Le pratiche di intelligenza artificiale (IA) vietate dal regolamento (AI Act)

 

1. Sistemi di intelligenza artificiale che utilizzano tecniche subliminali

È vietata l’immissione sul mercato, la messa in servizio o l’uso di un sistema di IA che utilizza tecniche subliminali che agiscono senza che una persona ne sia consapevole o tecniche volutamente manipolative o ingannevoli aventi lo scopo o l’effetto di distorcere materialmente il comportamento di una persona o di un gruppo di persone, pregiudicando in modo considerevole la loro capacità di prendere una decisione informata, inducendole pertanto a prendere una decisione che non avrebbero altrimenti preso, in un modo che provochi o possa ragionevolmente provocare a tale persona, a un’altra persona o a un gruppo di persone un danno significativo.

2. Sistemi di intelligenza artificiale che sfruttano la vulnerabilità di una persona fisica o di uno specifico gruppo di persone

È vietata l’immissione sul mercato, la messa in servizio o l’uso di un sistema di IA che sfrutta le vulnerabilità di una persona fisica o di uno specifico gruppo di persone, dovute all’età, alla disabilità o a una specifica situazione sociale o economica, con l’obiettivo o l’effetto di distorcere materialmente il comportamento di tale persona o di una persona che appartiene a tale gruppo in un modo che provochi o possa ragionevolmente provocare a tale persona o a un’altra persona un danno significativo.

3. Sistemi di intelligenza artificiale che valutano o classificano le persone fisiche o gruppi di persone (“social scoring”)

È vietata l’immissione sul mercato, la messa in servizio o l’uso di sistemi di IA per la valutazione o la classificazione delle persone fisiche o di gruppi di persone per un determinato periodo di tempo sulla base del loro comportamento sociale o di caratteristiche personali o della personalità note, inferite o previste, in cui il punteggio sociale così ottenuto comporti il verificarsi di uno o di entrambi gli scenari seguenti:

• un trattamento pregiudizievole o sfavorevole di determinate persone fisiche o di gruppi di persone in contesti sociali che non sono collegati ai contesti in cui i dati sono stati originariamente generati o raccolti;
• un trattamento pregiudizievole o sfavorevole di determinate persone fisiche o di gruppi di persone che sia ingiustificato o sproporzionato rispetto al loro comportamento sociale o alla sua gravità.

Se ti interessa sapere di più sul social scoring, leggi l’articolo “Social scoring: cos’è, come funziona e come utilizzarlo”.

4. Sistemi di intelligenza artificiale che valutano il rischio relativo a persone fisiche al fine di valutare o prevedere il rischio che una persona fisica commetta un reato unicamente sulla base della profilazione

È vietata l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di un sistema di IA per effettuare valutazioni del rischio relative a persone fisiche al fine di valutare o prevedere il rischio che una persona fisica commetta un reato, unicamente sulla base della profilazione di una persona fisica o della valutazione dei tratti e delle caratteristiche della personalità; tale divieto non si applica ai sistemi di IA utilizzati a sostegno della valutazione umana del coinvolgimento di una persona in un’attività criminosa, che si basa già su fatti oggettivi e verificabili direttamente connessi a un’attività criminosa.

5. Sistemi di intelligenza artificiale che creano o ampliano banche dati con lo scraping*

È vietata l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di IA che creano o ampliano le banche dati di riconoscimento facciale mediante scraping non mirato di immagini facciali da internet o da filmati di telecamere a circuito chiuso.

*Lo scraping o più precisamente web scraping è una tecnica utilizzata per estrarre dati dai siti web in modo automatico. Consiste nel raccogliere informazioni da pagine web e organizzarle in un formato strutturato, come un file CSV, un database, o un foglio di calcolo, in modo da renderle più facilmente analizzabili e utilizzabili per vari scopi.

6. Sistemi di intelligenza artificiale che inferiscono emozioni di una persona sul luogo di lavoro

È vietata l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di IA per inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro e degli istituti di istruzione, tranne laddove l’uso del sistema di IA sia destinato a essere messo in funzione o immesso sul mercato per motivi medici o di sicurezza.

7. Sistemi di intelligenza artificiale che classificano in base ai dati biometrici

 

8. Sistemi di intelligenza artificiale per l’identificazione biometrica* remota in tempo reale in spazi pubblici a fini di attività di contrasto

È vietato l’uso di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto  (attività svolte dalle autorità di contrasto o per loro conto a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro le minacce alla sicurezza pubblica e la prevenzione delle stesse) a meno che, e nella misura in cui, tale uso sia strettamente necessario per uno degli obiettivi seguenti (art. 5, 1, h):

1. (i) – la ricerca mirata di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessualedi esseri umani, nonché la ricerca di persone scomparse;
2. (ii) – la prevenzione di una minaccia specifica, sostanziale e imminente per la vita o l’incolumità fisica delle persone fisiche o di una minaccia reale e attuale o reale e prevedibile di un attacco terroristico;
3. (iii) – la localizzazione o l’identificazione di una persona sospettata di aver commesso un reato, ai fini dello svolgimento di un’indagine penale, o dell’esercizio di un’azione penale o dell’esecuzione di una sanzione penale per i reati di cui all’allegato II** del regolamento, punibile nello Stato membro interessato con una pena o una misura di sicurezza privativa della libertà della durata massima di almeno 4 anni. L’allegato II elenca i seguenti reati:

• terrorismo,
• tratta di esseri umani,
• sfruttamento sessuale di minori e pornografia minorile,
• traffico illecito di stupefacenti o sostanze psicotrope,
• traffico illecito di armi, munizioni ed esplosivi,
• omicidio volontario,
• lesioni gravi,
• traffico illecito di organi e tessuti umani,
• traffico illecito di materie nucleari e radioattive,
• sequestro,
• detenzione illegale e presa di ostaggi,
• reati che rientrano nella competenza giurisdizionale della Corte penale internazionale,
• illecita cattura di aeromobile o nave,
• violenza sessuale,
• reato ambientale,
• rapina organizzata o a mano armata,
• sabotaggio,
• partecipazione a un’organizzazione criminale coinvolta in uno o più dei reati elencati sopra.

*Rimane impregiudicata l’applicazione dell’art. 9 del regolamento (UE) 2016/679 per quanto riguarda il trattamento dei dati biometrici a fini diversi dall’attività di contrasto.

8.1 I sistemi di IA per l’identificazione biometrica remota in tempo reale possono essere usati solo per confermare l’identità della persona specificamente interessata

L’uso di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto per uno qualsiasi degli obiettivi sopra indicati è applicato (ai fini dell’art. 5, 1, h) solo per confermare l’identità della persona specificamente interessata e tiene conto degli elementi seguenti:

1. la natura della situazione che dà luogo al possibile uso, in particolare la gravità, la probabilità e l’entità del danno che sarebbe causato in caso di mancato uso del sistema;
2. le conseguenze dell’uso del sistema per i diritti e le libertà di tutte le persone interessate, in particolare la gravità, la probabilità e l’entità di tali conseguenze.

8.2 Diritto nazionale

L’uso di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto per uno qualsiasi degli obiettivi sopra indicati rispetta inoltre le tutele e le condizioni necessarie e proporzionate in relazione all’uso, conformemente al diritto nazionale che autorizza tale uso, in particolare, per quanto riguarda le limitazioni temporali, geografiche e personali. 

L’uso del sistema di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico è autorizzato solo se l’autorità di contrasto ha completato una valutazione d’impatto sui diritti fondamentali come previsto all’articolo 27 e ha registrato il sistema nella banca dati UE conformemente all’articolo 49. 

Tuttavia, in situazioni di urgenza debitamente giustificate, è possibile iniziare a usare tali sistemi senza la registrazione nella banca dati dell’UE, a condizione che tale registrazione sia completata senza indebito ritardo.

8.3 Autorizzazione preventiva

Ogni uso di un sistema di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto è subordinato a un’autorizzazione preventiva rilasciata da un’autorità giudiziaria o da un’autorità amministrativa indipendente, la cui decisione è vincolante, dello Stato membro in cui deve avvenire l’uso, rilasciata su richiesta motivata e in conformità delle regole dettagliate del diritto nazionale (art. 5 paragrafo 3). 

Tuttavia, in una situazione di urgenza debitamente giustificata, è possibile iniziare a usare il sistema senza autorizzazione a condizione che tale autorizzazione sia richiesta senza indebito ritardo, al più tardi entro 24 ore. 

Se tale autorizzazione è respinta, l’uso è interrotto con effetto immediato e tutti i dati nonché i risultati e gli output di tale uso sono immediatamente eliminati e cancellati.

L’autorità giudiziaria competente o un’autorità amministrativa indipendente la cui decisione è vincolante rilascia l’autorizzazione solo se ha accertato, sulla base di prove oggettive o indicazioni chiare che le sono state presentate, che l’uso del sistema di identificazione biometrica remota «in tempo reale» in questione è necessario e proporzionato al conseguimento di uno degli obiettivi (vedi obiettivi punto 8)come indicato nella richiesta e, in particolare, rimane limitato a quanto strettamente necessario per quanto riguarda il periodo di tempo e l’ambito geografico e personale. 

Nel decidere in merito alla richiesta, tale autorità tiene conto degli elementi di cui al punto 8.1 (vedi sopra). Nessuna decisione che produca effetti giuridici negativi su una persona può essere presa unicamente sulla base dell’output del sistema di identificazione biometrica remota in tempo reale.

8.4 Obbligo di notifica

Fatto salvo quanto indicato al punto 8.3, ogni uso di un sistema di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto è notificato alla pertinente autorità di vigilanza del mercato e all’autorità nazionale per la protezione dei dati conformemente alle regole nazionali. 

La notifica contiene non include dati operativi sensibili e contiene almeno le informazioni contenute nel modello elaborato dalla Commissione relazioni annuali e che viene fornito agli Stati membri e alle autorità nazionali di vigilanza del mercato e di protezione dei dati (art. 5.6 regolamento).

8.5 Poteri Stati Membri

Ogni Stato membro può decidere di prevedere la possibilità di autorizzare in tutto o in parte l’uso di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto, entro i limiti e alle condizioni sopra descritte (art.5 paragrafo 1, primo comma, lettera h), e ai paragrafi 2 e 3 del regolamento). 

Gli Stati membri interessati stabiliscono nel proprio diritto nazionale le necessarie regole dettagliate per la richiesta, il rilascio, l’esercizio delle autorizzazioni, nonché per le attività di controllo e comunicazione ad esse relative.

Tali regole specificano inoltre per quali degli obiettivi elencati le autorità competenti possono essere autorizzate ad utilizzare tali sistemi a fini di attività di contrasto. Gli Stati membri notificano tali regole alla Commissione al più tardi 30 giorni dopo la loro adozione. Gli Stati membri possono introdurre, in conformità del diritto dell’Unione, disposizioni più restrittive sull’uso dei sistemi di identificazione biometrica remota.

8.6 Relazioni annuali

La Commissione pubblica relazioni annuali sull’uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto, fondate sui dati aggregati negli Stati membri sulla base delle relazioni annuali. Tali relazioni annuali non includono dati operativi sensibili delle relative attività di contrasto.

8.7 Altri divieti UE

Il regolamento lascia impregiudicati i divieti che si applicano qualora una pratica di IA violi altre disposizioni di diritto dell’Unione.

9. Applicazione del divieto di specifiche pratiche di IA

Il divieto delle pratiche di IA sopra descritte sarà applicato dal 2 febbraio 2025.

 

Avv. Gianfranco Leggio

15.10.2024

Se hai domande sull’applicazione del regolamento Prenota una Consulenza