Intervista ad Alessandra Pietroletti, Partner Law, EY Italia

D. Quali sinergie tra GDPR e AI Act risultano oggi più rilevanti per i sistemi di Intelligenza artificiale?

R. La complessità della regolamentazione europea sull’intelligenza artificiale deriva certamente dalla sua natura multidisciplinare, integrando profili tecnici, legali e organizzativi, ma anche dalla necessità che la sua lettura ed attuazione derivi da una vision integrata con altre normative europee. Basti pensare alle diverse normative richiamate dall’AI ACT: quelle settoriali e di prodotto, quelle relative alla tutela dei consumatori, al diritto d’autore e di proprietà industriale, in materia di cybersicurezza, ma soprattutto inerenti alla protezione dei dati personali. L’approccio integrato all’AI ACT favorisce alcune sinergie, ad esempio, con il GDPR: entrambe le normative promuovono infatti un approccio basato sul rischio e by design, richiedono l’adozione di misure di sicurezza e la sorveglianza umana, in alcuni casi, lo svolgimento di valutazioni del rischio sui diritti fondamentali secondo l’AI ACT (Fundamental rights Impact Assessment o “ FRIA”) e sul trattamento dei dati personali secondo il GDPR (Data Protection Impact Assessment o “DPIA”), richiamano il concetto di trasparenza nei confronti dell’interessato e dell’utente. È evidente quindi che l’individuazione di sinergie mediante un approccio integrato, rappresenti un fattore abilitante per le aziende, evitando così la costruzione di modelli di governance sovrastrutturati e poco efficaci.

D. Il Digital Omnibus propone una possibile revisione del quadro digitale europeo, incidendo anche su GDPR e AI Act: quali impatti potenziali individua sul trattamento dei dati e sullo sviluppo dei sistemi di intelligenza artificiale?

R. Il Digital Omnibus, ovvero il pacchetto di proposte della Commissione europea volto a semplificare e razionalizzare il complesso quadro normativo digitale dell’UE (GDPR, AI ACT, DATA ACT, NIS2), potrebbe ridisegnare alcuni profili d’attuazione delle diverse normative nel contesto aziendale. In particolare, favorendo norme digitali europee più agili e meno onerose, la proposta potrebbe introdurre alcune novità quali ad esempio, nell’ambito del GDPR, una lettura più stringente di cosa debba intendersi per “dato personale”,  tempistiche più lunghe per la notifica di eventuali violazioni e nell’ambito dell’AI ACT, introdurre una deroga al divieto di trattare dati particolari, a determinate condizioni, che possa coprire il trattamento incidentale e residuo di tale tipologia di dati nel contesto dello sviluppo e del funzionamento di sistemi o di modelli di IA.

D. Quali sono i principali aspetti che le aziende devono considerare nell’attuazione dell’AI ACT?

R. La gestione delle tematiche di intelligenza artificiale necessita certamente della definizione di un modello di governance che identifichi ruoli e responsabilità, specie tenendo conto degli attori che, a diverso titolo e per i profili di competenza, potrebbero essere interessati dalla materia. Parimenti l’adozione di linee guida e procedure o l’integrazione di quelle esistenti risulta un elemento chiave per assicurare la corretta governance degli adempimenti richiesti dall’AI ACT a seconda del ruolo dell’azienda (es. provider, deployer), ma anche della tipologia e livello di rischio associato al sistema di IA di volta in volta considerato. Da ultimo, l’alfabetizzazione del personale -che sviluppa e progetta, ma anche che utilizza le soluzioni di IA- rappresenta un passaggio necessario per chiarire le opportunità legate all’impiego dell’AI nei processi aziendali, ma anche i rischi derivanti da un utilizzo non corretto di tale tecnologia.