Intelligenza artificiale nella PA: obblighi, rischi e sanzioni tra AI Act e GDPR

Vorresti saperne di più sulle sanzioni specifiche per la Pubblica Amministrazione locale in caso di uso improprio dei dati con intelligenza artificiale delineate principalmente dall’AI Act e dal GDPR? Forniamo diverse risposte a questo interrogativo nel seguente articolo.
L’AI Act, entrato in vigore nell’agosto 2024, introduce normative che impongono controlli rigorosi sull’affidabilità, la trasparenza e la sicurezza dell’intelligenza artificiale (IA), specialmente nei settori ad alto rischio1. Gli Enti locali che adottano sistemi di IA devono conformarsi a queste normative europee. In combinato disposto con il GDPR, l’AI Act delinea obblighi e strategie di conformità per i Comuni e le amministrazioni locali, con lo scopo di mantenere la fiducia dei cittadini.

Livelli di rischio e obblighi

Gli Enti locali devono classificare i sistemi di AI utilizzati in base al livello di rischio, tenendo conto dell’impatto potenziale sui cittadini.
– Rischio inaccettabile: è proibito l’uso di AI per manipolare comportamenti o limitare le libertà individuali, come i sistemi di “social scoring” o di riconoscimento biometrico non autorizzati.
– Rischio alto: i sistemi impiegati in settori come la sanità e l’istruzione richiedono obblighi di trasparenza e supervisione, come nel caso di software per la gestione dei dati sanitari, dei welfare locali o per l’istruzione pubblica.
– Rischio limitato e rischio minimo: includono sistemi di IA a basso impatto come i chatbot informativi, che necessitano di avvisi trasparenti ma richiedono meno adempimenti rispetto ai sistemi ad alto rischio.

>> LEGGI ANCHE AI Act e GDPR per gli Enti locali: obblighi e strategie di compliance.

Obblighi GDPR per gli Enti Locali

Gli Enti locali sono già soggetti al GDPR per la gestione dei dati personali, ma l’adozione di sistemi di IA generativa amplifica la necessità di rispettare i principi di protezione dei dati e di sicurezza.
– Trattamento dei dati personali: ogni trattamento deve rispettare i principi di minimizzazione dei dati, trasparenza e responsabilità, in linea con il GDPR, soprattutto quando i sistemi di AI utilizzano dati personali per offrire servizi pubblici (mobilità urbana, sanità, servizi sociali).
– DPIA (valutazione di impatto sulla protezione dei dati): le amministrazioni locali devono effettuare una DPIA per ogni sistema AI ad alto rischio, identificando i potenziali impatti sui diritti e sulle libertà dei cittadini, analizzando i rischi specifici e adottando misure di mitigazione come l’anonimizzazione dei dati sensibili.
– Diritti degli interessati: i cittadini devono avere il diritto di accedere, modificare e cancellare i propri dati, specialmente se trattati da sistemi automatizzati. Gli Enti locali devono implementare procedure efficienti per rispondere a queste richieste, dimostrando trasparenza e attenzione ai diritti individuali.

Implicazioni pratiche per la PA locale

Per evitare sanzioni, gli Enti locali devono adottare strategie di compliance integrate:
– Mappatura e classificazione dei sistemi di AI: identificare e classificare i sistemi di AI in base al livello di rischio.
– Implementazione della supervisione umana: garantire che i sistemi di AI siano supervisionati da personale qualificato, specialmente nei settori critici.
– Formazione e alfabetizzazione: offrire formazione adeguata al personale per gestire i sistemi di AI in modo responsabile.

Sanzioni e impatti reputazionali

La non conformità all’AI Act può comportare sanzioni finanziarie, con multe che possono arrivare fino al 7% del fatturato globale annuo o a 35 milioni di euro per le aziende private. Per le pubbliche amministrazioni e gli Enti locali, la portata delle sanzioni potrebbe essere adattata alle specificità del settore pubblico, con parametri definiti dalle autorità nazionali competenti e coerenti con i bilanci pubblici. La non conformità può tradursi in una perdita di fiducia da parte dei cittadini, minando la trasparenza e la sicurezza dei servizi pubblici.

Esempi pratici e misure di conformità

– Riconoscimento facciale: l’uso di sistemi di riconoscimento facciale deve essere strettamente monitorato e utilizzato in conformità con l’AI Act, che vieta la sorveglianza di massa e richiede supervisione umana e trasparenza. È essenziale garantire una DPIA e la conformità alle normative sulla privacy.
– Chatbot per assistenza ai cittadini: assicurarsi che i cittadini siano chiaramente informati di interagire con un sistema di IA e che possano avere accesso a un operatore umano, se necessario.
– Gestione del traffico urbano: i dati raccolti sul comportamento dei cittadini (es. tramite GPS) devono essere anonimizzati o pseudonimizzati per evitare violazioni della privacy.
A partire dal 2 agosto 2025, le violazioni delle pratiche di IA vietate possono comportare sanzioni amministrative fino a 35mila euro; per le imprese, la sanzione può arrivare fino al 7% del fatturato annuo mondiale dell’anno precedente, se superiore.

L’intelligenza artificiale è già nel tuo Ente

Per approfondire il tema Formazione Maggioli propone il webinar intitolato L’Intelligenza Artificiale è già nel tuo Ente (Come una governance efficace può prevenire rischi e garantire un uso sicuro per tutti i dipendenti). Il webinar, gratuito previa iscrizione, sarà curato dai docenti Matteo Marconato e Guido Paratico e si svolgerà mercoledì 12 marzo 2025 dalle 11 alle 13.
L’obiettivo del webinar è quello di aggiornare i partecipanti sul quadro normativo vigente riguardante l’uso dell’AI negli Enti locali e di fornire indicazioni pratiche per strutturare una governance efficace nell’adozione e gestione dell’intelligenza artificiale.
“Se tu o i tuoi colleghi utilizzate strumenti gratuiti di intelligenza artificiale per le attività quotidiane, è fondamentale partecipare a questo webinar gratuito per capire come farlo in modo sicuro ed efficace!”