lo Stato debba considerarsi direttamente responsabile della valutazione di conformità effettuata dal Garante.
Si tratta di un chiarimento rilevante per definire con precisione responsabilità, poteri e conseguenze delle attività di valutazione svolte dalle autorità nazionali.
Il Garante deve partecipare allo Spazio di sperimentazione italiano per l’IA
Lo schema di decreto istituisce uno Spazio di sperimentazione italiano per l’intelligenza artificiale, gestito congiuntamente da AgID e ACN.
La struttura dovrebbe offrire ai fornitori di sistemi di IA un ambiente controllato nel quale sviluppare, addestrare, testare e validare le proprie soluzioni prima dell’immissione sul mercato.
Il testo esaminato, tuttavia, non prevede espressamente la partecipazione del Garante ai progetti che comportano il trattamento di dati personali.
Secondo l’Autorità, questa omissione non è coerente con l’articolo 57, paragrafo 10, dell’AI Act, che richiede il coinvolgimento delle autorità competenti per la protezione dei dati quando le attività svolte nelle sandbox regolamentari comprendono trattamenti di dati personali.
La quarta condizione chiede pertanto di integrare l’articolo 26, assicurando la partecipazione del Garante nelle sperimentazioni che presentino profili rilevanti ai fini della privacy.
Intelligenza artificiale e decisioni nel rapporto di lavoro
Uno dei passaggi più significativi del parere Garante Privacy AI Act riguarda l’utilizzo di sistemi automatizzati nei rapporti di lavoro.
L’articolo 40 dello schema stabilisce che le decisioni relative alla costituzione, alla modifica o alla cessazione del rapporto di lavoro non possano essere assunte esclusivamente sulla base di un trattamento automatizzato.
La decisione finale deve essere adottata da una persona fisica dotata di un potere effettivo e autonomo, mentre il lavoratore deve poter ricevere una motivazione intelligibile, conoscere l’incidenza del sistema di IA e comprendere i parametri utilizzati.
L’impiego dell’intelligenza artificiale deve inoltre rispettare la dignità e la riservatezza del lavoratore, nonché il principio di non discriminazione.
Il Garante propone di estendere queste garanzie anche alle decisioni di carattere valutativo suscettibili di produrre effetti significativi sul rapporto di lavoro.
La richiesta potrebbe interessare, ad esempio, i sistemi utilizzati per valutare le prestazioni, attribuire punteggi, determinare avanzamenti di carriera, assegnare mansioni o incidere sulle condizioni economiche e professionali del dipendente.
Il punto centrale è evitare che il coinvolgimento umano si trasformi in una mera ratifica formale dell’esito prodotto dall’algoritmo. La persona chiamata ad assumere la decisione deve poter esaminare criticamente il risultato, modificarlo e discostarsene.
Formazione, alfabetizzazione digitale e tutela dei dati
Una parte rilevante del decreto è dedicata anche alla formazione sull’intelligenza artificiale.
Il testo prevede interventi destinati a docenti e studenti, finalizzati a sviluppare competenze digitali avanzate, capacità di valutazione critica delle informazioni, attenzione alla sicurezza, tutela della privacy e protezione dell’identità digitale.
Gli interventi formativi dovranno promuovere la comprensione dei sistemi algoritmici e un utilizzo etico, responsabile e trasparente dell’IA, nel rispetto dei diritti fondamentali, dell’equità e della non discriminazione.
La formazione emerge quindi non soltanto come misura di aggiornamento tecnico, ma come componente essenziale della governance dell’intelligenza artificiale.
Saper utilizzare uno strumento non coincide, infatti, con la capacità di comprenderne i rischi, verificarne i risultati, riconoscere eventuali distorsioni e assumere decisioni realmente consapevoli.
Le conseguenze per imprese e amministrazioni
Il parere conferma che l’attuazione dell’AI Act non può essere affrontata separatamente dalla disciplina sulla protezione dei dati personali.
Le organizzazioni che utilizzano sistemi di intelligenza artificiale dovranno integrare le rispettive attività di compliance, coordinando competenze legali, tecnologiche, organizzative, di cybersecurity, risk management e protezione dei dati.
Particolare attenzione dovrà essere riservata alla definizione delle responsabilità, alla qualità e provenienza dei dati, alla trasparenza dei sistemi, alla supervisione umana e alla documentazione delle decisioni.
Nel contesto lavorativo sarà inoltre necessario verificare che il responsabile della decisione disponga di informazioni e poteri sufficienti per contestare o modificare il risultato prodotto dal sistema.
Un’architettura di governance ancora da consolidare
Il parere Garante Privacy AI Act non mette in discussione l’impostazione generale dello schema di decreto, ritenuto complessivamente coerente con il Regolamento europeo e con la legge delega n. 132 del 2025.
Le condizioni formulate evidenziano, tuttavia, la necessità di consolidare il ruolo del Garante nell’architettura nazionale di vigilanza sull’intelligenza artificiale.
Il coordinamento tra AI Act e GDPR dovrà essere sostanziale e non soltanto formale. La protezione dei dati, la trasparenza algoritmica, la supervisione umana e la tutela contro le decisioni interamente automatizzate rappresentano infatti elementi centrali per un utilizzo dell’intelligenza artificiale realmente affidabile e rispettoso dei diritti fondamentali.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Alessandro
Source link
