La normativa italiana sull’intelligenza artificiale (AI), approvata con l. 23 settembre 2025, n. 132, prevede disposizioni di significativo rilievo in materia di protezione dei dati personali.
Tra i principi generali stabiliti dalla legge, è anzitutto sancito che la ricerca, la sperimentazione, lo sviluppo, l'adozione, l'applicazione e l'utilizzo di sistemi AI e di modelli AI per finalità generali devono avvenire nel rispetto della protezione dei dati personali.
Tra le disposizioni più specifiche, di particolare interesse, in primis, è la previsione che richiede il consenso di chi esercita la responsabilità genitoriale per il trattamento dei dati personali previsto nell’uso di tecnologie di AI dei minori di quattordici anni, i quali possono invece esprimere il consenso in autonomia se aventi almeno questa età, purché le informazioni e le comunicazioni loro rivolte siano facilmente accessibili e comprensibili.
Di particolare rilievo sono le disposizioni in tema di ricerca e sperimentazione scientifica nella realizzazione di sistemi AI in ambito sanitario.
In questo contesto, la legge italiana prevede un’ampia autorizzazione all’uso secondario dei dati personali, anche di natura sensibile, da parte di enti pubblici, soggetti privati senza scopo di lucro e IRCCS, nonché privati operanti nel settore sanitario nell'ambito di progetti a cui partecipano le categorie poc’anzi richiamate. L’obbligo di fornitura dell’informativa sul trattamento dati è semplificato, potendo essere assolto anche tramite informativa generale messa a disposizione nel sito web del titolare del trattamento. Per tali trattamenti, è imposta la comunicazione al Garante per la protezione dei dati personali, inclusiva delle informazioni sull’adempimento degli obblighi di accountability, protezione dei dati by design e by default e valutazione d’impatto (“DPIA”) previsti dal GDPR, nonché dei soggetti designati quali “responsabili del trattamento”, con un meccanismo che abilita lo svolgimento dei trattamenti oggetto di comunicazione dopo 30 giorni, salvo blocco disposto dal Garante entro questo termine.
Per tali scopi, inoltre, i trattamenti finalizzati all’anonimizzazione, pseudonimizzazione o sintetizzazione dei dati personali, anche sensibili, sono “sempre consentiti”. Sul punto, è prevista anche l’adozione di apposite linee guida per le procedure di anonimizzazione e per la creazione di dati sintetici a opera dell’Agenzia nazionale per i servizi sanitari regionali (AGENAS), previo parere del Garante per la protezione dei dati personali.
Le nuove disposizioni tendono ad agevolare il riuso dei dati personali nel contesto dell’AI. La loro applicazione, tuttavia, richiede un attento coordinamento con gli altri tasselli della normativa sulla protezione dei dati personali, il cui rispetto resta in ogni caso essenziale.
Articoli Correlati