di Marta Fraioli

Il 20 marzo 2025 il Senato della Repubblica ha approvato il disegno di legge n. 1146/24 (“DdL”), di iniziativa governativa, contenente “Disposizioni e delega al Governo in materia di intelligenza artificiale”.

L’obiettivo del DdL è quello di coordinamento del quadro normativo nazionale con il Regolamento UE 2024/1689 del Parlamento Europeo e del Consiglio (c.d. “AI Act”).

L’attuale versione del DdL recepisce in parte le indicazioni della Commissione Europea che aveva rilevato disallineamenti e contrasti, segnalati nell’ambito del parere C (2024) 7814 inviato all’Italia il 5 novembre 2024. La Commissione aveva osservato che il testo di legge presentava delle criticità rispetto ai seguenti aspetti:

1. le definizioni si discostavano da quelle utilizzate nell’AI Act;
2. gli ambiti delle professioni intellettuali, dell’attività giudiziaria e della sanità rischiavano di essere sovraccaricati da eccessive obbligazioni;
3. le autorità individuate (AgID e ACN) non sembravano garantire sufficiente indipendenza data la loro natura governativa;
4. la previsione di obblighi in materia di watermark risultava in sovrapposizione con le relative disposizioni dell’AI Act.

Il testo licenziato dal Senato ha tenuto conto dei rilievi di cui al primo e al quarto punto, parzialmente di quelli di cui al secondo punto, ma non sembra aver pienamente recepito le osservazioni in merito alla necessità che le autorità nazionali competenti posseggano lo “stesso livello di indipendenza previsto dalla direttiva (UE) 2016/680 per le autorità preposte alla protezione dei dati nelle attività delle forze dell'ordine, nella gestione delle migrazioni e controllo delle frontiere, nell'amministrazione della giustizia e nei processi democratici”[1].

Ferma questa premessa iniziale, si prosegue con l’analisi del contenuto della versione del testo approvata dal Senato.

1. Princìpi

Finalità del DdL è quella di fornire princìpi in materia di ricerca, sperimentazione, sviluppo, adozione e applicazione di sistemi e di modelli di IA, in conformità all’AI Act, promuovendo al contempo un utilizzo corretto, trasparente e responsabile della tecnologia, nei limiti di una dimensione antropocentrica. Il testo disciplina i princìpi applicabili:

• ai sistemi e ai modelli di IA per finalità generale, sottolineando che il DdL non produce obblighi ulteriori per i sistemi e i modelli di IA per finalità generale rispetto a quelli individuati dall’AI Act e garantendo il pieno accesso ai sistemi di IA, alle relative funzionalità ed estensioni anche alle persone con disabilità;
• ai sistemi e ai modelli di IA in rapporto al diritto di informazione e alla tutela della riservatezza e alla protezione dei dati personali;
• all’accesso da parte dei minori di 14 anni a tecnologie di IA, condizionato dall’acquisizione del consenso da parte di chi ne esercita la responsabilità genitoriale;
• alle modalità con cui sono rese le informazioni e le comunicazioni ai minori di età compresa tra i 14 e i 18 anni, nonché ai maggiori di 18 anni, ivi incluso il diritto di opporsi ai trattamenti effettuati a mezzo IA;
• in materia di sviluppo economico, finalizzati all’aumento dell’interazione uomo-macchina nei settori produttivi, della produttività in tutte le catene del valore e le funzioni organizzative, nonché alla creazione di nuove attività economiche;
• sicurezza e difesa nazionale, alla luce dei quali i server su cui sono ospitati sistemi di IA destinati ad un uso pubblico devono essere localizzati all’interno del territorio italiano. Sono esclusi dall’ambito di applicazione del DdL le attività svolte dal DIS (Dipartimento delle Informazioni per la Sicurezza), dall’AISE (Agenzia Informazioni e Sicurezza Esterna) e dall’AISI (Agenzia Informazioni e Sicurezza Interna).

2. Settori

Il DdL persegue un approccio settoriale (cfr. Capo II, artt. da 7 a 18), regolamentando l’uso dell’intelligenza artificiale a seconda dell’ambito di riferimento. Figurano:

1. l’ambito sanitario, dove si afferma che l’uso di IA non può determinare discriminazioni, l’interessato ha il diritto di essere informato sull’impiego di tali tecnologie e la decisione in materia di prevenzione, diagnosi, cura e scelta terapeutica è sempre rimessa agli esercenti la professione medica;
2. la ricerca e sperimentazione scientifica in ambito sanitario. Più nel dettaglio, rilevante è l’apertura dell’art. 8, comma 1, del DdL il quale:
   1. al comma 1, riconduce i trattamenti di dati, anche personali, per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di IA per una serie di finalità medico-scientifiche, effettuati da vari soggetti pubblici e privati senza scopo di lucro, IRCCS o privati operanti nel settore sanitario nell’ambito di progetti di ricerca, nel novero dei trattamenti “di rilevante interesse pubblico”;
   2. al comma 2, autorizza i soggetti appena menzionati al secondary use dei dati privi degli elementi identificativi diretti, purché sia data informativa anche mediante sito web agli interessati, salvo circoscritte eccezioni;
   3. al comma 3, ammette il trattamento per finalità di anonimizzazione, pseudonimizzazione o sintetizzazione dei dati personali, anche particolari, oltre che nei casi di cui al comma 1, anche in materia di “programmazione, gestione, controllo e valutazione dell'assistenza sanitaria, ivi incluse l'instaurazione, la gestione, la pianificazione e il controllo dei rapporti tra l'amministrazione ed i soggetti accreditati o convenzionati con il servizio sanitario nazionale”;
   4. al comma 4, incarica l’Agenzia Nazionale per i servizi sanitari regionali (AGENAS) di stabilire e aggiornare le linee guida per le procedure di anonimizzazione e per la creazione di dati sintetici;
   5. al comma 5, subordina i trattamenti sopra riepilogati all’approvazione dei comitati etici e alla comunicazione all’Autorità Garante per la protezione dei dati personali (“Garante Privacy”);
3. il trattamento dei dati personali, anche particolari, per finalità di ricerca e sperimentazione anche tramite AI e machine learning, anche mediante l’uso secondario dei dati, con il massimo delle modalità semplificate, previa adozione di un decreto ad hoc del Ministero della Salute – si veda art. 9 del DdL;
4. la disciplina dell’utilizzo di tecnologia IA in materia di fascicolo sanitario elettronico (FSE) e sanità digitale;
5. la materia del lavoro. Rilevante è l’obbligo attribuito al datore di lavoro o al committente di informare il lavoratore in caso di utilizzo di sistemi di IA, con le modalità di cui all’art. 1-bis del d. lgs. 152/1997 (cd. Decreto Lavoro) – cfr. art. 11, comma 2, del DdL ;
6. le professioni intellettuali, autorizzate al ricorso all’IA per esercitare attività strumentali e di supporto all’attività professionale, previa comunicazione al cliente di informazioni sui sistemi di IA utilizzati con linguaggio chiaro, semplice ed esaustivo (cfr. art. 13 del DdL);
7. la PA, dove l’uso dell’IA deve essere: i) finalizzato ad aumentare l’efficienza dell’azione amministrativa e ii) strumentale e di supporto all’attività provvedimentale nel rispetto dell’autonomia della persona che resta l’unica responsabile del procedimento;
8. il settore dell’attività giudiziaria, in cui gli ambiti di applicazione sono stati tassativamente circoscritti (organizzazione dei servizi, semplificazione del lavoro giudiziario e attività amministrative accessorie), previa autorizzazione del Ministero della Giustizia. Resta salva la competenza esclusiva del magistrato nell’assunzione di decisioni sull’interpretazione e sull’applicazione della legge, sulla valutazione dei fatti e delle prove e sull’adozione dei provvedimenti (cfr. art. 15 del DdL);
9. la delega al Governo all’adozione di uno o più provvedimenti per la disciplina organica (ivi inclusi gli strumenti di tutela di carattere risarcitorio inibitorio) relativa all’utilizzo dei dati, degli algoritmi e dei metodici matematici per l’addestramento di sistemi di IA;
10. le modifiche al Codice di Procedura Civile, in virtù delle quali è esclusa la competenza del giudice di pace e ammessa la competenza esclusiva dei Tribunali “per le cause che hanno ad oggetto un sistema di intelligenza artificiale” (art. 17 del DdL);
11. il rafforzamento della Cybersicurezza nazionale.

3. Strategia, enforcement e attività di sensibilizzazione in materia di IA

Il Capo III elenca invece le azioni che dovranno essere intraprese in materia di strategia nazionale, individua le autorità nazionali competenti ai sensi dell’art. 70 dell’AI Act e le azioni di promozione in materia di IA. In particolare, fornisce indicazioni su:

1. la Strategia nazionale per l’intelligenza artificiale;
2. le autorità nazionali per l’intelligenza artificiale, individuando l’Agenzia per l’Italia Digitale (AgID) come autorità di notifica, valutazione, accreditamento e monitoraggio dei soggetti incaricati di verificare la conformità e l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza, ferma restando l’attribuzione a Banca D’Italia, Consob e IVASS dei rispettivi ruoli di vigilanza del mercato. Restano ferme anche le competenze, i compiti e i poteri del Garante Privacy.
3. le sperimentazioni e il budget del Ministero degli Affari Esteri e della Cooperazione per il biennio 2025-2026;
4. le misure di sostegno ai giovani e allo sport;
5. gli investimenti nei settori dell’IA, della cybersicurezza e del calcolo quantistico;
6. le deleghe al Governo in materia di AI, relative tra gli altri:
   1. all’attribuzione di poteri di vigilanza, ispettivi e sanzionatori previsti dall’AI Act alle autorità nazionali individuate, nonché alla possibilità per tali soggetti di imporre sanzioni;
   2. ai percorsi di alfabetizzazione e formazione, anche da parte di ordini professionali e delle associazioni di categoria maggiormente rappresentative;
   3. al potenziamento dei curricula scolastici legate alle discipline STEM;
   4. alla disciplina per i sistemi di IA per l’attività di polizia;
   5. alle agevolazioni relative all’istituzione di spazi di sperimentazione normativa in collaborazione con il mondo produttivo;
   6. all’adeguamento e alla specificazione della disciplina in casi di realizzazione e di impiego illeciti di sistemi di IA.

4. Diritto d’autore e reati

Il Capo IV, che introduce le disposizioni in materia di diritto d’autore, conferma l’attenzione ad un approccio antropocentrico, circoscrivendo la tutela alle opere dell’ingegno ‘umano’, anche quando create con l’ausilio di strumenti di IA, “purché costituenti risultato del lavoro intellettuale dell’autore” (cfr. art. 25 del DdL). Altra novità rilevante riguarda la  riproduzione e la estrazione da opere o da altri materiali in rete o banche dati a cui si ha legittimamente accesso, ai fini del data mining, la quale è ricondotta all’interno dell’attuale quadro di tutela previsto dagli artt. 70-ter e 70-quater della L. 633/1941.

Enucleate nel Capo V sono invece le disposizioni penali, che riguardano l’estensione dell’elenco delle circostanze aggravanti comuni (di cui all’articolo 61 del Codice penale), l’art. 612-quater che amplia la lista dei reati informatici (introducendo la ‘Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale’), l’art. 2637 del Codice civile dove è aumentata la pena del reato di aggiotaggio (se implica l’impiego dell’IA), la penalizzazione della condotta contraria alle novità introdotte alla legge in materia di diritto d’autore e, infine, nuove pene in materia di intermediazione finanziaria.

Il Capo VI reca infine le disposizioni finanziarie (quale ad es. la clausola dell’invarianza finanziaria) e finali.

Per sapere se la versione del testo rimarrà invariata fino all’approvazione occorre ora attendere la fine dell’iter legislativo. Il DdL è passato alla disamina della Camera dei deputati, cui è stato inviato il 21 marzo 2025 (con atto n. 2316/25).

[1] Senato della Repubblica, Resoconto sommario delle sedute di mercoledì 27 novembre 2024, Parere approvato dalla Commissione sugli emendamenti relativi al disegno di legge n. 114, disponibile al seguente link https://www.senato.it/service/PDF/PDFServer/DF/440578.pdf, pag. 36.