Capire la tecnologia.
Applicare il diritto.
Mettere la persona al centro.

Il Regolamento (UE) 2024/1689, noto come AI Act, definisce il «sistema di intelligenza artificiale» come un sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che, a partire dagli input che riceve, deduce come generare output quali previsioni, contenuti, raccomandazioni o decisioni in grado di influenzare ambienti fisici o virtuali. Detto in modo più piano, è un software che impara dai dati e produce risposte o scelte in autonomia, e che proprio per questo finisce per riflettere gli obiettivi e i limiti di chi lo ha costruito.

Lo stesso regolamento non vieta né autorizza la tecnologia in blocco, ma la disciplina in base al rischio che ciascun sistema crea per le persone, distinguendo tra pratiche vietate, sistemi ad alto rischio soggetti a obblighi stringenti e impieghi a rischio minore. Il filo che tiene insieme l'intero impianto è l'idea che l'intelligenza artificiale debba restare al servizio della persona e dei suoi diritti, e non il contrario.

Il Regolamento (UE) 2016/679, il Regolamento generale sulla protezione dei dati, definisce il «dato personale» come qualsiasi informazione riguardante una persona fisica identificata o identificabile, considerando identificabile chi può essere riconosciuto, anche indirettamente, attraverso elementi come il nome, un numero identificativo, i dati di ubicazione, un identificativo online o i tratti della sua identità fisica, economica, culturale o sociale. È quindi una nozione molto ampia, che comprende tutto ciò che consente di ricondurre un'informazione a una persona determinata.

Va chiarito un equivoco diffuso, perché questo regolamento non tutela genericamente la «privacy» ma, in senso proprio, la protezione dei dati personali. Stabilisce che chi raccoglie o utilizza dati altrui debba avere una base giuridica per farlo, informare in modo trasparente sul loro uso, garantire la sicurezza delle informazioni e conservarle soltanto per il tempo necessario, riconoscendo alla persona il diritto di accedere ai propri dati, di correggerli, di chiederne la cancellazione e di opporsi a determinati trattamenti.

La direttiva (UE) 2022/2555, nota come NIS2, fa propria la definizione europea di «cybersicurezza», intesa come l'insieme delle attività necessarie per proteggere i sistemi informatici e di rete, gli utenti di tali sistemi e le altre persone interessate dalle minacce informatiche. È una definizione volutamente ampia, perché la sicurezza non riguarda soltanto le macchine, ma le persone e i servizi che da quelle macchine dipendono.

Su questa base la direttiva impone alle organizzazioni dei settori più importanti di adottare misure adeguate di gestione del rischio, di prevenire gli incidenti e di segnalarli con tempestività quando si verificano. Ne fa una responsabilità precisa, che ricade anche su chi guida l'organizzazione e non soltanto sui tecnici, perché dalla tenuta dei sistemi digitali dipende ormai la continuità di servizi essenziali per tutti.