Il Garante Privacy ha pubblicato un parere favorevole, ma condizionato, sul regolamento della Provincia autonoma di Trento per lo sviluppo, l’addestramento e l’impiego di sistemi di IA, a supporto dell’attività amministrativa.
In particolare, l’art. 40-ter.1 della legge provinciale 23/1992, introdotto ad agosto 2026 promuove l’impiego di sistemi di IA quali strumenti di ausilio nell’attività amministrativa e nei processi organizzativi della Provincia, dei suoi enti strumentali e degli altri soggetti indicati dall’art. 1, c. 1, della citata legge provinciale, affidando alla Giunta provinciale – con regolamento – il compito di definire i tempi, i criteri e le modalità per individuare progressivamente le attività amministrative e i processi organizzativi suscettibili di semplificazione, standardizzazione od ottimizzazione.
Il Garante osserva che l’art. 14 della L. 132/2025 (la legge italiana sull’IA) legittima le pubbliche amministrazioni a utilizzare l’intelligenza artificiale per finalità di incremento dell’efficienza della propria attività, di riduzione dei tempi di definizione dei procedimenti e di aumento della qualità e della quantità dei servizi erogati ai cittadini e alle imprese, assicurando in pari tempo agli interessati la conoscibilità del relativo funzionamento e la tracciabilità del suo utilizzo.
La norma chiarisce inoltre che l’utilizzo dell’IA può avvenire solo in funzione strumentale e di supporto all’attività provvedimentale, nel rispetto dell’autonomia e del potere decisionale dell’uomo; in attuazione della disposizione, le PA sono tenute ad adottare misure tecniche, organizzative e formative finalizzate a garantire un utilizzo responsabile dell’IA.
Nell’ambito di tale cornice regolatoria, lo schema di regolamento della Provincia autonoma di Trento è quindi volto a disciplinare l’utilizzo di strumenti di IA quali strumenti di supporto nell’attività amministrativa e nei processi organizzativi della Provincia, al fine di perseguire il continuo miglioramento, in termini di efficacia ed efficienza, dell’azione amministrativa e nell’erogazione dei servizi a cittadini e imprese.
Lo schema di regolamento, in sintesi, contiene disposizioni che disciplinano:
- Finalità e principi generali: disciplina l’utilizzo dell’IA a supporto dell’attività amministrativa, escludendo decisioni esclusivamente automatizzate e garantendo la sorveglianza umana, nonché la tutela dei diritti fondamentali durante l’intero ciclo di vita dei sistemi
- Finalità del trattamento: consente l’utilizzo dei dati personali per sviluppare, addestrare e impiegare sistemi di IA nell’esercizio delle funzioni istituzionali, nel rispetto dei principi di necessità, proporzionalità, minimizzazione e sicurezza
- Presupposti di liceità: individua le basi giuridiche del trattamento dei dati personali, comprese le categorie particolari e i dati giudiziari, vietando utilizzi commerciali, attività di profilazione, sorveglianza e decisioni amministrative esclusivamente automatizzate
- Categorie di dati trattabili: identifica le tipologie di dati personali utilizzabili per l’addestramento dei sistemi di IA, distinguendo dati comuni, particolari, sanitari e giudiziari, con specifiche garanzie e limitazioni
- Fonti dei dati: individua le fonti utilizzabili per alimentare i sistemi di IA, comprendenti archivi provinciali, banche dati pubbliche, piattaforme di interoperabilità, altre amministrazioni e informazioni raccolte direttamente dagli interessati
- Modalità del trattamento: riserva il trattamento dei dati personali al personale autorizzato, mediante strumenti informatici idonei a garantirne riservatezza, integrità e disponibilità, secondo le operazioni individuate nelle schede applicative
- Titolarità e responsabilità: attribuisce la titolarità dei trattamenti alla Provincia o agli enti strumentali pubblici, consentendo il coinvolgimento di soggetti terzi previamente designati responsabili del trattamento ai sensi dell’articolo 28 del Regolamento
- Conservazione dei dati: impone la conservazione su supporti informatici situati nell’Unione europea, per periodi commisurati alle fasi di sviluppo, addestramento e verifica dei sistemi, con termini specifici definiti nelle schede applicative
- Trasferimento dei dati: vieta il trasferimento di dati personali al di fuori dell’Unione europea, salvo che ricorrano decisioni di adeguatezza o garanzie adeguate previste dalla disciplina sulla protezione dei dati
- Accesso ai dati: limita l’accesso ai dati personali ai soggetti previamente identificati e autorizzati, esclusivamente per le operazioni necessarie al perseguimento delle finalità istituzionali, secondo le modalità stabilite nelle schede applicative
- Misure di sicurezza: prescrive l’adozione di misure tecniche e organizzative fondate sulla valutazione d’impatto e sull’analisi dei rischi, prevedendo verifiche periodiche sulla correttezza, trasparenza e assenza di effetti discriminatori dei trattamenti
- Categorie particolari di dati: subordina il trattamento all’indispensabilità rispetto all’interesse pubblico rilevante, imponendo specifiche garanzie per i dati biometrici, genetici e sanitari, conformemente all’articolo 2-septies del Codice
- Dati relativi a condanne penali e reati: circoscrive i trattamenti alle fattispecie individuate nelle schede applicative, privilegiando l’impiego di dati sintetici durante sviluppo e addestramento e, subordinatamente, di dati reali pseudonimizzati o mascherati
- Enti strumentali: estende le disposizioni regolamentari agli enti strumentali pubblici della Provincia, nei limiti della compatibilità con le rispettive attività, riconoscendo loro la titolarità dei trattamenti effettuati
- Verifiche preliminari: richiede, prima dell’addestramento dei sistemi di IA, la verifica, documentazione e approvazione della scheda applicativa con il Responsabile della protezione dei dati, per accertare la conformità dei trattamenti alle categorie già disciplinate
- Schede applicative: prescrive la compilazione di una scheda per ciascun sistema o ambito di intervento, prima dell’addestramento dell’IA, contenente finalità, dati, soggetti, operazioni e garanzie applicabili, escludendo la possibilità di introdurre nuove finalità o trattamenti oltre il perimetro regolamentare.
Per il Garante lo schema di regolamento appare sostanzialmente coerente con la cornice normativa di riferimento (art. 40-ter.1 della l.p. 23/1992; art. 14 della l. 132/2025), pur necessitando di alcune modifiche volte a garantire maggiore conformità alla disciplina di protezione dei dati personali:
- il rinvio ad una “scheda specifica” (compilata e approvata unilateralmente dalla singola struttura amministrativa interessata) che disciplini nel dettaglio alcuni aspetti inerenti al trattamento dei dati particolari o relativi a condanne penali e a reati, o alle connesse misure di sicurezza, non è conforme agli artt. 2-sexies e 2-octies del Codice: tale scheda non è assimilabile – per natura e caratteristiche – alle fonti regolatorie previste dalla disciplina vigente; per il Garante si rende quindi necessaria una riformulazione delle pertinenti disposizioni che preveda una puntualizzazione degli elementi del trattamento attraverso il rinvio a un atto di rango (almeno) regolamentare o, limitatamente ai dati particolari, a un atto amministrativo generale della Provincia
- quanto ai possibili limiti all’esercizio dei diritti di rettifica e cancellazione da parte degli interessati, la valutazione d’impatto evidenzia infatti il rischio che, una volta consolidato il ciclo di addestramento dei modelli di intelligenza artificiale, l’esercizio dei diritti di rettifica e cancellazione da parte degli interessati possa non riflettersi sui parametri algoritmici del modello già strutturato, limitandosi a correggere il documento originale alla sorgente per i cicli futuri: correggere o cancellare il documento originario non è sufficiente se il dato continua a influenzare parametri o output del modello già addestrato. L’omessa previsione di misure e accorgimenti tali a garantire, prescindendo dal sistema o modello di intelligenza artificiale utilizzato, la piena effettività dei diritti di rettifica e cancellazione rischia di tradursi in una lesione dei diritti fondamentali degli interessati in violazione degli artt. 16 e 17 GDPR. Pertanto, per il Garante:
- è necessario prevedere misure che consentano di rendere certo ed effettivo l’esercizio dei diritti degli interessati, superando la preclusione indicata, sia pure in relazione a un caso specifico, nella valutazione di impatto
- è opportuno introdurre una specifica disposizione che – oltre a ribadire il dovere del titolare di assicurare l’esercizio di tutti gli ulteriori diritti riconosciuti dagli artt. 15–22 (inclusi l’accesso e l’esplicabilità, la limitazione del trattamento, l’opposizione e le garanzie contro le decisioni automatizzate) – ne garantisca l’effettiva operatività rispetto ai parametri algoritmici dei modelli già addestrati, in conformità alle indicazioni formulate dal Comitato Europeo per la Protezione dei Dati nel Parere n. 28/2024 sui modelli di intelligenza artificiale.
