Articolo 78 — Riservatezza (Regolamento UE sull'IA)

Articolo 78 del Regolamento (UE) 2024/1689 — Riservatezza. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 78 del Regolamento (UE) 2024/1689 istituisce un quadro di riservatezza vincolante che disciplina il trattamento delle informazioni ottenute dalle autorità competenti — tra cui le autorità nazionali di vigilanza del mercato, le autorità notificanti, gli organismi notificati e la Commissione — nell'esercizio delle loro funzioni ai sensi del Regolamento UE sull'intelligenza artificiale.

L'articolo impone a tutte le parti che esercitano funzioni ai sensi del Regolamento di proteggere le informazioni soggette a obblighi di segreto professionale. Ciò comprende segreti commerciali, dati commercialmente sensibili, proprietà intellettuale e dati personali acquisiti nel corso di audit, indagini, valutazioni di conformità, procedure di azioni correttive o qualsiasi altra attività di vigilanza. L'obbligo si applica sia alle autorità stesse sia al loro personale, compresi gli esperti esterni che assistono nelle attività di applicazione.

L'Articolo 78 consente tuttavia lo scambio di informazioni tra le autorità competenti all'interno di uno Stato membro, tra Stati membri e con la Commissione laddove tale scambio sia necessario per l'esecuzione dei compiti ai sensi del Regolamento. Qualsiasi informazione così condivisa mantiene il suo carattere riservato e l'organismo ricevente assume gli stessi obblighi di protezione.

L'articolo non impedisce alle autorità di pubblicare risultati aggregati, anonimizzati o non sensibili, né annulla i requisiti di divulgazione obbligatoria derivanti da procedimenti giudiziari. Funziona in combinazione con il Regolamento (UE) 2016/679 (GDPR) e con i regimi di riservatezza specifici del settore ove applicabili, senza sostituirli.

Cosa significa nella pratica

Per i fornitori e gli implementatori di IA, l'Articolo 78 fornisce una protezione procedurale significativa. Quando un'autorità nazionale di vigilanza del mercato avvia un'indagine — ad esempio, perché un sistema di IA ad alto rischio è stato segnalato per non conformità ai requisiti di valutazione della conformità dell'Articolo 43, o perché è stato segnalato un incidente grave ai sensi dell'Articolo 73 — il fornitore deve cooperare e fornire documentazione tecnica, dettagli algoritmici e risultati dei test. L'Articolo 78 garantisce che queste informazioni commercialmente sensibili non escano dalla sfera regolatoria senza una giustificazione legale.

Chi ne è interessato. Gli obblighi diretti ricadono sulle autorità competenti e sul loro personale. I fornitori e gli implementatori sono i beneficiari indiretti, ottenendo la garanzia che i segreti commerciali divulgati durante l'applicazione siano protetti. Gli organismi notificati, che valutano la conformità dei sistemi di IA ad alto rischio e quindi ricevono comunicazioni tecniche dettagliate, sono ugualmente vincolati.

Scenari concreti. Un fornitore di un sistema di IA ad alto rischio utilizzato nel credit scoring presenta la sua documentazione tecnica all'autorità nazionale di vigilanza del mercato a seguito di un reclamo. Ai sensi dell'Articolo 78, l'autorità non può condividere tale documentazione con un concorrente né pubblicarla in modo da rivelare l'architettura proprietaria del modello. Analogamente, un dipendente di un organismo notificato che esamina la composizione dei dati di addestramento durante una valutazione di conformità è vincolato dal segreto professionale riguardo a tali dati.

Misure pratiche per i fornitori. Le organizzazioni dovrebbero etichettare i documenti commercialmente sensibili presentati alle autorità e tenere un registro di ciò che è stato divulgato, a chi e in base a quale obbligo normativo. Qualora una richiesta di divulgazione sembri eccedere i poteri dell'autorità, i fornitori conservano il diritto di opporsi dinanzi ai tribunali competenti.

Obblighi principali

• Le autorità competenti, le autorità notificanti, gli organismi notificati, la Commissione e il loro personale devono trattare come riservate tutte le informazioni ottenute nell'esercizio delle loro funzioni che si qualificano come segreto commerciale, dati commercialmente sensibili o dati personali.
• Gli obblighi di riservatezza si estendono agli esperti esterni e a qualsiasi altra persona che partecipa ai compiti normativi ai sensi della legge sull'IA, come i valutatori tecnici o i consulenti scientifici.
• Lo scambio di informazioni tra autorità — all'interno di uno Stato membro, tra Stati membri e con la Commissione — è consentito ove necessario ai fini dell'applicazione, ma le informazioni condivise mantengono il loro status riservato e l'organismo ricevente assume obblighi di protezione equivalenti.
• Le autorità non possono divulgare a terzi, incluso il pubblico, informazioni che potrebbero danneggiare gli interessi commerciali di fornitori o implementatori, a meno che una base giuridica specifica, come un'ordinanza del tribunale o un prevalente interesse pubblico, non giustifichi la divulgazione.
• Gli obblighi di riservatezza devono essere conciliati con le norme applicabili in materia di protezione dei dati ai sensi del GDPR, senza tuttavia sostituirle; i dati personali contenuti nei fascicoli di vigilanza devono essere trattati in conformità con entrambi i quadri normativi simultaneamente.
• Le autorità mantengono la facoltà di pubblicare risultati non sensibili, anonimizzati o aggregati — come rapporti sulle tendenze settoriali o statistiche di vigilanza del mercato — a condizione che le informazioni riservate di un singolo fornitore non possano essere dedotte dal contenuto pubblicato.

Relazione con altri articoli

L'Articolo 78 è strutturalmente connesso alla più ampia architettura di vigilanza del mercato e di applicazione del Regolamento UE sull'intelligenza artificiale. Sostiene l'Articolo 74 (vigilanza del mercato a livello nazionale), l'Articolo 75 (vigilanza del mercato a livello dell'Unione e coordinamento) e l'Articolo 76 (vigilanza sui modelli di IA per uso generale), che richiedono tutti alle autorità di raccogliere ed elaborare informazioni operative e tecniche sensibili. Il regime di riservatezza che istituisce è una condizione preliminare per un'efficace cooperazione ai sensi dell'Articolo 101 (cooperazione dell'Ufficio AI con gli Stati membri).

Interagisce direttamente anche con l'Articolo 73 (segnalazione di incidenti gravi) e l'Articolo 72 (monitoraggio post-commercializzazione), poiché entrambi i meccanismi generano divulgazioni di dati tecnici e commerciali potenzialmente sensibili agli organi di vigilanza.

All'interno della catena di valutazione della conformità, l'Articolo 78 rafforza gli obblighi degli organismi notificati designati ai sensi degli Articoli 33–39, che ricevono regolarmente documentazione tecnica dettagliata. Infine, deve essere letto congiuntamente all'Articolo 70 (obblighi di riservatezza degli operatori in senso più ampio) e al Considerando 145, che chiarisce che gli obiettivi di trasparenza del Regolamento non possono essere utilizzati per giustificare la divulgazione di informazioni commerciali genuinamente riservate.

Tempistica di conformità

L'Articolo 78 è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione del Regolamento (UE) 2024/1689 nella Gazzetta ufficiale dell'Unione europea. Tuttavia, la sua rilevanza pratica è legata al calendario di applicazione graduale del Regolamento nel suo complesso.

I primi obblighi vincolanti ai sensi del Regolamento AI — i divieti sulle pratiche di IA a rischio inaccettabile ai sensi dell'Articolo 5 — sono diventati applicabili il 2 febbraio 2025. Da tale data, le autorità di vigilanza del mercato hanno iniziato a esercitare poteri di applicazione attivi, rendendo immediatamente operative le protezioni di riservatezza dell'Articolo 78 per qualsiasi indagine avviata.

Il quadro per i modelli di IA per uso generale (Titolo IV) si applica dal 2 agosto 2025, estendendo le protezioni dell'Articolo 78 alle informazioni raccolte nella vigilanza dei fornitori di GPAI e nelle attività di vigilanza dell'Ufficio AI.

La più sostanziale ondata di obblighi — che copre i sistemi di IA ad alto rischio elencati nell'Allegato III — si applica dal 2 agosto 2026, con determinati sistemi nei settori dell'Allegato I soggetti a un'ulteriore transizione fino al 2 agosto 2027. Man mano che l'attività di valutazione della conformità e il monitoraggio post-commercializzazione ai sensi degli Articoli 72–73 si intensificano nel corso del 2026–2027, l'Articolo 78 diventerà una disposizione frequentemente invocata nelle relazioni quotidiane tra i regolatori e l'industria dell'IA.