L'Unione Europea e la questione della privacy dei dati

PRIME SEI PAGINE DELLA BOZZA DI REGOLAMENTO

La relazione della bozza di regolamento spiega che si vuole armonizzare l’intelligenza artificiale

all’interno dell’Ue.

Con il termine intelligenza artificiale si indica una famiglia di tecnologie in rapida evoluzione in

grado di apportare una vasta gamma di benefici economici e sociali in tutto lo spettro delle

attività industriali e sociali.

Non abbiamo una definizione precisa di intelligenza artificiale, abbiamo un tracciato di un

perimetro.

La stessa questione si è posta sulla tutela del dato personale: cos’è un dato personale?

Esempio: l’indirizzo IP di collegamento è un dato personale? Si perché dà un insieme di

informazioni.

Il dato personale è quel dato che attraverso informazioni plurime porta alla possibilità di

identificare la persona.

L’interesse dell’Unione è quello di preservare la leadership tecnologica dell’UE e assicurare che i

cittadini europei possano beneficiare di nuove tecnologie sviluppate e operanti in conformità ai

valori, ai diritti fondamentali e ai principi dell’Unione.

La Commissione presenta il quadro normativo proposto sull’IA con i seguenti obiettivi specifici:

- assicurare che i sistemi di IA immessi e utilizzati sul mercato dell’Unione siano sicuri e

rispettino la normativa vigente in materia di diritti fondamentali e i valori dell’Unione;

- assicurare la certezza del diritto per facilitare gli investimenti e l’innovazione nell’IA;

- migliorare la governance e l’applicazione effettiva della normativa esistente in materia di diritti

fondamentali e requisiti di sicurezza applicabili ai sistemi di IA;

- facilitare lo sviluppo di un mercato unico per applicazioni di IA lecite, sicure e affidabili nonché

prevenire la frammentazione del mercato.

La Commissione si pone come obiettivo di andare ad armonizzare questa materia perché non può

non farlo, è stata messa all’angolo.

La Commissione in questo documento parla dell’esigenza di adattare lo sviluppo dell’IA con

la tutela dei diritti fondamentali.

La normativa in bozza di regolamento è di tipo trasversale orizzontale, non va a categorizzare

per materie, classifica per livelli di rischio e all’art.6 ci dice che sistemi classificati ad alto

rischio son vietati salvo particolari eccezioni. Per il momento all’interno del regolamento

quello che si vede evidenziato come eccezioni ai livelli di rischio è il sistema finalizzato alla



ricerca mirata alle potenziale vittime di reato e questioni che riguardano i minori in

questi casi è autorizzato l’utilizzo dell’IA e per quanto riguarda minacce e atti terroristici:

non una ricerca di screening a monte, ma quando ci sono delle indagini in corso su determinati

soggetti allora uso l’AI per andare su quei determinati soggetti. 15

L’art. 14 della bozza di regolamento ci parla di come vi sia sempre l’esigenza di un controllo

umano.

Quando parliamo di “regolazione orizzontale” intendiamo che il regolamento di fatto va a

toccare lavoro, sanità, istruzione e giurisdizione. Queste sono le aree su cui ad oggi

immaginiamo già un impatto di questi assesment (valutazione) di livello di rischio.

La Commissione continua a parlare con le altre istituzioni attraverso dei documenti. Un

documento interessante è la comunicazione della Commissione del dicembre del 2020 (dopo

aver fatto l’esperienza del covid) dove si trovano delle considerazioni sulle problematiche di

gestione della giustizia post pandemia.

Questa comunicazione parla della digitalizzazione della giustizia in UE come pacchetto di

opportunità.

La bozza di regolamento sull’IA illustra ben poco le opportunità, è molto concentrata sulla

minimizzazione dei rischi per i diritti fondamentali.

Nella comunicazione del dicembre 2020 si parla di come la crisi da Covid-19 abbia sottolineato la

necessità di rafforzare la resilienza dei sistemi giurisdizionali in tutta l’Ue perché anche la tutela

giurisdizionale rientra in un diritto fondamentale. Quindi una celerità nell’adozione delle decisioni

è un elemento essenziale.

Non ci deve essere uno sbilanciamento né con altre normative (es. carta dei diritti fondamentali

a livello europeo) ma neanche con le normative costituzionali degli Stati membri, e quindi è

vero che la tutela della riservatezza è importante, ma se noi siamo ricercati per terrorismo

ovviamente il bilanciamento di interessi deve essere distinto rispetto al gruppo di studenti in

piazza. Il bilanciamento di interessi passa per una declinazione del caso per caso: ogni

situazione ha degli elementi caratterizzanti distinti e quindi immaginiamo applicare il

bilanciamento di interessi con un algoritmo di IA di cui non conosciamo la ricetta cosa

comporterebbe.

Si è parlato molto dell’esigenza di creare un nuovo set di diritti ossia i nuovi diritti digitali che

riguardano in particolare la materia dell’IA e del set di diritti che possono essere violati dalle

piattaforme e da includere all’interno della Carta.

Una grande questione posta nel regolamento è la questione del deepfake, sollevata dal Parlamento

europeo nella sua risoluzione al punto 76, esprime preoccupazione per le tecnologie di deepfake

ossia tecnologie capaci di produrre foto, audio o video falsificati e che alimentano

informazioni non veritiere. Queste notizie minacciano di minare la fiducia del cittadino anche

perché la grande questione è come il cittadino utilizza la tecnologia.

La questione è che la piattaforma deve dimostrare di aver fatto tutti i controlli, aver messo in

atto, ex ante, una serie di misure per minimizzare il livello di rischio per i diritti

fondamentali degli individui.

L’altro divieto che abbiamo nel regolamento è il divieto di sistemi di IA che utilizzino tecniche

subliminali, ovvero utilizzino tecniche che possano distorcere il comportamento di una

persona e influenzarla provocando un danno fisico o psicologico (art.5). Sono sistemi che

vanno a sfruttare la vulnerabilità di un determinato gruppo di persone che viene targettizzato. Il

16

regolamento in adozione all’art.5 ci dice che è vietato avere come finalità l’influenza e la

targhettizzazione di un gruppo specifico.

È possibile l’utilizzo di un sistema di AI per verificare la corretta attribuzione di un beneficio

fiscale? Per esempio del reddito di cittadinanza. Se il sistema di AI va ad analizzare una serie di

incoerenze potrebbe rilevare che c’è stata un attribuzione di un beneficio a colui che non ne ha

diritto, o viceversa. La questione è che qui subentrano due diritti: diritto del singolo

(dell’individuo) ma anche un diritto al buon andamento dell’amministrazione (diritto

generale).

Ad oggi nella bozza di regolamento ci sono dei casi molto puntuali di utilizzo da parte della

pubblica amministrazione dell’AI. Il grande tema è: dovrebbe farlo di più o dovrebbe farlo di

meno?

Si vuole arrivare a diffondere le competenze digitali di base all’80% della popolazione

dell’Ue.

La Commissione in questo documento parla di trasformazione digitale delle imprese per

portare la piccola media impresa fino ad un livello del 90% di digitalizzazione.

E inoltre si parla della digitalizzazione dei servizi pubblici che si stima debba arrivare al

100%.

Per il 2030 la Commissione ha fissato degli obiettivi che ritroviamo nel PNRR e vorrebbe tracciare

un quadro di una governance che sia congiunto tra gli Stati membri e l’Unione. Mettere le

persone al centro di questo sistema perché la prospettiva, come abbiamo visto, è quella di

tutelare i diritti fondamentali, quindi l’obiettivo è porre l’essere umano al centro del

processo di digitalizzazione.

Inoltre si parla di vincolare gli operatori che agiscono a livello digitale.

DIGITAL MARKET ACT

È il regolamento europeo sui mercati digitali del 5 luglio 2022 e fa pacchetto con il Digital

service Act.

Sono entrambi due regolamenti direttamente applicabili. Insieme fanno parte del digital

service package.

I due documenti sono stati in bozza per circa due anni, ci han messo di meno rispetto alla nostra

bozza di regolamento sull’IA perché trattano argomenti più tecnici e meno etici.

Si legano molto alle questioni che abbiamo iniziato a vedere in materia di concorrenza.

Tendenzialmente la materia della concorrenza, in particolare la questione dell’abuso di posizione

dominante art.102 TFUE, è una normativa che si applica solo nel momento in cui c’è già stata una

violazione. La Commissione con il suo ruolo di guardiano dei trattati esercita quel ruolo di

controllo per cui va effettivamente a verificare laddove ci son stati degli abusi. Lo fa ex post,

commina una sanzione dopo l’indagine con un atto che è la decisione con il quale commina una

sanzione che terrà conto del tempo e dell’impatto avuto sul mercato.

Invece, il Digital Markets Act è uno strumento che vuole essere innovativo per una visione ex

ante, quindi un’impostazione come quella che abbiamo visto nella bozza di regolamento per

17

definire delle condotte e degli obblighi che le imprese devono tenere prima che si verifichi

l’abuso. Ancora una volta torna la valutazione d’impatto che ritroveremo nel regolamento GDPR.

Sostanzialmente questo regolamento vuole andare ad alimentare la concorrenza laddove c’è

un mercato con concorrenza debole perché le barriere all’ingresso tecnologiche sono

considerevoli e quindi vuole andare a complementare come tutela quella delle pratiche

commerciali sleali.

Obiettivi del Digital Markets Act:

Eliminare la barriere in ingresso per i servizi online: alimentare più concorrenza.

Combattere la posizione dominante da parte delle grandi piattaforme digitali e stimolare

quindi innovazione e concorrenza.

Tutti questi obiettivi nella tutela dei dati personale che poi viaggeranno sulle piattaforme (es. carte

di pagamento).

Ancora una volta ritroviamo i due obiettivi di cui abbiamo parlato parlando della concorrenza,

ossia da una parte favorire il consumatore europeo e garantirgli più scelta e un servizio più

equo ad un prezzo competitivo, dall’altra stimolare l’ingresso nel mercato di altri players.

C’è una ripartizione per quote di mercato sempre per il principio della violazione dell’art.102,

l’abuso può essere commesso solo da chi effettivamente ha una posizione dominante nel mercato.

I parametri con cui il Digital Markets Act individua le porte di accesso nel mercato (barriere di

ingresso) sono in base alla dimensione della impresa (fatturati annui) e all’effettivo controllo che

hanno sull’accesso ai dat