Il Garante per la protezione dei dati personali ha approvato lo schema di decreto che adegua l'ordinamento italiano all'AI Act, ma lo ha fatto allegando una lista di richieste tutt'altro che formale. Il punto centrale del parere riguarda la definizione dei propri poteri: l'Autorità chiede che sia scritto in modo inequivocabile dove finisce la vigilanza sull'AI e dove inizia quella sul trattamento dei dati personali.
La preoccupazione non è teorica. Quando un sistema di intelligenza artificiale elabora dati personali, cosa che accade nella quasi totalità degli usi aziendali, si applicano contemporaneamente due corpi normativi con autorità diverse. Senza un raccordo chiaro il rischio è la paralisi: nessuno interviene perché ciascuno pensa che tocchi all'altro, oppure due autorità intervengono in modo divergente sullo stesso caso.
Il capitolo biometria è quello su cui il parere insiste di più. L'Autorità chiede limiti espliciti sull'uso di sistemi di riconoscimento da parte delle forze di polizia, con presupposti tassativi, autorizzazioni preventive e obblighi di conservazione delle tracce del trattamento.
Il secondo fronte è il lavoro. I sistemi di AI applicati a selezione, valutazione della performance, assegnazione dei turni o monitoraggio della produttività ricadono nell'alto rischio, e il Garante domanda garanzie sostanziali per i lavoratori: informazione preventiva, comprensibilità dei criteri, possibilità concreta di contestare un esito.
Infine la questione delle risorse. Un'autorità a cui si chiede di vigilare su un settore in espansione accelerata senza personale e competenze adeguate finisce per esercitare un controllo nominale. È un tema che riguarda anche le imprese: una vigilanza debole non è un vantaggio, perché produce incertezza interpretativa e interventi tardivi e sproporzionati.