Articolo 86 — Diritto alla spiegazione del processo decisionale individuale (AI Act UE)

Articolo 86 del Regolamento (UE) 2024/1689 — Diritto alla spiegazione del processo decisionale individuale. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del Testo Ufficiale

L'articolo 86 del Regolamento (UE) 2024/1689 — l'AI Act UE — istituisce un diritto alla spiegazione per le persone fisiche soggette a decisioni adottate con il coinvolgimento di sistemi di IA ad alto rischio elencati nell'Allegato III. Qualora una tale decisione produca effetti giuridici su una persona, o la riguardi in modo similmente significativo, quella persona ha il diritto di ottenere dal responsabile dell'implementazione una spiegazione significativa del ruolo svolto dal sistema di IA nel processo decisionale.

La spiegazione deve ricomprendere, quanto meno, i principali parametri presi in considerazione dal sistema e il peso che tali parametri hanno avuto nel raggiungere l'esito specifico che riguarda il soggetto. Questo obbligo grava sul responsabile dell'implementazione — l'ente che mette in uso il sistema di IA ad alto rischio — piuttosto che sul fornitore che ha sviluppato e immesso il sistema sul mercato.

Il diritto non è assoluto. L'articolo 86 esclude le situazioni in cui la decisione è necessaria per la stipula o l'esecuzione di un contratto, è richiesta o autorizzata dal diritto dell'Unione o di uno Stato membro, o si fonda sul consenso previo esplicito dell'interessato. Anche in queste situazioni di esenzione, i responsabili dell'implementazione sono generalmente tenuti ad attuare adeguate misure di salvaguardia, tra cui rendere disponibile la revisione umana e informare le persone della possibilità di richiederla. L'articolo funziona così come strumento complementare al quadro dei diritti individuali stabilito dal GDPR, in particolare gli articoli 13–15 e 22 del Regolamento (UE) 2016/679, adattato al contesto specifico del processo decisionale assistito dall'IA.

Cosa Significa in Pratica

L'articolo 86 ha implicazioni operative dirette per qualsiasi organizzazione che implementa un sistema di IA ad alto rischio in un contesto in cui sono in gioco risultati individuali. Scenari tipici includono il credit scoring assistito dall'IA da parte di istituti finanziari, strumenti di selezione o screening dei candidati supportati dall'IA, sistemi di IA utilizzati per le determinazioni delle prestazioni da parte di enti pubblici, e la classificazione del rischio guidata dall'IA nella sottoscrizione assicurativa.

In ciascuno di questi casi, il responsabile dell'implementazione deve essere in grado di generare — su richiesta — un resoconto sufficientemente dettagliato del perché una determinata decisione abbia prodotto il risultato che ha prodotto per uno specifico individuo. Una descrizione generica del funzionamento del modello come classe è insufficiente. La spiegazione deve essere individualizzata: deve riflettere i parametri effettivamente valutati per quella persona e il modo in cui ciascun parametro ha contribuito all'esito.

In pratica, ciò richiede ai responsabili dell'implementazione di mantenere capacità di registrazione e traccia di audit a livello di singola inferenza, non solo a livello di modello. Laddove il sistema di IA sia acquisito da un fornitore terzo, il responsabile dell'implementazione deve garantire che gli accordi contrattuali e tecnici in vigore gli consentano di ottenere e comunicare le informazioni richieste. I fornitori sono corrispondentemente obbligati ai sensi dell'art. 13 (trasparenza) e dell'art. 16 (obblighi dei fornitori) a fornire ai responsabili dell'implementazione la documentazione necessaria per adempiere a questo obbligo.

Le organizzazioni dovrebbero anche esaminare come l'articolo 86 si interseca con i propri processi esistenti ai sensi dell'articolo 22 del GDPR. Laddove il processo decisionale automatizzato attivi i diritti dell'articolo 22 del GDPR, il diritto alla spiegazione dell'AI Act UE può applicarsi contestualmente, e un meccanismo di risposta consolidato che copra entrambi i quadri ridurrà l'onere della conformità e migliorerà l'esperienza delle persone interessate.

Obblighi Principali

• I responsabili dell'implementazione di sistemi di IA ad alto rischio elencati nell'Allegato III devono fornire, su richiesta, una spiegazione individualizzata dei principali parametri di una decisione prodotta con il coinvolgimento dell'IA e il peso relativo di tali parametri nell'esito specifico.
• Le spiegazioni devono essere specifiche per l'individuo interessato, non una descrizione generica della logica complessiva del sistema o della metodologia di addestramento.
• I responsabili dell'implementazione devono mantenere un'infrastruttura tecnica e documentale — inclusi log a livello di inferenza — sufficiente a ricostruire e comunicare i parametri decisionali rilevanti a posteriori.
• I responsabili dell'implementazione devono informare le persone interessate del loro diritto a richiedere una spiegazione e, ove applicabile, del loro diritto a richiedere una revisione umana di una decisione, in modo chiaro e accessibile.
• Laddove si applichino esenzioni (necessità contrattuale, obbligo legale, consenso esplicito), i responsabili dell'implementazione devono comunque garantire che siano in vigore adeguate misure di salvaguardia, incluso un genuino meccanismo di revisione umana.
• I fornitori che forniscono sistemi di IA ad alto rischio ai responsabili dell'implementazione devono mettere a disposizione sufficiente documentazione tecnica e istruzioni ai sensi degli articoli 13 e 16 per consentire ai responsabili dell'implementazione di adempiere ai loro obblighi ai sensi dell'articolo 86 a valle.

Relazione con Altri Articoli

L'articolo 86 non opera in isolamento e deve essere letto insieme a diverse disposizioni interconnesse dell'AI Act UE e di strumenti esterni.

All'interno del Regolamento, l'art. 86 dipende direttamente dalla classificazione dell'Allegato III dei sistemi di IA ad alto rischio; il diritto viene attivato solo quando un sistema rientra in tale ambito di applicazione. È strettamente collegato all'art. 13 (trasparenza e fornitura di informazioni ai responsabili dell'implementazione), all'art. 14 (requisiti di supervisione umana), all'art. 26 (obblighi dei responsabili dell'implementazione) e all'art. 72 (obblighi di valutazione dell'impatto sui diritti fondamentali per alcuni responsabili dell'implementazione pubblici).

Esternamente, l'art. 86 è esplicitamente concepito per integrare l'art. 22 del GDPR, che limita le decisioni esclusivamente automatizzate che producono effetti significativi sugli individui, e gli artt. 13–15 del GDPR, che disciplinano i diritti all'informazione. Laddove entrambi gli strumenti si applichino, il diritto alla spiegazione dell'AI Act aggiunge uno strato di granularità specifico all'IA all'esistente quadro di trasparenza del GDPR. I professionisti dovrebbero anche considerare l'interazione con la proposta Direttiva sulla Responsabilità per l'IA, dove i registri delle spiegazioni potrebbero diventare rilevanti ai fini dell'accertamento del nesso causale nelle richieste di risarcimento danni derivanti da decisioni assistite dall'IA.

Calendario di Conformità

L'AI Act UE è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta Ufficiale dell'Unione Europea. L'applicazione è graduale:

• Febbraio 2025: Le disposizioni sulle pratiche di IA vietate (Art. 5) sono diventate applicabili.
• Agosto 2025: Le norme che disciplinano i modelli di IA per uso generale (Titolo VIII, Art. 51–56) e le strutture di governance sono diventate applicabili.
• Agosto 2026: Le norme applicabili ai sistemi di IA ad alto rischio coperti dalla vigente legislazione di armonizzazione dell'Unione (Allegato I) hanno iniziato ad applicarsi.
• Dicembre 2026 / Agosto 2027: L'insieme degli obblighi applicabili ai sistemi di IA ad alto rischio ai sensi del Titolo III — inclusi gli obblighi dei responsabili dell'implementazione ai sensi dell'art. 26 e il diritto alla spiegazione di cui all'art. 86 — si applica dal 2 agosto 2026 per i sistemi elencati nell'Allegato III, con un periodo transitorio per taluni sistemi ad alto rischio già in servizio che si estende fino al 2 agosto 2027.

Le organizzazioni che implementano sistemi di IA ad alto rischio dell'Allegato III non ancora conformi all'articolo 86 dovrebbero considerare dicembre 2026 come una scadenza ferma e dare priorità alla costruzione dell'infrastruttura di spiegazione e dei flussi di lavoro per le richieste di diritti individuali ben prima di tale data.