Ci sono voluti diversi tentativi e riunioni a livello tecnico affinché gli ambasciatori dei Ventisette decidessero di dare il loro via libera alla posizione negoziale sulle nuove regole digitali comunitarie. Gli ultimi dettagli del pacchetto con cui Bruxelles intende semplificare il quadro normativo tecnologico e, allo stesso tempo, "stimolare l'innovazione" avevano trovato resistenze tra alcune capitali, con la Germania tra i paesi che mantenevano bloccato l'accordo.
È stata questa settimana quando gli ultimi aggiustamenti del cosiddetto "omnibus digitale" hanno ricevuto l'approvazione del Consiglio dell'UE per iniziare le negoziazioni con il Parlamento Europeo in vista della sua adozione definitiva.
Il fatto è che il testo introduce modifiche chiave nel Regolamento Generale sulla Protezione dei Dati (RGPD), nella Legge sui Dati e nella Legge sull'Intelligenza Artificiale. Fonti comunitarie assicurano che l'obiettivo centrale "è eliminare complessità", anche se i più scettici avvertono che la riforma starebbe aprendo la porta all'utilizzo di informazioni particolarmente protette durante l'addestramento dei sistemi di IA.
"La Presidenza irlandese ha lavorato per raggiungere un accordo tempestivo in Consiglio, in modo che questi miglioramenti possano iniziare a generare benefici reali il prima possibile", affermava la ministra degli Affari Esteri dell'Irlanda, Helen McEntee.
Il legittimo interesse entra nell'addestramento dell'IA
Infine, la bozza su cui inizierà a negoziarsi l'accordo definitivo stabilisce regole specifiche per abilitare e regolare l'uso dei dati personali lungo tutto il ciclo di vita dei sistemi di intelligenza artificiale. Questo include dal loro addestramento alle fasi di prova, validazione e funzionamento successivo.
Gli Stati membri hanno concordato di chiarire esplicitamente che lo sviluppo e il funzionamento di sistemi di IA, inclusi i grandi modelli di linguaggio e i sistemi di video generativo, possono fondarsi sul legittimo interesse del titolare del trattamento, una delle basi giuridiche contemplate nel RGPD. Allo stesso modo, le autorità e gli organismi pubblici potranno fare affidamento sulla base giuridica dell'interesse pubblico o dell'esercizio di poteri pubblici quando sviluppano o addestrano i propri modelli di intelligenza artificiale.
Tuttavia, lo sviluppo di un modello di IA non costituirà, di per sé, un interesse legittimo automatico. La sua applicazione dovrà essere valutata in ogni caso concreto, ponderando la finalità perseguita dal sviluppatore rispetto ai diritti e alle libertà degli utenti.
Questa base giuridica non potrà essere utilizzata quando prevalgono i diritti degli interessati, specialmente se si tratta di minori, o quando una disposizione legale richiede espressamente il consenso per effettuare un determinato trattamento.
Cosa succede con i dati sensibili?
Una delle principali novità tecniche dell'accordo risiede nel modo di affrontare la presenza imprevista di dati particolarmente sensibili, come quelli relativi alla salute, all'origine etnica o alle opinioni politiche, nei grandi volumi di informazioni utilizzati per addestrare modelli di intelligenza artificiale.
Il Consiglio punta a introdurre un nuovo presupposto di eccezione per consentire il trattamento incidentale e residuale di categorie speciali di dati quando questi non costituiscano l'obiettivo del responsabile del trattamento. Vale a dire, la flessibilità non implica un'autorizzazione generale per raccogliere deliberatamente informazioni sensibili con l'obiettivo di addestrare sistemi di IA, ma intende offrire una risposta giuridica a quegli scenari in cui questi dati appaiono in modo imprevisto nei set di addestramento.
A tal fine, gli sviluppatori dovranno applicare preventivamente misure tecniche e organizzative, come meccanismi di filtraggio durante la fase di raccolta, destinati a evitare l'incorporazione di informazioni particolarmente protette.
Tuttavia, se, nonostante queste precauzioni, vengono rilevati dati sensibili nei set di addestramento, durante la validazione o nel sistema stesso, il responsabile sarà obbligato a eliminarli senza indugi indebiti.
La proposta contempla anche quegli scenari in cui la cancellazione risulti tecnicamente impossibile o richieda uno sforzo manifestamente sproporzionato. Ad esempio, quando determinate informazioni siano rimaste "memorizzate" nei pesi del modello e la loro eliminazione richieda un nuovo processo di addestramento. In questi casi, il responsabile dovrà garantire una protezione efficace dei dati interessati, impedendo che continuino a essere trattati, evitando il loro utilizzo per generare inferenze e adottando misure affinché non possano essere rivelati a terzi.
Maggiore flessibilità, ma anche nuove salvaguardie
Per compensare questa flessibilizzazione delle basi giuridiche, il testo incorpora una serie di obblighi aggiuntivi rivolti agli sviluppatori di intelligenza artificiale. In primo luogo, dovranno applicare il principio di minimizzazione dei dati fin dalla propria selezione delle fonti di informazione, oltre a implementare strumenti destinati a prevenire filtrazioni o divulgazioni indebite.
Insieme a queste garanzie, la proposta riconosce agli utenti il diritto incondizionato di opporsi al trattamento dei propri dati personali per lo sviluppo di queste tecnologie.
Un altro dei cambiamenti rilevanti riguarda la stessa interpretazione del concetto di dato personale. Gli Stati membri hanno voluto chiarire che, seguendo la giurisprudenza della Corte di Giustizia dell'Unione Europea (CGUE), un'informazione non deve essere necessariamente considerata un dato personale per qualsiasi ente solo perché un terzo possa identificare l'utente.
In questo modo, quando un'organizzazione non disponga di mezzi ragionevoli per identificare una persona, tale informazione potrà smettere di essere considerata un dato personale dal punto di vista di detto ente. Questa interpretazione riguarda anche i dati pseudonimizzati trasmessi a terzi, che potranno rimanere al di fuori di questa considerazione per il ricevente quando la possibilità di reidentificazione sia insignificante o tecnicamente impossibile.
Inoltre, la bozza introduce aggiustamenti nell'esercizio dei diritti di accesso previsti nel RGPD. I responsabili del trattamento potranno rifiutare o addebitare per quelle richieste che risultano manifestamente abusive o eccessive, incluse le richieste automatizzate massicce lanciate tramite agenti di IA malevoli.
Una riorganizzazione dell'ecosistema normativo europeo
Oltre alla protezione dei dati, l'omnibù digitale propone una ristrutturazione dell'ecosistema normativo europeo con un impatto diretto sulla competitività del settore tecnologico dell'Unione.
La proposta prevede l'abrogazione di capitoli completi della Legge di Governance dei Dati e l'integrazione delle disposizioni della Direttiva sui Dati Aperti all'interno della Legge sui Dati. Con ciò, Bruxelles intende concentrare buona parte del quadro normativo in due grandi strumenti normativi, riducendo la frammentazione legislativa e i carichi amministrativi per le imprese.
Secondo quanto affermano le istituzioni comunitarie, questa riorganizzazione permetterà di semplificare le procedure necessarie per accedere a dati pubblici e di ricerca, facilitando il loro riutilizzo da parte degli operatori economici. Inoltre, i registri dei servizi di intermediazione dei dati e delle organizzazioni di altruismo dei dati passeranno ad avere carattere volontario, accompagnati da un marchio di riconoscimento dell'UE.
Il testo incorpora anche disposizioni destinate a rafforzare la posizione delle piccole e medie imprese rispetto alle grandi piattaforme tecnologiche. In particolare, le autorità pubbliche potranno stabilire condizioni speciali e tariffe più elevate per i gatekeepers, cioè i custodi di accesso designati ai sensi della Legge sui Mercati Digitali, quando richiedono di riutilizzare determinati dati aperti o protetti.
Infine, il Consiglio introduce un cosiddetto "meccanismo di freno di mano" destinato a proteggere i segreti commerciali e industriali dalle richieste di accesso provenienti da paesi terzi. Questo strumento permetterà di stabilire restrizioni quando esistono rischi di filtrazione di informazioni aziendali sensibili o quando le giurisdizioni richiedenti non offrono garanzie legali sufficienti per assicurare la loro protezione.
Con questo insieme di modifiche, i Ventisette cercano di avanzare verso un quadro digitale meno frammentato e più favorevole allo sviluppo tecnologico europeo. Tuttavia, l'equilibrio tra la semplificazione normativa, la competitività dell'industria e la protezione efficace dei diritti fondamentali tornerà a trovarsi al centro delle negoziazioni con l'Eurocamera, specialmente per quanto riguarda il uso di dati personali e categorie speciali di informazioni per l'addestramento dell'intelligenza artificiale.