Regolamento IA vs GDPR: differenze e sovrapposizioni
Come si differenziano il regolamento sull'IA e il GDPR per ambito, obblighi, sanzioni e applicazione, e dove si sovrappongono.
I fornitori e i deployer di sistemi di IA che trattano dati personali nell'UE devono rispettare il regolamento sull'IA e il GDPR. Fatti salvi gli articoli 4 bis e 59, il regolamento sull'IA non incide sul GDPR (articolo 2, paragrafo 7).
Il GDPR si applica dal 25 maggio 2018. Il regolamento sull'IA si applica per tappe dal 2 febbraio 2025. Le sanzioni del regolamento sull'IA arrivano a 35 milioni di EUR o al 7 % del fatturato mondiale totale annuo, se superiore (articolo 99, paragrafo 3). Quelle del GDPR arrivano a 20 milioni di EUR o al 4 %, se superiore (articolo 83, paragrafo 5). Prossimo passo: associ i ruoli di ogni sistema di IA secondo entrambe le norme.
Le due norme differiscono per ambito, approccio al rischio, obblighi, sanzioni e applicazione
| Tema | Regolamento sull'IA | GDPR |
|---|---|---|
| Ambito | Sistemi di IA immessi sul mercato o messi in servizio nell'UE, modelli GPAI immessi sul mercato dell'UE, deployer stabiliti o situati nell'UE, e fornitori e deployer di altri paesi il cui output è utilizzato nell'UE (articolo 2, paragrafo 1) | Trattamento di dati personali nel contesto delle attività di uno stabilimento di un titolare o responsabile del trattamento nell'UE, e trattamento di dati di persone che si trovano nell'UE da parte di altri che offrono loro beni o servizi o ne monitorano il comportamento nell'UE (articolo 3) |
| Approccio al rischio | Norme in base al rischio: pratiche vietate (articolo 5), sistemi di IA ad alto rischio (articolo 6) e obblighi di trasparenza (articolo 50), più norme distinte per i modelli GPAI | Gli obblighi crescono con il rischio. Per i trattamenti che possono presentare un rischio elevato è richiesta una valutazione d'impatto sulla protezione dei dati (DPIA) (articolo 35) |
| Obblighi principali | Per i sistemi di IA ad alto rischio: gestione dei rischi, governance dei dati, documentazione tecnica, conservazione delle registrazioni, trasparenza, sorveglianza umana, accuratezza, robustezza e cybersicurezza (articoli 9-15) | Una base giuridica, la limitazione della finalità, la minimizzazione dei dati e i diritti degli interessati (articoli 5, 6 e da 12 a 22) |
| Sanzioni massime | Fino a 35 milioni di EUR o al 7 % del fatturato mondiale totale annuo, se superiore (articolo 99, paragrafo 3) | Fino a 20 milioni di EUR o al 4 % del fatturato mondiale totale annuo, se superiore (articolo 83, paragrafo 5) |
| Applicazione | Le autorità nazionali di vigilanza del mercato. L'Ufficio per l'IA della Commissione è l'unico competente per i modelli GPAI e per alcuni sistemi di IA: quelli basati su un modello GPAI dallo stesso fornitore (con eccezioni) e quelli integrati in piattaforme o motori di ricerca online di dimensioni molto grandi (articoli 75 e 88) | Le autorità nazionali per la protezione dei dati (autorità di controllo) (articolo 51) |
| Data di applicazione | Per tappe dal 2 febbraio 2025 al 2 agosto 2028, con alcune date fino al 2 agosto 2030 (articolo 113) | Dal 25 maggio 2018 (articolo 99, paragrafo 2) |
Queste aree si sovrappongono e in ciascuna si applicano entrambe le norme
Decisioni automatizzate
L'articolo 22 del GDPR dà alle persone il diritto di non essere sottoposte a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida in modo analogo significativamente sulla loro persona, fatte salve le eccezioni dell'articolo 22, paragrafo 2. Il regolamento sull'IA richiede che i sistemi ad alto rischio consentano un'effettiva sorveglianza umana (articolo 14). Dà inoltre alla persona interessata da una decisione di un deployer basata sull'output di un sistema ad alto rischio dell'allegato III (esclusa l'infrastruttura critica) il diritto a una spiegazione, quando la decisione produce effetti giuridici o analoghi e la persona la ritiene pregiudizievole per la salute, la sicurezza o i diritti fondamentali. Si applica solo nella misura in cui il diritto dell'Unione non preveda già tale diritto (articolo 86).
Trasparenza
Il GDPR impone ai titolari del trattamento di informare le persone su come sono trattati i loro dati (articoli 13 e 14). Il regolamento sull'IA impone ai fornitori di dare ai deployer istruzioni per l'uso dei sistemi ad alto rischio (articolo 13) e richiede informative alle persone per alcuni sistemi (articolo 50). Entrambi possono applicarsi allo stesso sistema.
Qualità dei dati e distorsioni
L'articolo 5, paragrafo 1, lettera d), del GDPR richiede che i dati personali siano esatti. Il regolamento sull'IA richiede che i dati di addestramento, convalida e prova dei sistemi ad alto rischio rispettino criteri di qualità, compreso un esame di possibili distorsioni (articolo 10). I fornitori possono trattare in via eccezionale categorie particolari di dati personali per rilevare e correggere le distorsioni, a condizioni rigorose (articolo 4 bis).
Valutazioni d'impatto
Se del caso, i deployer di sistemi ad alto rischio usano le informazioni dell'articolo 13 fornite dal fornitore per la loro valutazione d'impatto sulla protezione dei dati ai sensi del GDPR (articolo 26, paragrafo 9). Una valutazione d'impatto sui diritti fondamentali ai sensi dell'articolo 27 può rinviare a tale valutazione (articolo 27, paragrafo 4).
Queste differenze determinano che cosa deve fare in base a ciascuna norma
Che cosa è disciplinato
Il GDPR disciplina il trattamento dei dati personali. Il regolamento sull'IA disciplina i sistemi di IA e i modelli di IA per finalità generali, che trattino o meno dati personali.
Chi ha gli obblighi
Il GDPR si rivolge ai titolari e ai responsabili del trattamento. Il regolamento sull'IA si rivolge a fornitori, deployer, importatori, distributori e altri operatori. I ruoli non corrispondono uno a uno, quindi verifichi le definizioni di ciascuna norma (regolamento sull'IA articolo 3, GDPR articolo 4).
Requisiti di documentazione
Il GDPR richiede il registro delle attività di trattamento (articolo 30) e valutazioni d'impatto sulla protezione dei dati (articolo 35). Il regolamento sull'IA richiede documentazione tecnica (articolo 11), una valutazione della conformità (articolo 43) e, per alcuni deployer, una valutazione d'impatto sui diritti fondamentali (articolo 27). L'una non sostituisce l'altra.
Domande frequenti
Rispettare il GDPR basta per il regolamento sull'IA?
No. Il regolamento sull'IA stabilisce obblighi distinti, come la gestione dei rischi per i sistemi ad alto rischio (articolo 9) e la documentazione tecnica (articolo 11). Fatti salvi gli articoli 4 bis e 59, non incide sul GDPR (articolo 2, paragrafo 7), quindi si applicano entrambe le norme.
Due autorità possono intervenire sullo stesso sistema di IA?
Sì. Un'autorità per la protezione dei dati fa rispettare il GDPR e un'autorità di vigilanza del mercato fa rispettare il regolamento sull'IA, ciascuna nell'ambito della propria norma. Quando un'autorità determina una sanzione ai sensi del regolamento sull'IA, tiene conto delle sanzioni già inflitte da altre autorità per la stessa attività (articolo 99, paragrafo 7, lettera c)).
Guide correlate
Pratiche IA vietate: articolo 5 del regolamento IA
Le dieci pratiche vietate. L'articolo 5 non tocca l'articolo 9 del GDPR per i dati biometrici al di fuori delle attività di contrasto.
Regolamento IA: calendario delle scadenze dal 2024 al 2030
Ogni data di applicazione del regolamento sull'IA, con l'articolo che la fissa.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.