Il 2 agosto è scaduto l'obbligo di avere una sandbox nazionale per l'IA, e dentro quelle sandbox si possono trattare dati raccolti per altro

Che cos'è una sandbox regolamentare

È un ambiente controllato in cui si sviluppa, si addestra, si prova e si valida un sistema di IA per un periodo limitato, sotto la supervisione dell'autorità competente e secondo un piano concordato. Non è una zona franca: le regole continuano ad applicarsi, ma il confronto con l'autorità avviene prima dell'immissione sul mercato invece che dopo, e chi partecipa esce con una documentazione che l'autorità ha già guardato.

Il paragrafo 3 dello stesso articolo aggiunge una cosa che spesso sfugge: anche il Garante europeo della protezione dei dati può istituire una sandbox per le istituzioni, gli organi e gli organismi dell'Unione, esercitando i ruoli e i compiti delle autorità nazionali competenti.

Perché la cosa riguarda chi si occupa di dati personali

Per l'articolo 59. Nella sandbox, dati personali raccolti lecitamente per altre finalità possono essere trattati al solo scopo di sviluppare, addestrare e provare determinati sistemi di IA. È una previsione espressa di riuso, e nel diritto dell'Unione non ce ne sono molte. Ma vale solo se ricorrono tutte le condizioni elencate, non alcune.

Il sistema deve servire un interesse pubblico rilevante, in uno di questi ambiti

• Sicurezza pubblica e sanità pubblica, compresi individuazione, prevenzione della diagnosi, controllo e trattamento delle malattie e miglioramento dei sistemi sanitari.
• Elevato livello di protezione e miglioramento della qualità dell'ambiente, protezione della biodiversità, protezione dall'inquinamento, misure di transizione verde, mitigazione e adattamento ai cambiamenti climatici.
• Sostenibilità energetica.
• Sicurezza e resilienza dei sistemi di trasporto e della mobilità, delle infrastrutture critiche e delle reti.
• Efficienza e qualità della pubblica amministrazione e dei servizi pubblici.

E poi devono valere anche tutte le altre condizioni

• I dati devono essere necessari per soddisfare i requisiti del capo III, sezione 2, e quei requisiti non devono poter essere soddisfatti in modo efficace con dati anonimizzati, sintetici o comunque non personali.
• Devono esistere meccanismi di monitoraggio efficaci per individuare rischi elevati per i diritti e le libertà degli interessati, ai sensi dell'articolo 35 del GDPR, e meccanismi di risposta per attenuarli e, se necessario, interrompere il trattamento.
• I dati devono stare in un ambiente di trattamento funzionalmente separato, isolato e protetto, sotto il controllo del fornitore potenziale, accessibile solo alle persone autorizzate.
• I dati originari possono essere ulteriormente condivisi solo secondo il diritto dell'Unione in materia di protezione dei dati, e i dati personali creati nella sandbox non possono uscirne.
• Il trattamento non deve portare a misure o decisioni che riguardano gli interessati, né incidere sull'esercizio dei loro diritti.

Che cosa chiedere, adesso

• Se la sandbox del proprio Stato è operativa e a quali condizioni si accede: la scadenza è nel regolamento, l'attuazione varia da Stato a Stato e va verificata presso la propria autorità.
• Se il cliente sta valutando un progetto di IA in uno dei cinque ambiti, perché in quel caso la sandbox non è un vezzo ma la via più difendibile.
• Se qualcuno in azienda ha già scritto che addestrerà su dati esistenti citando l'AI Act come base: è il momento di rileggere l'articolo 59 riga per riga.