Garante Privacy e Ai Act: necessarie più garanzie sui dati biometrici

Per progressioni di carriera o attribuzione di premi, il Garante propone di vietare che la valutazione avvenga solo con sistemi automatizzati di Ai

Vietato effettuare valutazioni che possono incidere sul rapporto di lavoro solo con strumenti di intelligenza artificiale, proibito il trattamento automatizzato e generalizzato dei dati biometrici di chi accede a luoghi ed eventi pubblici. Sono alcune delle raccomandazioni del Garante della privacy sullo schema di decreto legislativo che disciplina l’attuazione in Italia del Regolamento Ue 2024/1689. Noto come Ai Act, il Regolamento europeo disciplina lo sviluppo e l’uso responsabile dell’intelligenza artificiale.

Il decreto definisce il sistema di governance sull’Ai a livello nazionale e designa il Garante come autorità di vigilanza del mercato per i sistemi ad alto rischio, impiegati nei settori più sensibili per i diritti fondamentali. Sono inoltre previste nuove regole per il settore finanziario e per quello assicurativo, ma anche la promozione di percorsi di alfabetizzazione digitale e di formazione all’uso consapevole dell’Ai nelle scuole e nelle università. Secondo il Garante, però, è necessario che all’Autorità sia riconosciuta la facoltà di adottare linee guida, raccomandazioni e buone pratiche e che sia chiarito il perimetro di applicazione delle sanzioni di sua competenza.

Il Garante richiede inoltre di essere coinvolto nelle attività dello Spazio di sperimentazione italiano per l’intelligenza artificiale e che sia definito il suo ruolo nell’ambito delle procedure di valutazione della conformità dei sistemi ad alto rischio. Per le decisioni che possono incidere significativamente sul rapporto di lavoro, come le progressioni di carriera o l’attribuzione di premi, il Garante propone di vietare che la valutazione avvenga solamente con sistemi automatizzati di Ai.

Per quanto riguarda, invece, l’impiego dei sistemi di Ai da parte delle Forze di polizia, in particolare per l’uso di tecnologie di identificazione biometrica da remoto, secondo il Garante deve essere chiarito il ruolo della supervisione umana. Devono, inoltre, essere definite con maggiore precisione le responsabilità nei progetti di ricerca e sperimentazione. Il Garante chiede inoltre di essere coinvolto negli spazi di sperimentazione normativa che prevedano il trattamento dei dati personali. Necessarie poi, secondo l’Autorità, maggiori garanzie sulla qualità delle banche dati biometriche usate per l’identificazione.

Non coerente con l’Ai act, invece, il trattamento automatizzato e generalizzato dei dati biometrici di chi accede a luoghi o eventi pubblici: il riconoscimento facciale, infatti, è consentito solamente per ricerche mirate ex post. L’elaborazione dei dati biometrici, conclude il garante, deve avvenire solo su registrazioni già acquisite e in caso di specifiche esigenze operative, senza raccolte preventive.

Secondo il Garante, infine, anche le disposizioni sull’identificazione biometrica disciplinate dall’articolo 359-ter del Codice di procedura penale dovrebbero prevedere l’espresso divieto di usare banche dati ottenute tramite scraping indiscriminato o in violazione della normativa sulla protezione dei dati personali.