Il parere del Garante Europeo sull’AI dell’ 11 Ottobre 2023. Il Garante europeo della protezione dei dati (GEPD) è un’istituzione indipendente dell’UE, responsabile ai sensi dell’articolo 52, paragrafo 2, del regolamento 2018/1725 “In relazione al trattamento dei dati personali … per garantire che le istituzioni dell’Unione rispettino i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati.
Il Il parere del Garante Europeo sull’AI opera per la protezione dei dati, affinchè le normative siano rispettate dalle istituzioni e dagli organismi dell’Unione e, ai sensi dell’articolo 52, paragrafo 3, “… per fornire consulenza alle istituzioni e agli organismi dell’Unione e agli interessati in materia di protezione dei dati”.
dell’Unione e gli interessati su tutte le questioni relative al trattamento dei dati personali”.
Wojciech Rafał Wiewiórowski è stato nominato garante il 5 dicembre 2019 per un mandato di cinque anni.
Ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, la Commissione “dopo l’adozione della proposta di atto legislativo, di raccomandazioni o di proposte al Consiglio ai sensi dell’art
218 TFUE o quando preparano atti delegati o atti di esecuzione, può consultare il GEPD (Garante Europeo della Protezione de Dati) laddove esista un impatto sulla tutela dei diritti e delle libertà delle persone fisiche con riguardo al trattamento dei dati personali e ai sensi dell’articolo 57, paragrafo 1, lettera g), il GEPD «consiglia, di propria iniziativa o su richiesta, tutte le Istituzioni e organi dell’Unione sulle misure legislative e amministrative relative alla tutela dei
diritti e libertà delle persone fisiche con riguardo al trattamento dei dati personali».
Il presente parere di iniziativa riguarda due proposte adottate dalla Commissione il 28 settembre 2022,
in riferimento ad alcune criticità sul sistema di responsabilità extracontrattualedi tipo “tradizionale” in materia di AI (intelligenza artificiale).
Inoltre, il parere del Garante Europeo sull’AI non pregiudica azioni future che potrebbero essere intraprese dal GEPD nell’esercizio dei suoi poteri a norma del regolamento (UE)
2018/1725. Il parere si limita alle disposizioni della proposta che risultano rilevanti dai dati in
prospettiva di protezione.
Introduzione
Il 28 settembre 2022, la Commissione europea ha presentato le seguenti proposte (“le proposte”): “La Commissione europea ha presentato le seguenti proposte:
- Proposta di direttiva del Parlamento europeo e del Consiglio in materia di responsabilità per danno da prodotti difettosi (“Proposta PLD”)
- Proposta di direttiva del Parlamento europeo e del Consiglio sull’adattamento delle norme di responsabilità civile extracontrattuale all’intelligenza artificiale (“Proposta AILD”).
Un obiettivo comune delle proposte è quello di adattare le norme sulla responsabilità civile all’era digitale, al fine di
garantire che le vittime beneficino degli stessi standard di protezione quando sono danneggiate da prodotti o servizi di
prodotti o servizi di intelligenza artificiale (IA), come se il danno fosse causato in qualsiasi altra circostanza.
A questo proposito, l’obiettivo è quello di “formare un sistema di responsabilità civile efficace nel suo complesso .
Le due proposte sono strettamente collegate e si completano a vicenda. La proposta PLD
riguarda la responsabilità senza colpa del produttore per i prodotti difettosi e aggiornerebbe l’attuale quadro giuridico includendo il software e i file di fabbricazione digitale nel quadro giuridico attuale, includendo il software e i file di fabbricazione digitale nella definizione di prodotto e chiarendo quando un servizio correlato deve essere trattato come un prodotto e chiarendo quando un servizio correlato deve essere trattato come un componente di un prodotto.
La responsabilità consentirà il risarcimento dei danni materiali derivanti da morte, lesioni personali, danni alla proprietà e perdita di beni.
Lesioni personali, danni alla proprietà e perdita o corruzione di dati.
La proposta AILD riguarda le richieste di risarcimento per responsabilità perseguite nell’ambito dei regimi nazionali di responsabilità per colpa nei casi in cui determinati sistemi di intelligenza artificiale sono coinvolti nella causazione di danni.
Il Il parere del Garante Europeo sull’AI stabilisce regole uniformi per l’accesso alle informazioni e l’alleggerimento dell’onere della prova in relazione ai danni causati da alcuni sistemi di IA.
Le proposte fanno parte di un pacchetto di misure a sostegno della diffusione dell’intelligenza artificiale in Europa, che comprende anche una proposta legislativa che stabilisce le norme orizzontali per l’accesso all’intelligenza artificiale.
La proposta legislativa stabilisce regole orizzontali sui sistemi di intelligenza artificiale e una revisione delle norme settoriali e orizzontali sulla sicurezza dei prodotti. Tali misure sono in linea con gli obiettivi del “Libro bianco “White Paper” sull’intelligenza artificiale in cui la Commissione si è impegnata a promuovere l’adozione dell’IA e ad affrontare i rischi associati ad alcuni suoi usi.
Rischi associati ad alcuni dei suoi utilizzi.
Osservazioni generali
Il GEPD accoglie con favore l’iniziativa della Commissione, che mira a garantire che le vittime dei danni causati dall’IA godano di un livello di protezione equivalente a quello di cui godono le persone
che chiedono un risarcimento per danni causati senza il coinvolgimento di un sistema di IA9.
A questo proposito, il GEPD sostiene la conclusione della Commissione secondo cui le caratteristiche specifiche dei sistemi di IA “possono rendere difficile o proibitivo per le vittime identificare il responsabile e provare i requisiti per un’azione legale responsabile e dimostrare i requisiti per una richiesta di risarcimento di responsabilità” .
La necessità di stabilire norme specifiche in materia di responsabilità nel contesto dell’uso dei sistemi di IA è stata chiaramente identificata dalla Commissione, in particolare nella relazione sulla valutazione d’impatto che accompagna la proposta AILD . Il GEPD Garante Europeo sull’AI concorda sul fatto che, a causa delle caratteristiche dei sistemi di IA, quali l’opacità, l’autonomia, la complessità, l’adattamento continuo e la mancanza di prevedibilità, le attuali norme in materia di responsabilità, in particolare quelle basate sulla colpa, potrebbero non essere adatte a gestire le richieste di risarcimento per danni causati da prodotti e servizi abilitati all’IA e devono quindi essere modernizzate.
Nel loro parere congiunto sulla proposta di regolamento che stabilisce norme armonizzate in materia di
intelligenza artificiale (legge sull’IA), il GEPD Garante Europeo sull’AI ha esortato i legislatori a trattare esplicitamente i diritti e i rimedi a disposizione dei consumatori.
Uno dei principali obiettivi del presente parere del Garante Europeo sull’AI è valutare in che misura le due proposte rispondano all’esigenza di garantire che le persone danneggiate dai sistemi di intelligenza artificiale siano in grado di ottenere rimedi nella pratica.
Inoltre, il GEPD Garante Europeo sull’AI ritiene che l’ambito di applicazione delle due proposte e il loro rapporto con il diritto dell’Unione in materia di protezione dei dati devono essere attentamente analizzate al fine di assicurare un quadro giuridico completo e coerente che garantisca l’accesso a ricorsi efficaci.
Nel contesto specifico dei sistemi di IA.
Il GEPD Garante Europeo sull’AI condivide il parere della Commissione secondo cui la sicurezza e la responsabilità sono due facce della stessa medaglia, che si rafforzano a vicenda.
Sebbene le norme volte a garantire la sicurezza e a proteggere i diritti fondamentali ridurranno i rischi, ma non li elimineranno del tutto. Pertanto, il GEPD Garante Europeo sull’AI sottolinea che le norme aggiuntive in materia di responsabilità non dovrebbero comportare un abbassamento delle
garanzie applicate per ridurre i rischi creati dall’IA. Ancora più importante, l’attuazione di nuove norme in materia di responsabilità non dovrebbe essere considerata come un’alternativa al
divieto di usare alcuni sistemi di IA che presentano rischi inaccettabili, come individuato dal GEPD Garante Europeo sull’AI e dalla Commissione.
Nel parere congiunto sulla proposta di regolamento, il Garante Europeo sull’AI stabilisce norme armonizzate sull’intelligenza artificiale, su sistemi di IA per il “social scoring”, identificazione biometrica a distanza in spazi accessibili al pubblico, su sistemi di IA che categorizzano gli individui in base alla loro identificazione biometrica a distanza in spazi accessibili al pubblico, sistemi di IA che categorizzano gli individui a partire da dati biometrici, sistemi di intelligenza artificiale che deducono le emozioni, ecc.
Responsabilità delle istituzioni, degli organi e delle agenzie dell’UE
La proposta di legge sull’IA si applicherebbe alle istituzioni, agli uffici, agli organi e alle agenzie dell’Unione (IUE) quando agiscono come fornitori o utenti di un sistema di IA. Nel parere congiunto sulla proposta di di legge sull’IA, il GEPD Garante Europeo sull’AI ha sostenuto con forza il fatto che l’ambito di applicazione della proposta copra la fornitura e l’utilizzo di sistemi di IA da parte delle IUE, sottolineando che “poiché l’utilizzo di sistemi di IA da parte delle IUE può anche avere un impatto significativo sui diritti fondamentali delle persone, come l’uso all’interno degli Stati membri dell’UE, è indispensabile che il nuovo quadro normativo per l’IA si applichi a entrambi gli Stati membri dell’UE.
Il quadro normativo per l’IA si applichi sia agli Stati membri dell’UE che alle istituzioni, agli uffici, agli organi e alle agenzie dell’UE, al fine di garantire un quadro coerente in tutta l’Unione”.
Il GEPD Garante Europeo sull’AI rileva che né la proposta AILD né la proposta PLD sembrano applicarsi ai casi di danni derivanti dall’IA.
Il GEPD Garante Europeo sull’AI ricorda a questo proposito che le norme che disciplinano la responsabilità extracontrattuale per i danni causati dagli organi dell’Unione o dalle sue agenzie, sono quelle dell’articolo 340, paragrafo 2, del TFUE, come interpretato dalla CGUE. Allo stesso tempo, la scelta dello strumento giuridico per le proposte, ossia le direttive ai sensi dell’articolo 288 del TFUE,
implica che le norme previste, comprese le garanzie procedurali di cui agli artt.
3 e 4 della proposta AILD, sono rivolte agli Stati membri dell’UE e non hanno un’incidenza giuridica diretta sulla responsabilità extracontrattuale.
Tenendo conto dei diversi quadri giuridici in materia di responsabilità extracontrattuale applicabili agli
Stati membri e agli IUE, il GEPD Garante Europeo sull’AI invita i colegislatori e la Commissione a
prendere in considerazione le misure necessarie per affrontare questa situazione e quindi garantire che le persone che hanno subito danni causati da sistemi di IA prodotti e/o utilizzati dalle istituzioni dell’UE,
istituzioni, organi e agenzie dell’UE non si trovino in una posizione meno favorevole e godano degli stessi diritti di protezione rispetto alle persone che hanno subito danni causati da sistemi di IA
prodotti e/o utilizzati da attori privati o autorità nazionali.
Il rapporto tra le Proposte e la vigente normativa dell’UE in materia di protezione dei dati
Il GEPD Garante Europeo sull’AI ritiene importante garantire che le proposte non incidano sull’applicabilità del diritto dell’Unione in materia di protezione dei dati personali.
Pertanto, si compiace del fatto che che questo punto sia espressamente indicato nell’articolo 2, paragrafo 3, lettera a), della proposta di direttiva PLD.
Allo stesso tempo, le norme dell’Unione sulla protezione dei dati personali non sono menzionate tra le norme che non dovrebbero essere influenzate dalla proposta 17 dell’AILD.
Il GEPD Garante Europeo sull’AI rileva inoltre che la relazione che accompagna la proposta PLD
proposta specifica che il regolamento (UE) 2016/67918 (“il GDPR”) riguarda la responsabilità degli incaricati del trattamento e dei responsabili del trattamento dei dati per i danni materiali,
mentre la proposta PLD prevede il risarcimento solo per i danni materiali derivanti da morte, lesioni personali, danni alla proprietà e perdita o corruzione di dati.
In effetti, l’articolo 4 della proposta PLD include nella definizione di “danno” la “perdita o la corruzione di dati che non sono utilizzati esclusivamente”.
GEPD Garante Europeo sull’AI rileva, tuttavia, che è molto probabile che i dati in questione possano includere anche dati personali.
Dato che la definizione di danno ai sensi della proposta di direttiva PLD si limita a
danni materiali che potrebbero essere causati dalla perdita o dalla corruzione dei dati, potrebbero essere pochi i casi in cui il regime di responsabilità della proposta di PLD in cui il regime di responsabilità della direttiva PLD sarebbe rilevante per le persone che subiscono danni causati da sistemi di IA che comportano attività di trattamento che costituiscono una violazione del GDPR.
Allo stesso tempo, non è inconcepibile che il danno arrecato a un individuo da un prodotto di IA rappresenti anche un danno fisico o materiale.
Il prodotto rappresenta anche un danno fisico o materiale ai sensi del considerando 75 del GDPR, il che
che comporterebbe l’applicazione parallela del regime di responsabilità previsto dall’attuale quadro normativo dell’UE in materia di protezione dei dati dell’UE. Nel caso di un set di dati costituito da dati personali e non personali in cui i due tipi di dati sono indissolubilmente legati, il GEPD Il parere del Garante Europeo sull’AI ritiene, in linea con gli orientamenti della Commissione , che il GDPR si applichi all’intero insieme di dati.
In considerazione dell’articolo 2, paragrafo 3, lettera a), della proposta di direttiva sulla protezione dei dati, il GEPD Garante Europeo sull’AI ritiene che in tali circostanze le persone fisiche che hanno subito un danno possano scegliere se basare le loro richieste di risarcimento sulla DPP riveduta o sulle disposizioni pertinenti del GDPR o della direttiva (UE) 2016/68023 (“‘DPP'”).
Il GEPD Garante Europeo sull’AI è convinto che lo stesso principio debba applicarsi anche alla proposta AILD.
Pertanto il GEPD Garante Europeo sull’AI raccomanda, come minimo, di fare un riferimento esplicito nella proposta AILD alle norme dell’Unione in materia di protezione dei dati personali tra le norme che non sarebbero interessate da tale proposta, in modo da non limitare in alcun modo le potenziali vie di ricorso per le persone.
Il GEPD Garante Europeo sull’AI ricorda inoltre che, in uno spirito di chiarezza, si dovrebbe prestare particolare attenzione alla coerenza dei ruoli e delle responsabilità delle autorità competenti.
Commenti specifici sulla proposta AILD
Relazione con la proposta di legge sull’IA
In via preliminare, il GEPD Garante Europeo sull’AI sostiene l’intenzione della Commissione di assicurare
la coerenza tra la proposta AILD e il principale quadro normativo dell’Unione in materia di IA.
Sebbene la proposta di legge sull’IA e la proposta sull’AILD facciano parte dello stesso pacchetto legislativo il GEPD Garante Europeo sull’AI ricorda che hanno finalità diverse: la prima mira a stabilire norme orizzontali sull’IA, la seconda mira a stabilire norme orizzontali sull’IA.
norme orizzontali sull’IA, mentre la seconda mira ad affrontare le questioni di responsabilità connesse ai sistemi di IA.
In questo contesto, il GEPD teme che le norme specifiche previste dall’AILD si applichino principalmente ai sistemi di IA “di alto livello”.
Ovvero ai “sistemi di IA ad alto rischio”, come indicato nella proposta di legge sull’IA.
Tuttavia, i danni effettivi causati dai sistemi di IA non etichettati come ad alto rischio potrebbero ancora essere molto significativi.
Significativi nella pratica. Potrebbe essere il caso, per esempio, dei sistemi di IA destinati a prendere decisioni sull’idoneità delle persone fisiche per l’assicurazione sulla casa o sulla responsabilità civile.
Inoltre, le vittime di danni causati da sistemi di intelligenza artificiale non etichettati come ad alto rischio
possono incontrare difficoltà simili nell’ottenere prove a sostegno della loro richiesta di risarcimento.
Secondo la proposta AILD, il nuovo meccanismo di divulgazione delle prove di cui all’articolo 3 sarebbe limitato solo ai sistemi ad alto rischio. Allo stesso tempo, l’accesso alle informazioni
di specifici sistemi di IA sospettati di aver causato un danno potrebbe essere un fattore importante e persino cruciale per per corroborare la richiesta di risarcimento dell’individuo danneggiato.
Analogamente, l’articolo 4 dell’AILD, stabilisce una presunzione confutabile di nesso causale tra la colpa del fornitore o dell’utente e la colpa dell’utente.
Tra la colpa del fornitore o dell’utente e l’output prodotto dal sistema di IA, o l’incapacità del sistema di IA di produrre un risultato, si applicherebbe principalmente ai sistemi di IA ad alto rischio.
La presunzione dovrebbe essere applicata anche ai sistemi di IA che non sono ad alto rischio, ma solo nei casi in cui i tribunali nazionali la ritengano “eccessiva”.
Sistemi di intelligenza artificiale non classificati come “ad alto rischio
Il GEPD ritiene che i sistemi di IA, che non sono classificati come “ad alto rischio”,
hanno il potenziale per danneggiare in modo significativo le persone, anche se tali sistemi non sono ritenuti dello stesso livello di rischio per la società in generale.
Il GEPD ricorda che lo scopo dichiarato della Proposta AILD è “garantire che le persone
che chiedono un risarcimento per i danni causati loro da un sistema di IA godano di un livello di protezione equivalente a quello di cui godono le persone che chiedono un risarcimento per danni causati senza il coinvolgimento di un sistema di intelligenza artificiale. Alla luce dell’obiettivo di creare tali condizioni di parità, vi è un argomento ancora più forte per non differenziare tra gli individui colpiti dai sistemi di IA classificati ad alto rischio o non ad alto rischio.
Per queste ragioni, il GEPD raccomanda che sia il meccanismo di divulgazione delle prove
tra le diverse opzioni politiche, poiché questa regola è stata criticata come ingiustificata da alcuni rappresentanti dell’industria tecnologica e del software.
Il GEPD invita pertanto i colegislatori a considerare delle misure aggiuntive per alleggerire ulteriormente l’onere della prova e che costituiscano un approccio più equo ed equilibrato per affrontare le sfide poste dai sistemi di IA all’efficacia delle norme nazionali e dell’UE in materia di responsabilità.
Revisione
Il GEPD non sottovaluta la difficoltà di stabilire nuove regole di responsabilità in un settore in continua evoluzione come l’IA.
il GEPD rileva positivamente che il riesame dell’AILD esaminerà specificamente “l’adeguatezza delle norme sulla responsabilità senza colpa per le richieste di risarcimento nei confronti degli operatori di determinati sistemi di IA . Tuttavia, ai sensi dell’articolo 5, paragrafo 2, della
della Proposta AILD, il riesame è previsto dopo un periodo relativamente lungo di 5 anni.
Alla luce di quanto sopra, il GEPD raccomanda di abbreviare il periodo di revisione, al fine di ottenere r
comprendere tempestivamente la misura in cui le persone fisiche che hanno subito danni
causati da un sistema di IA abbiano un accesso effettivo al risarcimento.
Conclusioni
Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni:
- Garantire che le persone che hanno subito danni causati da sistemi di intelligenza artificiale prodotti e/o utilizzati da istituzioni, organi e agenzie dell’UE non si trovino in una posizione meno favorevole e possano godere di un livello di protezione equivalente a quello previsto nelle proposte.
- Confermare esplicitamente che la proposta AILD non pregiudica la normativa dell’Unione in materia di protezione dei dati;
- Estendere le garanzie procedurali previste dagli articoli 3 e 4 della proposta AILD, vale a dire la divulgazione delle prove e la presunzione del nesso di causalità, a tutti i casi di danni causati da un sistema di IA, indipendentemente dalla sua classificazione come ad alto rischio o non ad alto rischio;
- Assicurare che le informazioni divulgate ai sensi dell’articolo 3 della Proposta AILD siano accompagnate da spiegazioni da fornire in forma intelligibile e generalmente comprensibile;
- Eliminare le ultime due frasi del considerando 15 della proposta AILD;
- Considerare ulteriori misure per alleggerire ulteriormente l’onere della prova per le vittime dei sistemi di IA come mezzo per garantire l’efficacia delle norme UE e nazionali in materia di responsabilità;
- Ridurre il periodo di revisione di cui all’articolo 5, paragrafo 2, della proposta AILD.
(fonte)
Innovaformazione, scuola informatica specialistica promuove la cultura dell’ AI (Artificial Intelligence) e si occupa di formazione (per aziende) ambito Data Science con Python e Deep Learning con TensorFlow.
INFO: info@innovaformazione.net – tel. 3471012275 (Dario Carrassi)