Sono stati pubblicati ieri due pareri del Garante per la protezione dei dati personali sugli schemi di decreti legislativi di adeguamento della normativa interna alle disposizioni in materia di intelligenza artificiale del Regolamento Ue 2024/1689 (c.d. AI Act).

Nel complesso, i provvedimenti in questione sono stati ritenuti coerenti con le prescrizioni dell’AI Act e con i criteri di delega della L. 132/2025, ma è stata evidenziata la necessità di alcune integrazioni volte a rafforzare le garanzie rispetto al trattamento dei dati personali sotteso all’uso di tecniche di IA nei contesti considerati.

Tra le osservazioni formulate si segnalano:
- la richiesta di estensione al Garante della privacy del potere, già riconosciuto alle Autorità nazionali per l’IA e alle Autorità finanziarie, di adottare linee guida, raccomandazioni e buone pratiche per assicurare un’applicazione uniforme e coerente delle norme;
- l’istanza di introduzione del riferimento alla partecipazione del Garante nei progetti che comportano il trattamento di dati personali;
- l’invito a chiarite le regole per l’applicazione delle sanzioni di competenza del Garante;
- l’indicazione dell’opportunità di estendere alle decisioni di carattere valutativo, suscettibili di determinare implicazioni significative sul rapporto di lavoro, il divieto di assunzione di decisioni fondate unicamente su trattamenti automatizzati;
- il rilievo secondo cui il trattamento automatizzato e generalizzato dei dati biometrici delle persone che accedono a luoghi o eventi pubblici non risulta coerente con l’AI Act, che consente il riconoscimento facciale ex post solo per ricerche mirate; pertanto, l’elaborazione dei dati biometrici dovrebbe avvenire esclusivamente sulle registrazioni già acquisite e in presenza di una specifica esigenza operativa, evitando raccolte massive e preventive.