Skip to main content

Screening dei sistemi di IA rispetto ai divieti dell’articolo 5

L’articolo 5 vieta dieci pratiche di IA. Le sanzioni arrivano a 35 milioni di EUR o al 7 % del fatturato mondiale, se superiore.

Gli operatori non devono immettere sul mercato, mettere in servizio né usare le dieci pratiche di IA vietate dall’articolo 5. Otto divieti si applicano dal 2 febbraio 2025; altri due dal 2 dicembre 2026.

Le sanzioni arrivano a 35 milioni di EUR o, per un’impresa, al 7 % del fatturato mondiale totale annuo, se superiore (articolo 99(3)). I sistemi usati esclusivamente per scopi militari, di difesa o di sicurezza nazionale sono esclusi dal regolamento (articolo 2(3)). Prossimo passo: confronti la finalità e l’uso effettivo di ciascun sistema di IA con i dieci divieti qui sotto.

Dieci pratiche di IA sono vietate

  • Tecniche subliminali e manipolative

    art. 5, par. 1, lett. a)

    Sistemi di IA che utilizzano tecniche subliminali che agiscono senza che una persona ne sia consapevole, o tecniche volutamente manipolative o ingannevoli, per distorcere materialmente il comportamento. Il divieto si applica quando ciò provoca, o può ragionevolmente provocare, un danno significativo.

  • Sfruttamento delle vulnerabilità

    art. 5, par. 1, lett. b)

    Sistemi di IA che sfruttano vulnerabilità dovute all'età, alla disabilità o a una specifica situazione sociale o economica per distorcere materialmente il comportamento in un modo che provochi o possa ragionevolmente provocare un danno significativo.

  • Materiale intimo non consensuale

    art. 5, par. 1, lett. ba)

    Sistemi di IA che generano o manipolano immagini, video, audio o materiale analogo realistici delle parti intime di una persona identificabile, o di tale persona impegnata in attività sessualmente esplicite, senza il suo consenso libero, specifico, informato, inequivocabile ed esplicito. Non rileva la manipolazione che non aumenta l'esposizione delle parti intime né altera la natura delle attività (articolo 5, paragrafo 1 ter). I fornitori sono coinvolti solo se questa è la finalità prevista del sistema, o se la sua progettazione, il suo addestramento, la sua architettura, le sue capacità o le sue funzioni rivolte all'utente ne fanno un risultato ragionevolmente prevedibile e riproducibile senza modifiche tecniche significative e il sistema non ha garanzie ragionevoli e adeguate per impedirlo e correggerlo. I deployer sono coinvolti quando usano un sistema a tale scopo (articolo 5, paragrafo 1 bis). Si applica dal 2 dicembre 2026.

  • Materiale di abuso sessuale su minori

    art. 5, par. 1, lett. bb)

    Sistemi di IA che generano o manipolano materiale o spettacoli ai sensi dell'articolo 2, lettere c) ed e), della direttiva 2011/93/UE, salvo i casi in cui sussista una causa di giustificazione «senza diritto» ai sensi del diritto nazionale. Per fornitori e deployer valgono le stesse condizioni della lettera b bis) (articolo 5, paragrafo 1 bis). Si applica dal 2 dicembre 2026.

  • Punteggio sociale

    art. 5, par. 1, lett. c)

    Sistemi di IA che valutano o classificano le persone per un determinato periodo di tempo sulla base del loro comportamento sociale o di caratteristiche personali, quando il punteggio sociale comporta un trattamento pregiudizievole in contesti sociali non collegati, oppure un trattamento ingiustificato o sproporzionato. Il divieto non è limitato alle autorità pubbliche.

  • Previsione di reati basata solo sulla profilazione

    art. 5, par. 1, lett. d)

    Sistemi di IA che valutano o prevedono il rischio che una persona commetta un reato unicamente sulla base della profilazione o dei tratti della personalità. Non è vietata l'IA che sostiene una valutazione umana basata su fatti oggettivi e verificabili direttamente connessi a un'attività criminosa.

  • Scraping non mirato di immagini facciali

    art. 5, par. 1, lett. e)

    Sistemi di IA che creano o ampliano le banche dati di riconoscimento facciale mediante scraping non mirato di immagini facciali da internet o da filmati di telecamere a circuito chiuso.

  • Riconoscimento delle emozioni sul lavoro e nell'istruzione

    art. 5, par. 1, lett. f)

    Sistemi di IA che inferiscono le emozioni di una persona nel luogo di lavoro o negli istituti di istruzione. Il divieto non si applica ai sistemi destinati a motivi medici o di sicurezza.

  • Categorizzazione biometrica per caratteristiche sensibili

    art. 5, par. 1, lett. g)

    Sistemi di IA che classificano individualmente le persone sulla base dei loro dati biometrici per trarre deduzioni o inferenze in merito a razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale. Non sono coperti l'etichettatura o il filtraggio di set di dati biometrici acquisiti legalmente e la categorizzazione di dati biometrici nel settore delle attività di contrasto.

  • Identificazione biometrica remota in tempo reale

    art. 5, par. 1, lett. h)

    È vietato l'uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto. Le tre eccezioni ristrette sono indicate più sotto.

L'identificazione biometrica in tempo reale ha tre eccezioni ristrette

Il divieto dell'articolo 5, paragrafo 1, lettera h) non si applica quando l'uso è strettamente necessario per uno di tre obiettivi. Gli Stati membri possono decidere se consentire tale uso e a quali condizioni (articolo 5, paragrafo 5).

  • Sono ammessi tre obiettivi

    L'uso è ammesso solo se strettamente necessario per: la ricerca mirata di specifiche vittime di sottrazione, tratta o sfruttamento sessuale, e di persone scomparse; la prevenzione di una minaccia specifica, sostanziale e imminente per la vita o l'incolumità fisica, o di una minaccia reale e attuale o reale e prevedibile di attacco terroristico; oppure la localizzazione o l'identificazione di un sospettato di un reato di cui all'allegato II, per un'indagine, un'azione penale o l'esecuzione di una sanzione penale. Il reato deve essere punibile con una pena o una misura di sicurezza detentiva della durata massima di almeno quattro anni (articolo 5, paragrafo 1, lettera h)).

  • Sono richiesti autorizzazione preventiva e garanzie

    Ogni uso richiede l'autorizzazione preventiva di un'autorità giudiziaria o di un'autorità amministrativa indipendente la cui decisione è vincolante. In una situazione di urgenza debitamente giustificata, l'uso può iniziare senza di essa se l'autorizzazione è richiesta senza indebito ritardo ed entro 24 ore. Se è respinta, l'uso cessa e tutti i dati e i risultati sono cancellati (articolo 5, paragrafo 3). Autorizzare un uso richiede inoltre una valutazione d'impatto sui diritti fondamentali completata e la registrazione nella banca dati dell'UE. In caso di urgenza, la registrazione può seguire senza indebito ritardo (articolo 5, paragrafo 2). Ogni uso va inoltre notificato all'autorità di vigilanza del mercato e all'autorità nazionale per la protezione dei dati (articolo 5, paragrafo 4).

  • L'identificazione a posteriori è ad alto rischio, non vietata

    L'identificazione biometrica remota che non avviene in tempo reale non è vietata. È un uso ad alto rischio ai sensi dell'allegato III, punto 1, lettera a). In una ricerca mirata di una persona sospettata o condannata per un reato, il deployer deve chiedere l'autorizzazione di un'autorità giudiziaria o di un'autorità amministrativa la cui decisione è vincolante e soggetta a controllo giurisdizionale, prima dell'uso o senza indebito ritardo ed entro 48 ore al massimo. Ciò non vale per l'identificazione iniziale di un potenziale sospettato basata su fatti oggettivi e verificabili direttamente collegati al reato (articolo 26, paragrafo 10).

Per i divieti valgono due date di applicazione

  • Lettere da a) a h): dal 2 febbraio 2025

    I divieti dell’articolo 5(1), lettere da a) a h), si applicano dal 2 febbraio 2025 (articolo 113, lettera a)). Le sanzioni si applicano dal 2 agosto 2025.

  • Lettere b bis) e b ter) e articolo 5, paragrafi 1 bis e 1 ter: dal 2 dicembre 2026

    I divieti relativi al materiale intimo non consensuale e al materiale di abuso sessuale su minori, con le relative condizioni, si applicano dal 2 dicembre 2026 (articolo 113, lettera a)). Le sanzioni si applicano dalla stessa data.

Cosa fa lo screening di Scanara

Lo screening è una valutazione guidata. Scanara non decide se una pratica sia vietata: intenzione e contesto richiedono il Suo giudizio e la decisione resta a Lei.

Screening guidato dell’articolo 5

Un questionario copre le dieci pratiche dell’articolo 5(1). Lei risponde per ogni sistema di IA; Scanara conserva il risultato come prova.

Controlli del codice basati su regole

Le regole di codice di Scanara segnalano modelli che possono indicare una pratica vietata. Il codice da solo non mostra intenzione né contesto: una segnalazione è quindi un motivo per verificare.

Lo screening viene per primo

I divieti si applicano qualunque sia la classe di rischio. Scanara non offre la valutazione AIRA per un sistema che lo screening segna come vietato.

Apra la demo di Scanara

Approfondimenti sui divieti e sulle loro date

Domande frequenti

Il divieto del punteggio sociale si applica alle imprese private?

Sì. L'articolo 5, paragrafo 1, lettera c), vieta i sistemi di punteggio sociale senza limitare il divieto alle autorità pubbliche. Riguarda gli operatori che immettono un tale sistema sul mercato, lo mettono in servizio o lo usano, nell'ambito dell'articolo 2. L'articolo 2 esclude tra l'altro gli usi militari, di difesa e di sicurezza nazionale (paragrafo 3), alcune autorità pubbliche di paesi terzi (paragrafo 4), i sistemi destinati alla sola ricerca scientifica (paragrafo 6), la ricerca e le prove prima dell'immissione sul mercato (paragrafo 8) e l'uso puramente personale e non professionale da parte di persone fisiche (paragrafo 10).

Come verifico i miei sistemi di IA rispetto alle pratiche vietate?

Confronti la finalità prevista e l'uso effettivo di ogni sistema con le dieci pratiche dell'articolo 5, paragrafo 1, e registri il risultato per ogni sistema. Scanara la supporta con una valutazione guidata dell'articolo 5 e con controlli del codice basati su regole per i modelli rilevabili. Intenzione e contesto richiedono il suo giudizio e la decisione resta sua.

Quali divieti si applicano dal 2 dicembre 2026?

I divieti relativi al materiale intimo non consensuale (lettera b bis)) e al materiale di abuso sessuale su minori (lettera b ter)), con l’articolo 5, paragrafi 1 bis e 1 ter (articolo 113, lettera a)). Per i fornitori valgono solo se generare tale materiale è la finalità prevista del sistema, oppure un risultato ragionevolmente prevedibile e riproducibile in assenza di garanzie adeguate (articolo 5(1 bis), lettera a)).

I divieti prevedono eccezioni?

La formulazione varia da lettera a lettera. La lettera d) non si applica all’IA che sostiene una valutazione umana già basata su fatti oggettivi e verificabili direttamente connessi a un’attività criminosa. La lettera f) esclude i sistemi destinati a motivi medici o di sicurezza. La lettera g) non copre l’etichettatura o il filtraggio di set di dati biometrici acquisiti legalmente, né la categorizzazione di dati biometrici nel settore delle attività di contrasto. La lettera h) ammette tre obiettivi ristretti a condizioni rigorose. La lettera b ter) non si applica quando vale una causa di giustificazione «senza diritto» secondo il diritto nazionale.

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.