Testo dell'articoloVigente
Art. 78 Reg. (UE) 2024/1689 – Riservatezza
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. In conformità del diritto dell'Unione o nazionale, la Commissione, le autorità di vigilanza del mercato e gli organismi notificati, nonché le altre persone fisiche o giuridiche che partecipano all'applicazione del presente regolamento, garantiscono la riservatezza delle informazioni e dei dati ottenuti nello svolgimento dei loro compiti e delle loro attività in modo da tutelare, in particolare:
a) i diritti di proprietà intellettuale e le informazioni commerciali riservate o i segreti commerciali di una persona fisica o giuridica, compreso il codice sorgente, tranne nei casi di cui all'articolo 5 della direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio ( 57 ) ;
b) l'efficace attuazione del presente regolamento, in particolare ai fini delle ispezioni, delle indagini e degli audit;
c) gli interessi pubblici e di sicurezza nazionale;
d) lo svolgimento del procedimento penale o amministrativo;
e) le informazioni classificate a norma del diritto dell'Unione o nazionale.
2. Le autorità che partecipano all'applicazione del presente regolamento a norma del paragrafo 1 richiedono solo i dati strettamente necessari per la valutazione del rischio posto dai sistemi di IA e per l'esercizio dei loro poteri conformemente al presente regolamento e al regolamento (UE) 2019/1020. Esse pongono in essere misure di cibersicurezza adeguate ed efficaci per proteggere la sicurezza e la riservatezza delle informazioni e dei dati ottenuti e cancellano i dati raccolti non appena non sono più necessari per lo scopo per il quale sono stati ottenuti, conformemente al diritto dell'Unione o nazionale applicabile.
3. Fatti salvi i paragrafi 1 e 2, nel momento in cui i sistemi di IA ad alto rischio di cui all'allegato III, punti 1, 6 o 7, sono utilizzati dalle autorità competenti in materia di contrasto, di controllo delle frontiere, di immigrazione o di asilo, le informazioni scambiate in via riservata tra le autorità nazionali competenti, o tra le autorità nazionali competenti e la Commissione, non sono divulgate senza previa consultazione dell'autorità nazionale competente e del deployer che hanno prodotto tali informazioni, qualora tale divulgazione rischi di compromettere gli interessi pubblici e di sicurezza nazionale. Tale scambio di informazioni non riguarda i dati operativi sensibili in relazione alle attività delle autorità competenti in materia di contrasto, di controllo delle frontiere, di immigrazione o di asilo. Qualora le autorità competenti in materia di contrasto, di immigrazione o di asilo siano fornitori di sistemi di IA ad alto rischio di cui all'allegato III, punti 1, 6 o 7, la documentazione tecnica di cui all'allegato IV rimane nei locali di tali autorità. Tali autorità garantiscono che le autorità di vigilanza del mercato di cui all'articolo 74, paragrafi 8 e 9, a seconda dei casi, possano, su richiesta, accedere immediatamente alla documentazione o ottenerne una copia. Solo il personale dell'autorità di vigilanza del mercato in possesso di un nulla osta di sicurezza di livello adeguato è autorizzato ad accedere a tale documentazione o a una copia della stessa.
4. I paragrafi 1, 2 e 3 non pregiudicano i diritti o gli obblighi della Commissione, degli Stati membri e delle rispettive autorità pertinenti nonché quelli degli organismi notificati in materia di scambio delle informazioni e di diffusione degli avvisi di sicurezza, anche nel contesto della cooperazione transfrontaliera, né pregiudicano gli obblighi delle parti interessate di fornire informazioni a norma del diritto penale degli Stati membri.
5. La Commissione e gli Stati membri possono scambiare, ove necessario e conformemente alle pertinenti disposizioni degli accordi internazionali e commerciali, informazioni riservate con le autorità di regolamentazione dei paesi terzi con i quali abbiano concluso accordi di riservatezza, bilaterali o multilaterali, che garantiscano un livello di riservatezza adeguato.
In sintesi
Indice dei contenuti
La riservatezza come condizione di fiducia nel sistema di vigilanza
L'articolo 78 del Regolamento (UE) 2024/1689 disciplina un aspetto essenziale del sistema di governance: la riservatezza delle informazioni ottenute nell'esercizio dei poteri di vigilanza. Senza adeguate garanzie di riservatezza, le imprese - in particolare le startup e le PMI innovative - sarebbero riluttanti a condividere con le autorità la documentazione tecnica dei propri sistemi di IA, per il rischio di esporre segreti industriali o algoritmi proprietari. L'art. 78 risolve questo problema stabilendo un regime di confidenzialità strutturale a carico di tutti i soggetti pubblici e privati che intervengono nell'applicazione del regolamento.
Chi è soggetto all'obbligo di riservatezza
Il par. 1 enumera i soggetti vincolati: la Commissione europea, le autorità di vigilanza del mercato nazionali, gli organismi notificati e «le altre persone fisiche o giuridiche» che partecipano all'applicazione del regolamento. Quest'ultima categoria è ampia: include consulenti tecnici nominati dalle autorità, esperti coinvolti nelle valutazioni, personale delle strutture di coordinamento nazionali. La riservatezza non è facoltativa: è un obbligo giuridico che si affianca, e si cumula, con le disposizioni nazionali sul segreto d'ufficio e sulla tutela delle informazioni commerciali riservate.
Cosa deve essere protetto
L'elenco del par. 1 è indicativo, non esaustivo. Le categorie nominate meritano attenzione:
Il principio di minimizzazione e la cybersicurezza dei dati
Il par. 2 impone alle autorità un duplice vincolo operativo. In primo luogo, il principio di minimizzazione: le autorità «richiedono solo i dati strettamente necessari» per la valutazione del rischio. Non è ammissibile una raccolta sistematica di informazioni riservate al di là di quanto necessario per lo svolgimento del caso concreto. In secondo luogo, le autorità devono adottare «misure di cibersicurezza adeguate ed efficaci» per proteggere le informazioni ottenute e cancellarle non appena non sono più necessarie.
Questi obblighi sono paralleli a quelli previsti dal GDPR per il trattamento dei dati personali: quando la documentazione tecnica di un sistema di IA include dati personali (es. dataset di addestramento contenenti dati personali dei lavoratori), le autorità devono rispettare anche il Regolamento (UE) 2016/679 nel trattamento di tali dati.
Regime speciale per le autorità di sicurezza pubblica
Il par. 3 introduce un regime rafforzato per i sistemi di IA ad alto rischio utilizzati da autorità di contrasto, controllo delle frontiere, immigrazione e asilo (allegato III, punti 1, 6 e 7). Le informazioni riservate scambiate tra autorità nazionali competenti - o tra queste e la Commissione - non possono essere divulgate senza previa consultazione dell'autorità nazionale competente e del deployer che le hanno prodotte, «qualora tale divulgazione rischi di compromettere gli interessi pubblici e di sicurezza nazionale».
Va notata la previsione sulla documentazione tecnica: quando le autorità di contrasto, immigrazione o asilo sono esse stesse fornitrici di sistemi di IA ad alto rischio, la documentazione tecnica rimane «nei locali di tali autorità». Le autorità di vigilanza del mercato possono accedervi o ottenerne copia su richiesta, ma solo il personale con adeguato nulla osta di sicurezza è autorizzato. Questo regime bilanciato evita che ragioni di sicurezza nazionale si trasformino in uno schermo assoluto alla vigilanza.
Limiti della riservatezza: cooperazione e avvisi di sicurezza
Il par. 4 chiarisce che le disposizioni di riservatezza non impediscono lo scambio di informazioni tra autorità a fini di cooperazione transfrontaliera né la diffusione di avvisi di sicurezza. In altri termini, la riservatezza protegge le informazioni riservate dei singoli operatori, non la circolazione di informazioni tra autorità pubbliche finalizzata all'enforcement. Il par. 5 estende questa logica agli accordi internazionali con paesi terzi dotati di adeguate clausole di riservatezza reciproca.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Le autorità di vigilanza possono pubblicare informazioni ottenute durante le ispezioni?
Solo in misura compatibile con l'art. 78. Le informazioni che costituiscono segreti commerciali, codice sorgente o dati di proprietà intellettuale delle imprese sono protette dalla riservatezza. Le autorità possono pubblicare i risultati delle proprie indagini in forma anonimizzata o aggregata, senza rivelare le informazioni riservate dei singoli operatori.
Un fornitore può rifiutare di consegnare il codice sorgente a un'autorità di vigilanza?
No. L'art. 78 non consente al fornitore di negare l'accesso alla documentazione tecnica: tutela la riservatezza delle informazioni una volta acquisite dall'autorità, non limita i poteri di accesso di quest'ultima. Le autorità di vigilanza del mercato hanno poteri ispettivi definiti dall'art. 74 e dal Regolamento (UE) 2019/1020.
Le misure di cybersicurezza richieste alle autorità si applicano anche agli organismi notificati?
Sì. Il par. 1 include gli organismi notificati tra i soggetti obbligati alla riservatezza. Il par. 2 impone a tutte le autorità e agli organismi coinvolti di adottare misure di cybersicurezza adeguate per proteggere le informazioni acquisite. Gli organismi notificati devono integrare questi obblighi nei propri sistemi di gestione della sicurezza delle informazioni.
Le disposizioni di riservatezza limitano la cooperazione tra autorità di vigilanza di diversi Stati membri?
No. Il par. 4 chiarisce che le disposizioni di riservatezza non impediscono lo scambio di informazioni tra autorità a fini di cooperazione transfrontaliera né la diffusione di avvisi di sicurezza. La riservatezza protegge le informazioni riservate degli operatori privati, non la circolazione tra autorità pubbliche.
Un'impresa può invocare la riservatezza per impedire la segnalazione di un incidente grave?
No. L'art. 78 non limita gli obblighi di segnalazione degli incidenti gravi previsti dall'art. 73. La riservatezza riguarda il trattamento delle informazioni da parte delle autorità dopo la loro ricezione, non l'obbligo del fornitore di notificare gli incidenti. Ogni tentativo di sfruttare la riservatezza per evitare la segnalazione costituirebbe una violazione del regolamento.