Capo IX · SEZIONE 3
Articolo 78 - Riservatezza
Già applicabileDisposizione già in applicazione secondo il calendario dell’articolo 113 dell’AI Act.
Monitoraggio successivo all'immissione sul mercato, condivisione delle informazioni e vigilanza del mercato / Applicazione
Sintesi Articolo 78
L’articolo 78 disciplina riservatezza nel quadro di monitoraggio, informazione, vigilanza e enforcement. La norma rende la compliance un processo continuativo: dopo l’immissione sul mercato o l’uso, occorre monitorare prestazioni e rischi, gestire incidenti, cooperare con autorità, documentare riscontri e adottare misure correttive quando necessario. Sul piano operativo, la trasparenza deve essere progettata nell’interfaccia, nella documentazione e nelle comunicazioni agli utenti; la qualità dei dati, la tracciabilità e la prevenzione dei bias diventano presidi centrali; la cooperazione con autorità competenti e organismi di controllo richiede flussi informativi tempestivi. Per fornitori e deployer questo significa predisporre processi di post-market monitoring, escalation, audit, gestione dei reclami e conservazione delle evidenze, con forte coordinamento tra legale, sicurezza, privacy, qualità e business owner. La trasparenza deve entrare in interfacce, informative, procedure di assistenza e contratti, evitando formule generiche che non aiutano davvero l’utente.
Testo ufficiale
1)In conformità del diritto dell'Unione o nazionale, la Commissione, le autorità di vigilanza del mercato e gli organismi notificati, nonché le altre persone fisiche o giuridiche che partecipano all'applicazione del presente regolamento, garantiscono la riservatezza delle informazioni e dei dati ottenuti nello svolgimento dei loro compiti e delle loro attività in modo da tutelare, in particolare:
a)i diritti di proprietà intellettuale e le informazioni commerciali riservate o i segreti commerciali di una persona fisica o giuridica, compreso il codice sorgente, tranne nei casi di cui all'
articolo 5 della
direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio (57);
b)l'efficace attuazione del presente regolamento, in particolare ai fini delle ispezioni, delle indagini e degli audit;
c)gli interessi pubblici e di sicurezza nazionale;
d)lo svolgimento del procedimento penale o amministrativo;
e)le informazioni classificate a norma del diritto dell'Unione o nazionale.
2)Le autorità che partecipano all'applicazione del presente regolamento a norma del paragrafo 1 richiedono solo i dati strettamente necessari per la valutazione del rischio posto dai sistemi di IA e per l'esercizio dei loro poteri conformemente al presente regolamento e al
regolamento (UE) 2019/1020. Esse pongono in essere misure di cibersicurezza adeguate ed efficaci per proteggere la sicurezza e la riservatezza delle informazioni e dei dati ottenuti e cancellano i dati raccolti non appena non sono più necessari per lo scopo per il quale sono stati ottenuti, conformemente al diritto dell'Unione o nazionale applicabile.
3)Fatti salvi i paragrafi 1 e 2, nel momento in cui i sistemi di IA ad alto rischio di cui all'
Allegato III - Sistemi IA ad alto rischio, punti 1, 6 o 7, sono utilizzati dalle autorità competenti in materia di contrasto, di controllo delle frontiere, di immigrazione o di asilo, le informazioni scambiate in via riservata tra le autorità nazionali competenti, o tra le autorità nazionali competenti e la Commissione, non sono divulgate senza previa consultazione dell'autorità nazionale competente e del deployer che hanno prodotto tali informazioni, qualora tale divulgazione rischi di compromettere gli interessi pubblici e di sicurezza nazionale. Tale scambio di informazioni non riguarda i dati operativi sensibili in relazione alle attività delle autorità competenti in materia di contrasto, di controllo delle frontiere, di immigrazione o di asilo. Qualora le autorità competenti in materia di contrasto, di immigrazione o di asilo siano fornitori di sistemi di IA ad alto rischio di cui all'
Allegato III - Sistemi IA ad alto rischio, punti 1, 6 o 7, la documentazione tecnica di cui all'
Allegato IV - Documentazione tecnica dei sistemi ad alto rischio rimane nei locali di tali autorità. Tali autorità garantiscono che le autorità di vigilanza del mercato di cui all'
articolo 74, paragrafi 8 e 9, a seconda dei casi, possano, su richiesta, accedere immediatamente alla documentazione o ottenerne una copia. Solo il personale dell'autorità di vigilanza del mercato in possesso di un nulla osta di sicurezza di livello adeguato è autorizzato ad accedere a tale documentazione o a una copia della stessa.
4)I paragrafi 1, 2 e 3 non pregiudicano i diritti o gli obblighi della Commissione, degli Stati membri e delle rispettive autorità pertinenti nonché quelli degli organismi notificati in materia di scambio delle informazioni e di diffusione degli avvisi di sicurezza, anche nel contesto della cooperazione transfrontaliera, né pregiudicano gli obblighi delle parti interessate di fornire informazioni a norma del diritto penale degli Stati membri.
5)La Commissione e gli Stati membri possono scambiare, ove necessario e conformemente alle pertinenti disposizioni degli accordi internazionali e commerciali, informazioni riservate con le autorità di regolamentazione dei paesi terzi con i quali abbiano concluso accordi di riservatezza, bilaterali o multilaterali, che garantiscano un livello di riservatezza adeguato.