Articolo 13: trasparenza per l'IA biometrica — EU AI Act
Come la trasparenza dell'articolo 13 dell'EU AI Act si applica all'IA biometrica — obblighi di segnaletica, informative privacy e notifica del riconoscimento delle emozioni.
L'articolo 13 dell'EU AI Act impone che i sistemi di IA ad alto rischio siano sufficientemente trasparenti affinché i deployer possano interpretare i risultati e utilizzarli in modo appropriato. Per i sistemi di IA biometrici, la trasparenza è indissolubilmente legata ai diritti fondamentali — le persone devono sapere quando i loro dati biometrici vengono raccolti, trattati e utilizzati per l'identificazione o la categorizzazione. Ai sensi dell'Allegato III, sezione 1, i sistemi di IA destinati all'identificazione biometrica remota in tempo reale e a posteriori, nonché i sistemi di categorizzazione biometrica, sono classificati ad alto rischio con gli obblighi di trasparenza più rigorosi.
Questa pagina illustra come i requisiti di trasparenza dell'articolo 13 si applichino specificamente all'IA biometrica — dal riconoscimento facciale al rilevamento delle emozioni — inclusi gli obblighi di segnaletica, i requisiti relativi alle informative sulla privacy, la divulgazione nell'interfaccia utente e le violazioni a livello di codice che Scanara rileva nei sistemi biometrici.
Quali sistemi di IA biometrici devono essere trasparenti?
Riconoscimento e identificazione facciale
I sistemi che confrontano i volti con banche dati di riferimento per la verifica o l'identificazione dell'identità devono divulgare il proprio funzionamento alle persone interessate. I sistemi di controllo degli accessi agli edifici, i varchi aeroportuali e la sicurezza degli eventi che utilizzano il riconoscimento facciale richiedono una notifica chiara prima che avvenga il trattamento biometrico.
Sistemi di categorizzazione biometrica
I sistemi di IA che categorizzano gli individui sulla base di dati biometrici in gruppi per sesso, età, etnia o altre caratteristiche devono divulgare che la categorizzazione è in corso. Si noti che la categorizzazione basata sulla razza o sull'orientamento sessuale è vietata ai sensi dell'articolo 5(1)(g).
Sistemi di riconoscimento delle emozioni
I sistemi di IA che deducono le emozioni da espressioni facciali, voce o segnali fisiologici devono informare le persone analizzate. L'articolo 50(3) richiede specificamente una notifica per i sistemi di riconoscimento delle emozioni. Si noti che il riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione è vietato ai sensi dell'articolo 5(1)(f).
Verifica biometrica (corrispondenza 1:1)
Gli scanner di impronte digitali, il riconoscimento dell'iride e i sistemi di biometria vocale che verificano un'identità dichiarata devono fornire elementi chiari dell'interfaccia utente che spieghino quali dati vengono raccolti, come vengono trattati e il periodo di conservazione. Anche la corrispondenza uno a uno richiede trasparenza ai sensi dell'articolo 13.
Analisi dell'andatura e biometria comportamentale
I sistemi che analizzano i modelli di camminata, i ritmi di digitazione o altre caratteristiche comportamentali a fini di identificazione o sicurezza devono divulgare il proprio funzionamento. Questi sistemi operano spesso in modo passivo, il che rende la trasparenza proattiva ancora più cruciale.
Principali obblighi di trasparenza per la biometria
L'IA biometrica affronta alcuni dei requisiti di trasparenza più elevati dell'AI Act. Oltre ai requisiti generali dell'articolo 13, l'articolo 50 impone obblighi di notifica aggiuntivi specifici per i sistemi biometrici, e l'articolo 9 del GDPR richiede una base giuridica esplicita per il trattamento di dati biometrici di categorie particolari.
Segnaletica e notifica negli spazi pubblici
Quando la sorveglianza biometrica opera in spazi pubblici o semipubblici (ingressi di edifici, luoghi di lavoro, ambienti commerciali), una segnaletica chiara deve informare le persone prima che entrino nell'area monitorata. La notifica deve spiegare quali dati biometrici vengono raccolti, la finalità della raccolta e la base giuridica del trattamento.
Le informative sulla privacy devono trattare specificamente la biometria
Le informative sulla privacy generiche sono insufficienti. Le informative sulla privacy devono menzionare specificamente il trattamento biometrico, le categorie di dati biometrici raccolti, la base giuridica ai sensi dell'articolo 9 del GDPR, i periodi di conservazione e il diritto di opposizione. L'articolo 13 aggiunge l'obbligo di divulgare le caratteristiche e le prestazioni del sistema di IA.
Interfaccia utente chiara per i sistemi di verifica
I sistemi di verifica biometrica (impronta digitale, iride, volto) devono fornire un'interfaccia utente chiara che spieghi quali dati vengono raccolti, come vengono utilizzati e per quanto tempo vengono conservati. L'articolo 13(3) richiede che tali informazioni siano fornite in un formato digitale adeguato — una breve spiegazione a schermo prima dell'acquisizione è lo standard minimo.
Il riconoscimento delle emozioni richiede una notifica esplicita
L'articolo 50(3) richiede specificamente che le persone esposte a sistemi di riconoscimento delle emozioni siano informate del funzionamento del sistema. Ciò si applica anche quando il riconoscimento delle emozioni è una componente di un sistema più ampio. La notifica deve essere fornita prima dell'inizio del trattamento, salvo ristrette eccezioni relative alle attività di contrasto.
Sovrapposizioni normative
La trasparenza dell'IA biometrica si colloca all'intersezione tra protezione dei dati, diritti fondamentali e normative settoriali. I requisiti che si sovrappongono creano uno degli ambienti di trasparenza più complessi dell'AI Act.
Articolo 9 del GDPR — dati biometrici di categorie particolari
I dati biometrici utilizzati per l'identificazione sono dati di categorie particolari ai sensi dell'articolo 9 del GDPR e richiedono il consenso esplicito o un'altra base giuridica ai sensi dell'articolo 9(2). Gli obblighi di informazione del GDPR (articoli 13/14) richiedono la divulgazione della base giuridica, della finalità e dei destinatari. L'articolo 13 dell'AI Act aggiunge una trasparenza a livello di sistema sulle caratteristiche e sulle prestazioni dell'IA, oltre a questi requisiti del GDPR a livello individuale.
Articoli 13/14 del GDPR — diritti all'informazione
Il GDPR richiede ai titolari del trattamento di informare le persone sul trattamento dei dati al momento della raccolta. Per i sistemi biometrici, ciò include l'identità del titolare del trattamento, la finalità del trattamento, la base giuridica, il periodo di conservazione e i diritti. L'articolo 13 dell'AI Act estende ciò con requisiti per la divulgazione delle prestazioni del sistema, la documentazione dei limiti e le istruzioni per i deployer.
Legislazione nazionale sulla biometria
Diversi Stati membri dell'UE dispongono di ulteriori normative specifiche sulla biometria. Le linee guida della CNIL francese sul controllo degli accessi biometrici, le disposizioni del BDSG tedesco sul trattamento biometrico e le restrizioni del Garante italiano sul riconoscimento facciale negli spazi pubblici impongono tutte requisiti di trasparenza che integrano gli obblighi dell'articolo 13.
Carta dei diritti fondamentali — articoli 7 e 8
La Carta dell'UE tutela il diritto alla vita privata (articolo 7) e alla protezione dei dati personali (articolo 8). La sorveglianza biometrica coinvolge direttamente entrambi i diritti. La trasparenza è un presupposto affinché le persone possano esercitare i propri diritti ai sensi della Carta — senza sapere che è in corso un trattamento biometrico, le persone non possono opporsi né chiedere un risarcimento.
Violazioni comuni rilevate da Scanara
Acquisizione biometrica senza notifica preventiva
Codice di inizializzazione della fotocamera o del sensore che avvia l'acquisizione di dati biometrici senza attivare una notifica all'utente o la visualizzazione della segnaletica. L'articolo 13(3) e l'articolo 50 richiedono una notifica prima del trattamento — Scanara segnala le pipeline di acquisizione biometrica prive di una fase di notifica prima dell'acquisizione dei dati.
Periodo di conservazione mancante nella divulgazione biometrica
Schermate di divulgazione rivolte all'utente o informative sulla privacy per i sistemi biometrici che non includono informazioni sul periodo di conservazione dei dati. Sia l'articolo 13(2)(a) del GDPR sia i requisiti di trasparenza dell'AI Act impongono che le persone sappiano per quanto tempo saranno conservati i loro dati biometrici.
Riconoscimento delle emozioni senza notifica ai sensi dell'articolo 50(3)
Componenti di analisi delle emozioni che trattano espressioni facciali o modelli vocali senza implementare la notifica esplicita richiesta dall'articolo 50(3). Scanara rileva le invocazioni di modelli di riconoscimento delle emozioni che non sono precedute da un meccanismo di notifica all'utente.
Lista di controllo per la conformità all'articolo 13 per la biometria
Fornire istruzioni per l'uso specifiche per la biometria
Documentate le caratteristiche, le capacità e i tassi di accuratezza del sistema biometrico (compresi i tassi di falsa accettazione/rifiuto), i limiti noti tra i gruppi demografici e le pratiche di trattamento dei dati. Le istruzioni devono essere sufficienti affinché i deployer possano configurare e utilizzare il sistema in modo conforme.
Notificare le persone prima del trattamento biometrico
Implementate segnaletica, notifiche a schermo o altri meccanismi di divulgazione prima che inizi l'acquisizione dei dati biometrici. La notifica deve spiegare quali dati biometrici vengono raccolti, la loro finalità e la base giuridica del trattamento.
Implementare la notifica di riconoscimento delle emozioni
Per i sistemi di riconoscimento delle emozioni, fornite una notifica esplicita alle persone interessate prima dell'inizio dell'analisi. Verificate che il sistema non sia impiegato in contesti vietati (luogo di lavoro, istruzione) ai sensi dell'articolo 5(1)(f).
Documentare la base giuridica del trattamento biometrico
Assicuratevi che le informative sulla privacy indichino esplicitamente la base giuridica ai sensi dell'articolo 9(2) del GDPR per il trattamento biometrico. Includete i periodi di conservazione, i diritti degli interessati e l'identità del titolare del trattamento. Coordinate con i requisiti di divulgazione dell'articolo 13 dell'AI Act.
Divulgare l'accuratezza tra i gruppi demografici
Riferite i tassi di falsa accettazione, i tassi di falso rifiuto e le metriche di accuratezza disaggregate per gruppi demografici, compresi età, sesso, tonalità della pelle ed etnia. Documentate le condizioni note di degrado delle prestazioni (illuminazione, angolazione, occlusione).
Domande frequenti
Risorse correlate
Articolo 13: trasparenza
Requisiti completi dell'articolo 13 in tutti i settori.
IA biometrica — Hub settoriale
Guida completa alla conformità all'EU AI Act per i sistemi di IA biometrici.
Articolo 12: conservazione dei registri per la biometria
Requisiti di registrazione e conservazione dei registri per l'IA biometrica.
Articolo 13: trasparenza per le attività di contrasto
Requisiti di trasparenza per l'IA biometrica per le attività di contrasto.
Come aiuta Scanara
Scanara automatizza la conformità al Regolamento sull'IA dal codice al dossier. Connetti i tuoi repo GitHub e ottieni report di conformità in pochi minuti.