Sintesi del parere del Garante europeo della protezione dei dati sul libro bianco della Commissione europea sull’intelligenza artificiale — Un approccio europeo all’eccellenza e alla fiducia)

(Il testo integrale del presente parere è disponibile in tedesco, inglese e francese sul sito web del GEPD www.edps.europa.eu)

(2020/C 392/03)

Sintesi

Il 19 febbraio 2020, la Commissione europea ha pubblicato un libro bianco su «L’intelligenza artificiale: un approccio europeo all’eccellenza e alla fiducia», che fa parte di un più ampio pacchetto di documenti strategici, che comprende anche una comunicazione su «Una strategia europea per i dati».

L’obiettivo del libro bianco è duplice: definisce infatti le opzioni strategiche per promuovere l’adozione dell’intelligenza artificiale («IA») e per affrontare «i rischi associati a determinati utilizzi di questa nuova tecnologia». Per raggiungere tali obiettivi, il libro bianco propone una serie di azioni volte a promuovere lo sviluppo e l’adozione dell’IA e un nuovo quadro normativo che affronti le preoccupazioni specifiche concernenti l’IA che l’attuale quadro normativo potrebbe non affrontare.

Il presente parere presenta le opinioni del GEPD sul libro bianco nel suo complesso, nonché su taluni aspetti specifici, quali l’approccio basato sul rischio proposto, l’applicazione della normativa sull’IA o le prescrizioni specifiche per l’identificazione biometrica remota (compreso il riconoscimento facciale).

Il GEPD riconosce che l’importanza e l’impatto dell’IA stanno aumentando, tuttavia essa comporta dei rischi e non è la soluzione ottimale che risolverà tutti i problemi. Vantaggi, costi e rischi dovrebbero essere considerati da chiunque adotti una tecnologia, soprattutto dalle amministrazioni pubbliche che trattano grandi quantità di dati personali.

Il GEPD accoglie con grande favore i numerosi riferimenti del libro bianco a un approccio europeo all’IA, fondato sui valori e sui diritti fondamentali dell’UE, e la considerazione data alla necessità di rispettare la legislazione europea in materia di protezione dei dati.

Di conseguenza, le raccomandazioni nel presente parere sono intese a chiarire e, ove necessario, sviluppare ulteriormente le misure di salvaguardia e i controlli con riguardo alla protezione dei dati personali, tenendo in considerazione il contesto specifico dell’IA.

A tal fine, il GEPD raccomanda in particolare che qualsiasi nuovo quadro normativo per l’IA:

— si applichi sia agli Stati membri dell’UE che alle istituzioni, agli organi e agli organismi dell’Unione;

— sia concepito per proteggere da qualsiasi impatto negativo, non solo sui singoli individui, ma anche sulle comunità e sulla società nel suo complesso;

— proponga un regime di classificazione dei rischi più solido e dettagliato, che garantisca che a qualsiasi potenziale danno significativo posto dalle applicazioni di IA corrispondano adeguate misure di mitigazione;

— includa una valutazione d’impatto che definisca chiaramente le lacune normative che intende colmare;

— eviti la sovrapposizione di diverse autorità di vigilanza e preveda un meccanismo di cooperazione.

Per quanto riguarda l’identificazione biometrica remota, il GEPD sostiene l’idea di una moratoria sulla diffusione, nell’UE, del riconoscimento automatizzato negli spazi pubblici delle sembianze umane, non solo dei volti, ma anche dell’andatura, delle impronte digitali, del DNA, della voce, dell’azionamento di tasti e di altri segnali biometrici o comportamentali, in modo che si possa svolgere un dibattito informato e democratico e fino al momento in cui l’Unione e gli Stati membri dispongano di tutte le misure di salvaguardia appropriate, compreso un quadro giuridico completo per garantire la proporzionalità dei rispettivi sistemi e tecnologie per il caso d’uso specifico.

Il GEPD rimane a disposizione della Commissione, del Consiglio e del Parlamento europeo per fornire ulteriore consulenza e si aspetta di essere consultato a tempo debito, come previsto dall’articolo 42 del regolamento (UE) 2018/1725. Le osservazioni contenute nel presente parere non pregiudicano ulteriori osservazioni che potranno essere formulate in futuro su aspetti specifici e/o in caso di disponibilità di ulteriori informazioni.

1. INTRODUZIONE E CONTESTO

1. Il libro bianco della Commissione su «L’intelligenza artificiale - Un approccio europeo all’eccellenza e alla fiducia» ( 1 ) («il libro bianco») fa parte dell’iniziativa n. 10 («Un approccio europeo all’intelligenza artificiale») e rientra nel capitolo «Un’Europa pronta per l’era digitale» del programma di lavoro della Commissione per il 2020.

2. Il GEPD osserva che il libro bianco è strettamente collegato alla «Comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni - Una strategia europea per i dati» ( 2 ) («la strategia per i dati»), in relazione alla quale il GEPD ha adottato un parere separato ( 3 )

3. Il GEPD è stato consultato dalla Commissione il 29 gennaio 2020 in relazione al progetto del libro bianco e ha quindi presentato osservazioni informali preliminari. Il GEPD si compiace che le sue opinioni siano state richieste in una fase iniziale della procedura e incoraggia la Commissione a proseguire questa buona pratica.

4. Il libro bianco è soggetto a consultazione pubblica allo scopo di raccogliere opinioni sul libro bianco nel suo complesso, ma anche su taluni aspetti specifici. Un’analoga consultazione pubblica era stata avviata in merito alla comunicazione della Commissione europea «Una strategia europea per i dati».

5. Il presente parere rielabora alcune delle osservazioni informali del GEPD e fornisce un contributo più mirato alla Commissione europea alla luce della consultazione pubblica. Inoltre, il presente parere non pregiudica eventuali ulteriori osservazioni che il GEPD potrebbe formulare sulla base di altre informazioni che risultassero disponibili in un momento successivo, compreso nel contesto delle future consultazioni legislative sugli atti giuridici previsti dal libro bianco e dal programma di lavoro della Commissione.

6. Sebbene le istituzioni, gli organi e gli organismi dell’Unione europea siano soggetti all’EUDPR anziché al GDPR, entrambi i regolamenti perseguono gli stessi obiettivi e i loro principi sono identici ( 4 ) . Per riflettere tale coerenza, qualsiasi riferimento a una disposizione del GDPR nel presente parere indicherà tra parentesi anche la corrispondente disposizione dell’EUDPR.

7. Nell’interesse di un approccio coerente in tutta l’Unione , il GEPD raccomanda che qualsiasi nuovo quadro normativo per l’IA si applichi sia agli Stati membri dell’UE che alle istituzioni, agli organi e agli organismi dell’Unione. Laddove questi ultimi facciano uso dell’intelligenza artificiale («IA»), dovrebbero essere soggetti alle stesse norme che si applicano negli Stati membri dell’UE.

3. CONCLUSIONI

77. Il GEPD concorda pienamente con la Commissione sulla necessità di un approccio europeo all’IA e accoglie con grande favore, a questo proposito, l’impegno del libro bianco in favore dei diritti fondamentali e dei valori europei.

78. Tuttavia, il GEPD ritiene che le proposte contenute nel libro bianco necessitino di ulteriori adeguamenti e chiarimenti in merito ad alcune questioni pertinenti. Tra gli argomenti che richiederebbero maggiore chiarezza in qualsiasi futura proposta legislativa figurano il legame tra i rischi posti dall’IA e le relative lacune legislative, l’approccio basato sui rischi applicato alle applicazioni dell’IA e la definizione dell’IA stessa, che dovrebbe consentire di definire chiaramente l’ambito di applicazione della legislazione proposta.

79. Il GEPD raccomanda inoltre che qualsiasi nuovo quadro normativo per l’IA: — si applichi sia agli Stati membri dell’UE che alle istituzioni, agli organi e agli organismi dell’Unione; — sia concepito per proteggere da qualsiasi impatto negativo, non solo sui singoli individui, ma anche sulle comunità e sulla società nel suo complesso; — proponga un regime di classificazione dei rischi più solido e dettagliato, che garantisca che a qualsiasi potenziale danno significativo posto dalle applicazioni di IA corrispondano adeguate misure di mitigazione; — includa una valutazione d’impatto che definisca chiaramente le lacune normative che intende colmare; — eviti la sovrapposizione di diverse autorità di vigilanza e preveda un meccanismo di cooperazione.

80. Per quanto riguarda l’identificazione biometrica remota, il GEPD sostiene l’idea di una moratoria sulla diffusione, nell’UE, del riconoscimento automatizzato negli spazi pubblici delle sembianze umane, non solo dei volti, ma anche dell’andatura, delle impronte digitali, del DNA, della voce, dell’azionamento di tasti e di altri segnali biometrici o comportamentali, in modo che si possa svolgere un dibattito informato e democratico e fino al momento in cui l’Unione e gli Stati membri dispongano di tutte le misure di salvaguardia appropriate, compreso un quadro giuridico completo per garantire la proporzionalità dei rispettivi sistemi e tecnologie per il caso d’uso specifico.

81. Se vi sarà un nuovo quadro giuridico, come indicato nel libro bianco e nel programma di lavoro della Commissione, il GEPD fornirà alla Commissione ulteriore consulenza, come previsto dall’articolo 42 dell’EUDPR.

Bruxelles, 29 giugno 2020 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2020) 65 final.

(2) COM(2020) 66 final.

(3) Parere 3/2020 del GEPD sulla strategia europea per i dati, https://edps.europa.eu/sites/edp/files/publication/20-06-16_opinion_data_strategy_en.pdf

(4) Ogniqualvolta le disposizioni del regolamento (UE) 2018/1725 seguono gli stessi principi delle disposizioni del regolamento (UE) 2016/679, conformemente alla giurisprudenza della Corte di giustizia dell’Unione europea, le disposizioni dei due regolamenti dovrebbero essere interpretate in modo omogeneo, in particolare in considerazione del fatto che il regime del regolamento EUDPR dovrebbe essere inteso come equivalente a quello del GDPR; cfr. considerando 5, EUDPR, che fa riferimento alla sentenza della Corte di giustizia del 9 marzo 2010, Commissione europea contro Repubblica federale di Germania, causa C-518/07, ECLI:EU:C:2010:125 paragrafo 28.