Testo dell'articoloVigente
Art. 61 Reg. (UE) 2024/1689 – Consenso informato a partecipare a prove in condizioni reali al di fuori degli spazi di sperimentazione normativa per l’IA
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. Ai fini delle prove in condizioni reali a norma dell'articolo 60, il consenso informato dato liberamente dai soggetti delle prove è ottenuto prima della loro partecipazione a tali prove e dopo che sono stati debitamente informati con indicazioni concise, chiare, pertinenti e comprensibili riguardanti:
a) la natura e gli obiettivi delle prove in condizioni reali e i possibili disagi che possono essere connessi alla loro partecipazione;
b) le condizioni alle quali devono essere effettuate le prove in condizioni reali, compresa la durata prevista della partecipazione del soggetto o dei soggetti;
c) i loro diritti e le garanzie riconosciute al soggetto in relazione alla loro partecipazione, in particolare il loro diritto di rifiutarsi di partecipare e il diritto di ritirarsi dalle prove in condizioni reali in qualsiasi momento, senza alcun conseguente pregiudizio e senza dover fornire alcuna giustificazione;
d) le modalità per richiedere che le previsioni, raccomandazioni o decisioni del sistema di IA siano ignorate o ribaltate;
e) il numero di identificazione unico a livello dell'Unione delle prove in condizioni reali conformemente all'articolo 60, paragrafo 4, lettera c), e i dati di contatto del fornitore o del suo rappresentante legale da cui è possibile ottenere ulteriori informazioni.
2. Il consenso informato è datato e documentato e una copia è consegnata ai soggetti delle prove o al loro rappresentante legale.
In sintesi
Indice dei contenuti
Le prove in condizioni reali e il loro contesto normativo
L'AI Act, agli artt. 60 e 61, disciplina un fenomeno molto concreto nella fase di sviluppo dei sistemi di IA: le prove in condizioni reali (real-world testing), cioè i test di un sistema di IA condotti al di fuori di un ambiente controllato di laboratorio, coinvolgendo persone reali in situazioni della vita quotidiana. A differenza dei test in sandbox normativa (art. 57 ss.), le prove disciplinate dall'art. 60 si svolgono anche al di fuori degli spazi di sperimentazione regolamentati.
L'art. 61 si occupa specificamente di un elemento fondamentale di queste prove: il consenso informato dei soggetti che vi partecipano. La norma si inserisce nel solco della tradizione bioetica e del diritto alla protezione dei dati personali, mutuando dal GDPR e dalla normativa sulla ricerca clinica i principi cardine del consenso libero, informato, specifico e revocabile.
I requisiti del consenso: cosa deve essere comunicato
Il par. 1 elenca cinque categorie di informazioni che devono essere fornite al soggetto prima che esprima il consenso:
La forma del consenso e la sua documentazione
Il par. 2 impone che il consenso sia datato, documentato e che una copia sia consegnata al soggetto o al suo rappresentante legale. Queste tre condizioni sono cumulative: il semplice consenso verbale non è sufficiente, così come una registrazione interna senza consegna di copia al soggetto.
L'obbligo di datazione è funzionale alla verifica che il consenso sia stato acquisito prima dell'inizio della prova. La consegna di una copia al soggetto è una garanzia concreta: il soggetto potrà sempre verificare cosa ha accettato e su questa base esercitare i propri diritti.
Coordinamento con il GDPR
Le prove in condizioni reali quasi inevitabilmente comportano il trattamento di dati personali: dati biometrici, comportamentali, di posizione, di interazione con il sistema. In questi casi, il consenso ai sensi dell'art. 61 dell'AI Act si affianca - senza sostituirlo - al consenso ai sensi del GDPR (art. 6 e, per i dati particolari, art. 9). Le due basi giuridiche servono scopi diversi: quella AI Act regola la partecipazione alla prova come soggetto; quella GDPR regola il trattamento dei dati personali. Entrambe devono essere acquisite e documentate separatamente.
I soggetti dovranno essere informati di entrambi i profili, e i loro diritti di revoca o opposizione ai sensi del GDPR restano integri indipendentemente dal consenso alla prova AI Act.
Implicazioni operative per i fornitori
Per chi conduce prove in condizioni reali, l'art. 61 impone una procedura di acquisizione del consenso strutturata e documentata. In pratica: predisposizione di un modulo di consenso informato che copra tutti i punti del par. 1; procedura di consegna della copia e archiviazione della documentazione; sistema per la gestione dei ritiri (comunicazione al soggetto delle modalità, procedure interne di trattamento dei dati raccolti prima del ritiro); integrazione con la documentazione tecnica della prova richiesta dall'art. 60. La mancata acquisizione del consenso informato, o l'acquisizione con informazioni incomplete, costituisce una violazione dell'AI Act che le autorità di vigilanza possono sanzionare.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Il soggetto può ritirarsi dalla prova dopo aver già fornito dati?
Sì, il diritto di ritiro è esercitabile in qualsiasi momento, senza pregiudizi e senza dovere di giustificazione. L'art. 61, par. 1, lett. c, è perentorio. Il ritiro non pregiudica la liceità dei dati raccolti prima del ritiro, ma il soggetto può esercitare separatamente i propri diritti ai sensi del GDPR (es. cancellazione dei dati) se i dati sono personali.
Il consenso dell'art. 61 sostituisce quello richiesto dal GDPR?
No, i due consensi hanno basi giuridiche e finalità diverse. Il consenso AI Act regola la partecipazione alla prova come soggetto. Il consenso GDPR (o altra base giuridica idonea) regola il trattamento dei dati personali raccolti durante la prova. Entrambi devono essere acquisiti e documentati separatamente.
Come deve essere redatto il modulo di consenso?
L'art. 61, par. 1, richiede informazioni 'concise, chiare, pertinenti e comprensibili'. Non esiste un formato obbligatorio, ma il modulo deve coprire tutti e cinque gli elementi elencati nell'articolo: natura e obiettivi, condizioni e durata, diritti e garanzie, modalità di contestazione degli output, numero di identificazione e recapito del fornitore. Deve essere datato e firmato; una copia va consegnata al soggetto.
Chi acquisisce il consenso se i soggetti sono minori o persone con ridotta capacità?
L'art. 61, par. 2, prevede che la copia del consenso possa essere consegnata anche al 'rappresentante legale'. Per i minori, il consenso deve essere acquisito dai genitori o tutori. Per le persone con ridotta capacità decisionale, si applicano le regole del diritto nazionale sulla rappresentanza legale.
Cosa succede se il fornitore non acquisisce il consenso o lo acquisisce in modo incompleto?
La mancata acquisizione o l'acquisizione incompleta del consenso ai sensi dell'art. 61 costituisce una violazione dell'AI Act, sanzionabile dalle autorità nazionali di vigilanza del mercato. Può inoltre comportare una violazione del GDPR se sono trattati dati personali senza base giuridica adeguata.