- IL VIDEO DELL'AUDIZIONE

Audizione del Presidente del Garante per la protezione dei dati personali, Pasquale Stanzione - Esame dello schema di decreto legislativo recante adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull'intelligenza artificiale, in materia di poteri delle autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione (AG. n. 421)

Camera dei deputati - IX e X Commissioni riunite
(21 luglio 2026)

Ringrazio, anzitutto, le Commissioni per aver inteso acquisire anche la prospettiva del Garante in ordine allo schema di decreto legislativo attuativo dei criteri di delega contenuti nella l n. 132 del 2025, sul quale l’Autorità ha reso il proprio parere, cui rinvio per rilievi più puntuali. La l. 132 assume particolare rilevanza perché delinea, nei margini consentiti al legislatore interno dall’ AI Act, alcuni principi importanti per l’utilizzo dell’IA in funzione strumentale alla (e non sostitutiva della) decisione umana. Particolarmente rilevanti, in questo senso, sono i limiti all’utilizzo dell’IA previsti in ambito giurisdizionale, amministrativo, sanitario, come anche alcune norme di principio: si pensi al divieto di discriminazione, su base algoritmica, nell’accesso alle prestazioni sanitarie. Le deleghe legislative per l’adeguamento dell’ordinamento interno all’AI Act si sono articolate su due aspetti distinti: l’uno più generale, inerente alla governance (oggetto del decreto che analizziamo) e l’altro più specifico, relativo all’utilizzo dell’IA nell’esercizio delle attività di contrasto, disciplinato dall’AG 418 su cui, parimenti, il Garante ha reso parere. Si tratta di testi (entrambi) particolarmente rilevanti per la strategia nazionale di sviluppo e promozione dell’IA oltre che, naturalmente, per la declinazione delle scelte unionali nella realtà ordinamentale italiana.

L’Atto del Governo 421 è, in questa prospettiva, particolarmente determinante, in quanto delinea, nel solco dei criteri di delega, alcuni aspetti centrali della disciplina dell’IA.: la formazione, le condizioni per l’utilizzo delle tecnologie algoritmiche nei rapporti di lavoro, le Autorità nazionali per l’IA. Con riferimento a quest’ultimo aspetto, il Garante è individuato- come del resto impone l’art. 74, par.8 dell’AI Act- autorità di vigilanza per i sistemi ad alto rischio utilizzati a fini di attività di contrasto, gestione delle frontiere, giustizia e democrazia. Si tratta di contesti di estrema rilevanza, come del resto riconoscono i Considerando da 59 a 62, rilevando ad esempio, rispetto al controllo delle frontiere, come “l'accuratezza, la natura non discriminatoria e la trasparenza dei sistemi di IA utilizzati in tali contesti sono pertanto particolarmente importanti per garantire il rispetto dei diritti fondamentali delle persone interessate, in particolare i loro diritti alla libera circolazione, alla non discriminazione, alla protezione della vita privata e dei dati personali, alla protezione internazionale e alla buona amministrazione” (C 60).

Il Considerando 61, per altro verso, rileva come l’uso dell’IA. possa “fornire sostegno al potere decisionale dei giudici o all'indipendenza del potere giudiziario, ma non dovrebbe sostituirlo”, evidenziando dunque l’esigenza di una riserva umana sulla fase decisoria del procedimento giurisdizionale, che ha anche la legge 132 ha correttamente espresso.

Il Considerando 59, rispetto all’uso dell’IA. a fini di contrasto sottolinea come tali contesti siano “caratterizzat[i] da un livello significativo di squilibrio di potere e possono portare alla sorveglianza, all'arresto o alla privazione della libertà di una persona fisica, come pure avere altri impatti negativi sui diritti fondamentali garantiti nella Carta. In particolare, il sistema di IA, se non è addestrato con dati di elevata qualità, se non soddisfa requisiti adeguati in termini di prestazione, accuratezza o robustezza, o se non è adeguatamente progettato e sottoposto a prova prima di essere immesso sul mercato o altrimenti messo in servizio, può individuare le persone in modo discriminatorio o altrimenti errato o ingiusto. Potrebbe inoltre essere ostacolato l'esercizio di importanti diritti procedurali fondamentali, quali il diritto a un ricorso effettivo e a un giudice imparziale, nonché i diritti della difesa e la presunzione di innocenza. L'utilizzo degli strumenti di IA da parte delle autorità di contrasto e delle altre pertinenti autorità non dovrebbe diventare un fattore di disuguaglianza o esclusione. L'impatto dell'utilizzo degli strumenti di IA sul diritto alla difesa degli indagati non dovrebbe essere ignorato, in particolare la difficoltà di ottenere informazioni significative sul funzionamento di tali sistemi e la difficoltà che ne risulta nel confutarne i risultati in tribunale, in particolare per le persone fisiche sottoposte a indagini”.

Il Considerando 62, per altro verso, rileva il carattere ad alto rischio dei sistemi di IA destinati a essere utilizzati per influenzare l'esito di elezioni o referendum o il comportamento di voto delle persone fisiche nell'esercizio del loro voto alle elezioni o ai referendum.

Le implicazioni di tutti questi sistemi d’IA hanno, dunque, una rilevanza – giuridica, sociale, politica- centrale nelle dinamiche democratiche. E’, per questo, particolarmente significativo che il legislatore europeo abbia riservato la competenza sull’uso dell’IA in tali settori alle Autorità di protezione dati, nella consapevolezza, evidentemente, dell’esperienza maturata nell’applicazione di quello che è il fulcro dell’IA: il processo decisionale automatizzato fondato su dati personali. Rispetto ad esso, tanto il GDPR quanto la direttiva 2016/680 sul trattamento dei dati personali nel settore della giustizia penale e della polizia assicurano, infatti, alcune garanzie essenziali: il principio di conoscibilità (che esclude la legittimità di algoritmi black-box riconoscendo il diritto di ricevere informazioni significative sulla logica utilizzata), quello di non esclusività della decisione algoritmica che impone un intervento umano capace di controllare, validare o smentire la decisione automatizzata, il divieto di discriminazione algoritmica, un generale principio di trasparenza che impone precisi obblighi informativi nei confronti dell’utente, un criterio di qualità ed esattezza dei dati da utilizzare, particolarmente rilevante per evitare i bias propri di un addestramento dell’algoritmo sulla base di informazioni inesatte o non sufficientemente rappresentative.

Il ruolo delle Autorità di protezione dei dati nel sistema istituzionale di governance dell’IA è, dunque, centrale. E lo è anche negli ordinamenti – come il nostro – nei quali non sia loro assegnata anche la più generale competenza (che avrebbe avuto implicazioni importanti in termini di semplificazione e riduzione degli oneri amministrativi) di Autorità di vigilanza del mercato tout court, ex art. 70, par.1, dell’AI Act. Per questa ragione, il decreto – che pur doverosamente richiama le competenze ascritte al Garante dall’art. 74, par.8 dell’Ai Act- va integrato rispetto ad alcune specifiche implicazioni, che tale ruolo ha, nei rapporti con le altre autorità per l’IA e, più in generale, nel sistema istituzionale di governance dell’IA lì delineato.  

In questa prospettiva, al corretto richiamo delle attribuzioni di cui all’articolo 74, p.8 del regolamento IA dovrebbe anche corrispondere, specularmente, il riconoscimento al Garante del potere di adottare linee guida, raccomandazioni e buone pratiche nell’ambito di riferimento. Si tratta, infatti, di attribuzioni determinanti per garantire la corretta e uniforme applicazione delle norme unionali in settori, peraltro, così rilevanti prevenendo, anche, inosservanze tanto più frequenti in contesti di significativo mutamento normativo.

Per altro verso, riguardo il sistema sanzionatorio manca l’espresso richiamo – presente invece per le altre Autorità- alle specifiche norme di settore.

Il paradigma delineato dall’articolo 24 del decreto si fonda, infatti, sul rinvio alle regole procedurali di settore per la disciplina del procedimento sanzionatorio svolto dalle singole Autorità indipendenti. Coerentemente con tale impostazione, anche per le sanzioni irrogate dal Garante negli ambiti di competenza dovrebbe, parimenti, farsi espresso rinvio alla norma di cui all’articolo 166 del d.lgs. 196 del 2003 e s.m.i., ivi incluso il comma 7 in ordine alla destinazione dei proventi della riscossione.

Nella medesima prospettiva, derivando al Garante, dalle competenze di cui all’articolo 74, par.8 del regolamento IA, la qualità di organismo notificato in materia di valutazione della conformità, ai sensi e per gli effetti dell’articolo 43, par.1, del medesimo regolamento, dovrebbe esplicitarsi se lo Stato si consideri direttamente responsabile di tale valutazione. L’articolo 31, par. 9, dell’AI Act sul punto contempla, infatti, un’alternativa (che spetta al legislatore interno sciogliere) tra responsabilità diretta dello Stato (soluzione preferibile per esigenze di garanzia e correttezza procedurale) e sottoscrizione, da parte dell’organismo notificato, di un’assicurazione di responsabilità per le attività di valutazione.
Inoltre l’articolo 26, relativo allo Spazio di sperimentazione italiano per l’IA, non contempla la partecipazione del Garante nei progetti che comportano il trattamento di dati personali, in contrasto con quanto previsto dall’articolo 57, par. 10, del regolamento IA. Sarebbe pertanto opportuno integrare la norma prevedendo il coinvolgimento del Garante, per quanto di competenza, nelle attività connesse allo Spazio di sperimentazione.

Un’ulteriore considerazione merita il divieto di assunzione di decisioni fondate unicamente su trattamenti automatizzati, previsto all’articolo 40 del decreto- strettamente correlato al disposto di cui all’articolo 22 del GDPR. Tale divieto potrebbe essere opportunamente esteso alle decisioni di carattere valutativo (parimenti contemplate nell’articolo 1-bis d.lgs. 152 del 1997, richiamato dallo stesso articolo 40), suscettibili di determinare implicazioni significative sul rapporto di lavoro, che la stessa prassi applicativa del Garante dimostra essere particolarmente rilevanti.

Ora, un’ultima riflessione sull’articolo 51, recante la clausola generale d’invarianza finanziaria. Pur necessitata dal disposto di cui all’articolo 27 della legge di delegazione, l’assenza di nuovi stanziamenti per il governo di un fenomeno complesso, quale quello dell’IA e del suo sempre più diffuso utilizzo, può, infatti, depotenziare in misura significativa l’efficacia del sistema di governance delineato dal decreto.

Tale aspetto riguarda in modo particolare il Garante, che soffre una drammatica sproporzione, sempre più crescente, tra risorse in primo luogo umane, assai esigue (anche rispetto alle corrispondenti Autorità degli altri Stati membri) e competenze, in continuo incremento. Il Garante auspica, pertanto, che possa avviarsi un’organica e lungimirante revisione degli stanziamenti riservati all’Autorità, oggi insufficienti rispetto alle sue esigenze funzionali. Ciò le consentirebbe di garantire la massima efficienza ed efficacia nello svolgimento delle numerose competenze ascrittele, (anche) rispetto agli ambiti di cui all’articolo 74, par.8, che assumeranno una rilevanza sempre più dirimente nel governo democratico dell’IA. Vi ringrazio.