L'UE ha cambiato il modo in cui i suoi due più importanti corpus normativi digitali si integrano tra loro. Il Regolamento (UE) 2026/1744, noto come AI Omnibus, modifica l'AI Act e sposta il punto in cui si sovrappone al GDPR. Questa guida sugli emendamenti all'AI Act e al GDPR spiegati illustra ciò che l'analisi della fonte mette in evidenza: un nuovo Articolo 4a sui dati per il rilevamento dei bias, le valutazioni d'impatto sui diritti fondamentali (FRIA) che possono riutilizzare le valutazioni d'impatto sulla protezione dei dati (DPIA) del GDPR, obblighi di alfabetizzazione all'IA più morbidi e nuove disposizioni in materia di supervisione.

Il materiale di partenza è un breve riassunto, quindi questo articolo si attiene a tali cambiamenti principali ed evita di ipotizzare dettagli che non vengono esplicitati. Dove le clausole più dettagliate contano, lo segnaliamo.

Cosa ha cambiato l'AI Omnibus nell'AI Act

Secondo il riassunto, il Regolamento (UE) 2026/1744 ha "riscritto" la sovrapposizione tra l'AI Act e il GDPR. Quattro cambiamenti si distinguono:

  • Dati per il rilevamento dei bias (Art. 4a): una nuova disposizione che affronta il trattamento dei dati per rilevare i bias nei sistemi di IA.
  • FRIA che riutilizzano le DPIA: le valutazioni d'impatto sui diritti fondamentali possono basarsi sulle DPIA che le organizzazioni già effettuano ai sensi del GDPR.
  • Alfabetizzazione all'IA più morbida: gli obblighi in materia di alfabetizzazione all'IA sono stati allentati.
  • Nuova supervisione: modifiche all'organizzazione della vigilanza.

Il contesto più ampio è la spinta a semplificare le norme digitali dell'UE. Se desideri un quadro più ampio, la nostra spiegazione su cosa cambia il Digital Omnibus dell'UE per cookie, GDPR e IA tratta il pacchetto di semplificazione in modo più approfondito.

Dati per il rilevamento dei bias ai sensi dell'Articolo 4a: cosa significa per i tuoi dati personali

Il test dei bias è un vero punto di tensione. Per verificare se un sistema di IA tratta i gruppi in modo iniquo, gli sviluppatori hanno spesso bisogno di dati su caratteristiche come l'etnia, la salute o altri attributi sensibili. Il GDPR impone limiti rigidi al trattamento di questo tipo di dati. L'Articolo 4a è la risposta dell'AI Act: consente il trattamento dei dati per il rilevamento dei bias all'interno del quadro normativo dell'IA.

Per le persone comuni, la questione pratica è se i propri dati possano essere utilizzati per testare un sistema di IA. Il riassunto conferma che la disposizione esiste, ma non stabilisce le garanzie, le condizioni o i limiti a essa associati. Quel dettaglio conta. La limitazione delle finalità, la minimizzazione dei dati e la sicurezza sono il tipo di protezioni da cercare nel testo del regolamento e nel modo in cui le organizzazioni descrivono le proprie pratiche.

L'intento, ovvero verificare tramite audit se l'IA è discriminatoria, è legittimo. Il rischio per la privacy sta nel fatto che l'autorizzazione sia ristretta e ben controllata, oppure ampia e scarsamente vigilata. I lettori dovrebbero considerarla una questione aperta finché non avranno visto la formulazione operativa.

Come funzionano ora insieme le FRIA e le DPIA del GDPR

Una DPIA è la valutazione del GDPR che un'organizzazione effettua quando il trattamento è suscettibile di presentare un rischio elevato per i diritti delle persone. Una FRIA è la valutazione dell'AI Act su come un sistema di IA ad alto rischio potrebbe influire sui diritti fondamentali. Prima della modifica, un'organizzazione poteva trovarsi di fronte a due esercizi documentali sovrapposti.

Con l'AI Omnibus, le FRIA possono riutilizzare le DPIA. In termini semplici, il lavoro svolto per una valutazione può alimentare l'altra, il che dovrebbe ridurre la duplicazione.

Ci sono vantaggi e avvertenze:

  • Vantaggio: una valutazione ben fatta può servire entrambi i regimi, il che potrebbe incentivare un lavoro più accurato anziché una doppia compilazione formale.
  • Avvertenza: una DPIA si concentra sui rischi per la protezione dei dati. Una FRIA è pensata per avere una portata più ampia, includendo la discriminazione e altri diritti. Riutilizzare una DPIA è utile solo se le domande più ampie vengono comunque poste davvero.

Cosa guadagnano e cosa perdono gli utenti attenti alla privacy

Probabili guadagni

  • Regole più chiare per il test dei bias, che possono aiutare a individuare un'IA discriminatoria prima che ti riguardi.
  • Meno lavoro di valutazione duplicato, che può liberare le organizzazioni per concentrarsi sulla qualità.
  • Diritti GDPR mantenuti. Il riassunto descrive una sovrapposizione adeguata, non un'abrogazione del GDPR.

Possibili perdite o incertezze

  • Una nuova via legale per trattare dati sensibili ai fini del rilevamento dei bias, con garanzie che necessitano di esame.
  • Obblighi di alfabetizzazione all'IA più morbidi, il che potrebbe significare che il personale che utilizza strumenti di IA riceva meno formazione obbligatoria.
  • Nuove disposizioni in materia di supervisione, il cui effetto sull'applicazione e sulla gestione dei reclami non è dettagliato nella fonte.

Cosa significa per te

Niente nel riassunto suggerisce che i tuoi diritti fondamentali ai sensi del GDPR, come l'accesso, la cancellazione e l'opposizione, siano scomparsi. Ciò che è cambiato è il meccanismo attorno ai sistemi di IA: come i dati possono essere utilizzati per testarli, come vengono combinate le valutazioni dei rischi e chi li vigila.

Se interagisci con sistemi di IA utilizzati nelle assunzioni, nei prestiti, nell'istruzione o nei servizi pubblici, le nuove regole potrebbero influire su come i tuoi dati vengono utilizzati per i test di equità e su quanto approfonditamente vengono valutati i tuoi diritti. I dettagli dipenderanno dal testo completo del regolamento e da come le autorità nazionali lo applicheranno.

Indicazioni pratiche

  • Leggi le informative sulla privacy cercando riferimenti all'IA. Verifica se un'organizzazione dichiara di utilizzare dati personali per testare o migliorare l'IA, incluso il rilevamento dei bias.
  • Chiedi informazioni sulle valutazioni. Puoi chiedere a un'azienda se ha effettuato una DPIA o una FRIA per i sistemi di IA che ti riguardano, e come le due si relazionano.
  • Esercita i tuoi diritti GDPR. Le richieste di accesso, opposizione e cancellazione restano disponibili.
  • Attendi i dettagli. Considera i cambiamenti principali come un punto di partenza e consulta il testo del regolamento per le garanzie sull'Articolo 4a.

Per continuare a costruire il contesto, inizia dalla nostra spiegazione del Digital Omnibus, poi esamina come le organizzazioni che detengono i tuoi dati descrivono le loro pratiche in materia di IA e valutazioni d'impatto. Con questi emendamenti all'AI Act e al GDPR spiegati, sei in una posizione migliore per porre le domande giuste.