Le Linee Guida della Commissione Europea sulle pratiche vietate di intelligenza artificiale: un'analisi avanzata dei profili giuridici e della tutela della privacy

Pubblicato da Maria Teresa De Luca in Evidenza · 11 Febbraio 2025

Le Linee Guida della Commissione Europea sulle pratiche vietate di intelligenza artificiale: un'analisi avanzata dei profili giuridici e della tutela della privacy

Il 4 febbraio 2025, la Commissione Europea ha pubblicato la bozza delle Linee Guida relative alle pratiche vietate di intelligenza artificiale (IA). Questo documento mira a chiarire l'applicazione del Regolamento UE 2024/1689 (AI Act), il primo quadro normativo europeo sistematico sulla regolamentazione dell'IA. Sebbene le Linee Guida non siano giuridicamente vincolanti, esse rappresentano un riferimento fondamentale per l'interpretazione delle disposizioni dell'articolo 5 del Regolamento, che elenca le pratiche di IA vietate poiché incompatibili con i principi cardine dell'Unione.

Quadro normativo dell’AI Act

L’AI Act utilizza un approccio fondato sulla valutazione del rischio, classificando i sistemi di IA in quattro categorie: rischio minimo, limitato, elevato e inaccettabile. I sistemi a rischio inaccettabile, che costituiscono il focus dell’articolo 5, sono proibiti in quanto incompatibili con principi quali la dignità umana, la protezione dei dati personali e la sicurezza pubblica. L’obiettivo principale del Regolamento è la prevenzione dei rischi e l’istituzione di misure di vigilanza, in modo da garantire che l’utilizzo dell’IA avvenga nel rispetto dei diritti fondamentali e dei valori europei.

Le Linee Guida forniscono indicazioni interpretative sui divieti, affrontando temi quali l’ambito di applicazione, le deroghe previste e l’interazione con normative complementari, come il GDPR.

Analisi delle pratiche vietate

L’articolo 5 del Regolamento sancisce il divieto di specifiche pratiche di IA, considerate lesive di diritti fondamentali o potenzialmente discriminatorie. Le principali categorie individuate sono:

Manipolazione e inganno: Vietato l’impiego di tecniche subliminali o manipolative volte a influenzare significativamente il comportamento degli individui, compromettendo la loro autonomia decisionale.
Sfruttamento di condizioni vulnerabili: Proibizione di sistemi che sfruttano condizioni di vulnerabilità economica, sociale o fisica per indurre scelte pregiudizievoli per l’utente.
Social scoring: Divieto di classificare gli individui in base a comportamenti personali o professionali, qualora tale classificazione comporti trattamenti discriminatori o ingiustificati.
Profilazione del rischio criminale: Vietato l’uso di dati personali per determinare il rischio di commissione di reati esclusivamente tramite sistemi automatizzati.
Scraping di dati biometrici: Proibizione della raccolta massiva di immagini facciali senza consenso, finalizzata alla creazione di database di riconoscimento biometrico.
Riconoscimento delle emozioni: Vietato dedurre le emozioni di individui in contesti come il lavoro o l’istruzione, salvo limitate eccezioni.
Categorizzazione biometrica sensibile: Divieto di utilizzo di IA per dedurre caratteristiche sensibili quali religione, razza, orientamento politico o appartenenza sindacale.
Identificazione biometrica remota: Proibizione dell’uso di tecnologie di riconoscimento facciale in tempo reale in spazi pubblici, salvo deroghe rigorosamente regolamentate.

Interazione tra AI Act e protezione dei dati

Molte delle pratiche vietate implicano il trattamento di dati personali e biometrici, già regolamentati dal GDPR. La raccolta massiva di immagini biometriche, ad esempio, solleva questioni di proporzionalità e legittimità rispetto ai principi di minimizzazione e specificità della finalità. Inoltre, l’utilizzo di sistemi di riconoscimento facciale e la profilazione algoritmica pongono sfide significative in termini di non discriminazione e salvaguardia dei diritti fondamentali, quali la presunzione di innocenza.

Regime sanzionatorio

L’AI Act prevede sanzioni particolarmente severe per le violazioni dell’articolo 5. Le imprese rischiano multe fino a 35 milioni di euro o al 7% del fatturato mondiale. Le autorità di vigilanza nazionali saranno incaricate di monitorare l’applicazione del Regolamento e di irrogare sanzioni in caso di non conformità.

Questo regime sanzionatorio, caratterizzato da un alto livello di deterrenza, mira a prevenire violazioni sistematiche e a garantire l’adozione di pratiche conformi. Per gli enti pubblici, è prevista una certa discrezionalità nell’applicazione delle sanzioni, pur mantenendo l’obbligo di garantire misure proporzionate e dissuasive.

Sfide e prospettive per le imprese

Le imprese che sviluppano o utilizzano sistemi di IA devono affrontare sfide significative per adeguarsi ai requisiti dell’AI Act. Gli elementi chiave includono:

L’implementazione di valutazioni d’impatto sui rischi, integrando le prescrizioni del GDPR con quelle del Regolamento sull’IA.
La predisposizione di meccanismi di monitoraggio continuo della conformità.
La formazione del personale per garantire un utilizzo etico e responsabile delle tecnologie di IA.
La documentazione dettagliata delle decisioni e dei processi relativi alla conformità normativa.

Le Linee Guida rappresentano un tassello fondamentale per la corretta applicazione del Regolamento UE sull’IA. Tuttavia, rimangono alcune questioni interpretative, come il coordinamento tra autorità di vigilanza nazionali e garanti della privacy, e l’individuazione dei limiti tra pratiche vietate e deroghe ammesse.

Il prossimo passo per le imprese sarà tradurre i principi sanciti dall’AI Act in politiche operative concrete, bilanciando innovazione tecnologica e tutela dei diritti fondamentali. Tale processo richiederà un approccio interdisciplinare e una governance solida, ma offrirà anche un’opportunità per consolidare la fiducia nell’utilizzo dell’IA.

Timeline di implementazione dell’AI Act

2 febbraio 2025: Entrata in vigore dei divieti (art. 5).
2 agosto 2025: Designazione delle autorità di vigilanza nazionali e avvio del regime sanzionatorio.
2 agosto 2026: Inizio degli obblighi di conformità per i sistemi di IA ad alto rischio.
2 agosto 2027: Termine per l’adeguamento dei sistemi IA general-purpose già esistenti.