22 luglio 2024
Il sistema sanzionatorio dell’AI Act
di Eleonora Lenzi
L'AI Act prevede un sistema sanzionatorio complesso e fortemente impattante in termine economici e non solo in caso di violazione delle norme del Regolamento.
Non solo sanzioni pecuniarie
Innanzitutto, le sanzioni potranno essere pecuniarie ma possono essere previste anche avvertimenti o altre sanzioni non pecuniarie; il compito di definire le sanzioni non pecuniarie è rimesso agli Stati membri per cui non troviamo al momento indicazioni su quali potranno essere in concreto. Sulla scorta di altre normative ben note, quali ad esempio il GDPR, possiamo immaginare che le sanzioni possano arrivare a prevedere la sospensione o il divieto per un sistema di AI di continuare ad operare sul mercato dell'Unione o la revoca della certificazione CE, ove previsto.
Se, quindi, le sanzioni pecuniarie sono certamente molto onerose, non sono da sottovalutare le altre possibili sanzioni che potrebbero anche bloccare l'attività di un operatore o di un sistema di AI all'interno del mercato dell'Unione.
Le sanzioni pecuniarie
Le sanzioni pecuniarie indicate nell'AI Act si differenziano a seconda del tipo di sistema di AI e anche in relazione ai soggetti che hanno posto in essere la violazione.
|
Sistemi di AI vietati - art. 5 |
Sanzione fino a 35.000.000 di € o 7% del fatturato mondiale annuale riferito all’anno precedente |
|---|---|
|
Violazioni poste in essere dai seguenti soggetti e relativi ad obblighi specifici:
|
Sanzione fino a 15.000.000 di € o 3% del fatturato mondiale annuale riferito all’anno precedente |
|
Trasmissione di informazioni non corrette, incomplete o fuorvianti agli organismi notificati |
Sanzione fino a 7.500.000 di € o 1% del fatturato mondiale annuale riferito all’anno precedente |
|
Fornitori di sistemi di AI con finalità generali |
Sanzione fino a 15.000.000 di € o 3% del fatturato mondiale annuale riferito all’anno precede |
Per i sistemi di AI con finalità generali la sanzione viene erogata dalla Commissione.
Non possono essere superati gli importi massimi legali, ma sono previsti massimali statici e massimali dinamici (% del fatturato mondiale).
Si applica il massimale dinamico solo se superiore a quello statico.
Criteri per il calcolo della sanzione
L'art. 71 fornisce alcune indicazioni sui criteri con cui l'autorità nazionale incaricata di irrogare la sanzione dovrà valutare l'importo:
-
la natura, la gravità e la durata della violazione e le conseguenze tenendo in considerazione lo scopo del sistema di AI, il numero di persone coinvolte e l'entità del danno da queste subito;
-
se altre autorità hanno applicato al medesimo operatore sanzioni analoghe per la medesima violazione;
-
se altre autorità hanno applicato al medesimo operatore sanzioni per la violazione di altre norme dell'Unione se tali violazioni sono connesse alle violazioni rilevanti per l'AI Act;
-
il fatturato, la quota di mercato, la dimensione dell'operatore;
-
il grado di cooperazione con le autorità nazionali
-
le misure tecniche e organizzative messe in atto dall'operatore
-
le modalità con cui l'autorità nazionale è venuta conoscenza della violazione
-
la volontarietà o meno della violazione;
-
qualsiasi azione posta in essere dall'operatore per mitigare l'impatto sui soggetti danneggiati.
Infine, le autorità dovranno valutare se l'importo determinato secondo i criteri illustrati sia efficace, proporzionato, dissuasivo.
La scelta dell'autorità chiamata a vigilare sul funzionamento dei sistemi di AI
L'AI Act richiede agli Stati membri di indicare un'autorità dotata di requisiti di indipendenza e competenza specifica.
Con il DDL “ Norme per lo sviluppo e adozione di tecnologie di intelligenza artificiale ” (cd. DDL sull' Intelligenza Artificiale) presentato lo scorso 23 aprile, l'Italia ha individuato
-
l'Agenzia per l'Italia Digitale in qualità di responsabile della promozione dell'innovazione e dello sviluppo dell'intelligenza artificiale, nonché di definire le procedure ed esercitare le funzioni ei compiti in materia di notifica, valutazione, accreditamento e monitoraggio dei soggetti incaricati di verificare la conformità dei sistemi di intelligenza artificiale;
-
l'Agenzia per la cybersicurezza nazionale (ACN) è invece responsabile per la vigilanza, ivi incluse le attività ispettive e sanzionatorie, dei sistemi di intelligenza artificiale nonché per la promozione e lo sviluppo dell'intelligenza artificiale relativamente ai profili di cybersicurezza.
Restano ferme le competenze, i compiti ei poteri del Garante per la protezione dei dati personali.
Avv. Eleonora Lenzi
Studio Legale Stefanelli&Stefanelli