Il DPO nasce, con il Regolamento (UE) 2016/679 (GDPR), come figura di interpretazione e garanzia, chiamata a presidiare la corretta applicazione dei principi di protezione dei dati e a tradurli in prassi organizzative efficaci. È un facilitatore della compliance, ponte tra diritto, tecnologia e processi aziendali. Con l’avvento dell’AI Act, tuttavia, manca una figura analoga esplicitamente prevista per la governance dell’intelligenza artificiale. In questo vuoto, il DPO può evolvere – e il mercato mostra già segnali concreti in tal senso – quale riferimento per l’AI compliance, soprattutto nei profili di tutela dei diritti fondamentali (Responsible AI). In questa prospettiva, il DPO si candida a essere il perno di una governance integrata tra privacy e intelligenza artificiale. Tale evoluzione, tuttavia, apre anche alcuni rilevanti interrogativi ancora privi di una risposta normativa chiara, soprattutto con riferimento al perimetro delle responsabilità.
Indice degli argomenti
Come nasce il DPO prima dell’AI Act
Il Data Protection Officer (DPO) è la figura incaricata– laddove prevista o presente – di garantire all’interno di un’organizzazione, l’effettiva attuazione delle norme poste a tutela dei dati personali delle persone fisiche. La sua designazione, la posizione organizzativa e i compiti sono disciplinati dagli articoli 37, 38 e 39 del General Data Protection Regulation (GDPR), che ne delineano un ruolo centrale nei sistemi di governance della protezione dei dati.
Sebbene il GDPR rappresenti il riferimento principale del DPO in ambito europeo, la previsione di una figura analoga si è progressivamente diffusa anche in altri ordinamenti, a testimonianza della crescente rilevanza della funzione di presidio della privacy nei contesti organizzativi complessi.
Elemento qualificante del ruolo è la sua indipendenza. Il DPO deve poter operare senza interferenze, pressioni o conflitti di interesse, con la libertà di segnalare criticità, formulare raccomandazioni e, se necessario, evidenziare rischi anche rilevanti per l’organizzazione. In questa prospettiva, il GDPR stabilisce che il DPO riferisca direttamente al più alto livello gerarchico dell’organizzazione.
Nella prassi, ciò non implica necessariamente una dipendenza funzionale diretta dal vertice, ma richiede che il DPO abbia un accesso effettivo ai livelli decisionali apicali e la concreta possibilità di incidere sui processi strategici che coinvolgono il trattamento dei dati personali. Questo si traduce, ad esempio, nel suo riconoscimento quale punto di riferimento per le funzioni di organizzazione, legale, compliance e HR, nonché nel coinvolgimento nei principali comitati aziendali e, ove opportuno, nella partecipazione periodica alle riunioni del consiglio di amministrazione e dei comitati endoconsiliari.
La ragione di questo assetto è profonda e non meramente organizzativa. La protezione dei dati personali attiene a uno dei diritti fondamentali dell’uomo, particolarmente esposto nei contesti economici e nel mondo del lavoro, dove i trattamenti sono pervasivi e incidono direttamente sulla dignità, sulla libertà e sull’identità delle persone.
In questo senso, il ruolo del DPO assume una valenza che va oltre la compliance formale: diventa presidio sostanziale di un diritto che, per importanza e delicatezza, si avvicina a una dimensione quasi “sacrale”, in quanto espressione diretta della tutela della persona. È per questo che l’ordinamento e la sensibilità della comunità attribuiscono a tale funzione una posizione di garanzia elevata, che richiede indipendenza, autorevolezza e accesso ai luoghi in cui si assumono le decisioni più rilevanti.
Dalla Germania alla Convenzione 108
Le radici della figura del DPO non sono affatto casuali né meramente organizzative: nascono storicamente nell’ordinamento tedesco e riflettono una precisa scelta di tecnica regolatoria, poi assorbita e portata a sistema nel diritto europeo. Già il Bundesdatenschutzgesetz tedesco del 27 gennaio 1977 prevedeva, per determinati soggetti privati che trattavano dati personali, l’obbligo di nominare un “Beauftragter für den Datenschutz” ossia un responsabile della protezione dei dati.
La legge richiedeva che tale soggetto possedesse competenza specialistica e affidabilità, fosse collocato immediatamente sotto il titolare, il consiglio o la direzione, operasse senza istruzioni nell’applicazione della propria competenza e non potesse essere penalizzato per lo svolgimento dei propri compiti. La stessa normativa gli attribuiva funzioni che sono state mantenute anche oggi: assicurare l’attuazione della legge, mantenere una visione dei trattamenti, sorvegliare i programmi di trattamento, formare il personale e collaborare con l’autorità di controllo. In altre parole, già nel 1977 il modello tedesco aveva intuito che la protezione dei dati non poteva essere garantita soltanto da divieti esterni, ma richiedeva un presidio interno, competente, vicino al vertice e al tempo stesso autonomo.
L’impianto tedesco si è poi innestato nel più ampio percorso europeo di costruzione del diritto alla protezione dei dati. Il Consiglio d’Europa, con la Convenzione 108 del 1981, ha fornito il primo quadro internazionale giuridicamente vincolante in materia, basato su principi generali e destinato a essere tradotto dagli Stati nelle rispettive legislazioni; lo stesso Consiglio d’Europa continua a presentare la Convenzione 108 come la matrice storica della disciplina europea, e la Commissione europea ha ricordato pubblicamente che essa è stata la “madre” delle regole UE sulla protezione dei dati.
Non si può dire, in senso tecnico, che il DPO sia stato “creato” dalla Convenzione 108, perché quella convenzione non codificava la figura in questi termini; è però corretto affermare che il modello europeo della protezione dati si è sviluppato in un ecosistema normativo in cui il Consiglio d’Europa ha fissato i principi e la Germania ha sperimentato molto presto la soluzione organizzativa del responsabile interno indipendente. Il GDPR eredita entrambe le linee: la base assiologica e principiale del sistema europeo e il modello funzionale di un garante interno dotato di competenze specialistiche e autonomia.
Il ruolo del DPO tra GDPR, competenze e governance
Il profilo del DPO nato all’indomani della promulgazione del GDPR, così come è stato progressivamente declinato dagli organismi che hanno elaborato linee guida applicative, nonché dai recruiter aziendali e dagli head hunter, tendeva almeno in teoria a richiedere una figura con competenze estremamente variegate e distintive: una sorta di “superman” dell’organizzazione, capace di muoversi con autorevolezza tra diritto, tecnologia, organizzazione e gestione del rischio.
Al DPO sono richieste competenze giuridiche in materia di protezione dei dati, capacità di interpretazione normativa e di presidio della compliance, ma anche una conoscenza concreta dei processi aziendali, delle strutture organizzative, dei sistemi informativi, delle misure di sicurezza e dei principali temi di cybersecurity. Deve saper dialogare con il management, con l’IT, con le funzioni legali, con le risorse umane, con il procurement, con la sicurezza fisica e logica; comprendere le logiche industriali, i modelli di business e le dinamiche reputazionali; valutare impatti e rischi; contribuire alla diffusione di una cultura della protezione dei dati all’interno dell’organizzazione e accompagnare l’impresa nella traduzione operativa dei principi di accountability, privacy by design e gestione del rischio.
È quindi un job profile molto ampio e ambizioso, che spiega perché la normativa europea abbia previsto per questa figura una collocazione autonoma e un accesso diretto ai vertici aziendali, proprio per consentirle di incidere realmente sui processi decisionali.
Competenze ambiziose e limiti del mercato
Nella pratica, tuttavia, il mercato non ha sempre espresso profili così completi; più spesso, ha sottovalutato il ruolo anche sul piano economico, non riconoscendo adeguatamente il valore necessario per attrarre e consolidare competenze realmente interdisciplinari. Anche le autorità di controllo, pur avendo attribuito grande rilevanza teorica al ruolo, non sempre hanno instaurato con i DPO un dialogo strutturato e continuativo, né hanno favorito fino in fondo il loro riconoscimento come interlocutori qualificati e stabili nei rapporti con le stesse autorità.
Il risultato è che, in molti contesti, il DPO è stato collocato a livelli non elevati dell’organizzazione, oppure individuato all’interno di funzioni con competenze prevalentemente legali, IT o di compliance, senza quella visione trasversale che il ruolo richiederebbe. In altri casi, si è preteso da una sola persona un insieme di competenze troppo vasto per essere realisticamente posseduto in modo approfondito. Anche per questo, soprattutto nelle organizzazioni più complesse, il DPO efficace è spesso il punto di coordinamento di una rete di competenze multidisciplinari che devono essere rese disponibili e integrate intorno a lui.
DPO, principi GDPR e decisioni organizzative
Oltre alle ragioni storiche e le esigenze di garanzia, c’è almeno un’altra motivazione che ha spinto alla creazione di questa figura nel nostro ordinamento. Il GDPR è stato concepito come regolamento direttamente applicabile in tutti gli Stati membri, proprio per assicurare un livello di protezione “consistente e omogeneo” nell’Unione, superando la frammentazione tipica della precedente direttiva.
Ecco che un regolamento che deve valere allo stesso modo in 27 ordinamenti, per pubbliche amministrazioni, multinazionali, PMI, ospedali, università, banche, piattaforme digitali e contesti industriali – nonché per persone fisiche – non poteva realisticamente essere costruito come un manuale minuzioso di prescrizioni uguali per tutti. Per questo il GDPR adotta una struttura fortemente principle-based e accountability-based: stabilisce principi, obblighi di risultato, criteri di adeguatezza, proporzionalità, rischio, e affida poi all’organizzazione, Titolare o Responsabile, il compito di tradurli nei propri processi.
Il titolare del trattamento resta il responsabile ultimo delle scelte e della conformità, ma nella realtà aziendale difficilmente può presidiare da solo, con continuità e con il necessario livello di specializzazione, tutte le implicazioni operative della normativa. È proprio qui che si coglie la concretezza del ruolo del DPO: non una figura astratta o meramente formale, ma un presidio competente che aiuta l’organizzazione a tradurre i principi giuridici in decisioni, verifiche e comportamenti concreti.
La protezione dei dati, infatti, non vive soltanto nei testi normativi, ma nelle scelte quotidiane dell’impresa. Occorre comprendere se un trattamento debba essere censito e con quale livello di dettaglio; distinguere tra trattamenti autonomi e trattamenti tra loro connessi; valutare se un processo, un applicativo o un sistema siano stati effettivamente concepiti secondo logiche adeguate di privacy by design e by default; verificare la proporzionalità e l’efficacia delle misure di sicurezza; stabilire se sia necessaria una DPIA e, una volta effettuata, accertarne la reale coerenza rispetto ai requisiti normativi e al rischio effettivo per i diritti e le libertà delle persone.
Il DPO tra tutela dei diritti e operatività aziendale
In questo senso, il DPO svolge un ruolo profondamente concreto: legge i processi, dialoga con le funzioni aziendali, intercetta criticità, orienta le soluzioni, pone le domande giuste e contribuisce a costruire assetti organizzativi più consapevoli e più solidi. La sua funzione non è quella di sostituirsi al titolare, ma di rendere possibile un esercizio effettivo, informato e responsabile della titolarità del trattamento.
È, in altri termini, un presidio di qualità della decisione: contribuisce a evitare sia approcci meramente formali, che rischiano di svuotare la norma di significato, sia approcci eccessivamente prudenziali, che possono ostacolare inutilmente l’innovazione e l’efficienza.
È proprio in questo spazio che il ruolo del DPO rivela una delle sue funzioni più delicate e strategiche: quella di mediazione. Da un lato vi è l’approccio giuridico più rigoroso e formalistico, che tende a privilegiare la lettera della norma, talvolta con interpretazioni prudenziali e orientate alla massima cautela. Dall’altro lato vi è la realtà operativa dell’impresa, fatta di processi complessi, vincoli organizzativi, esigenze tecnologiche, tempi di mercato e obiettivi di efficienza.
Il suo compito è dunque quello di tradurre i principi giuridici in soluzioni praticabili, proporzionate e coerenti con il contesto aziendale, mantenendo sempre fermo il presidio dei diritti fondamentali.
Il valore del DPO si misura proprio in questa capacità di accompagnare l’organizzazione in un equilibrio dinamico tra tutela dei diritti e sviluppo delle attività, rendendo la protezione dei dati non un vincolo esterno, ma una componente strutturale del buon funzionamento aziendale.
Anche la pareristica più autorevole va in questa direzione. Le linee guida WP29/EDPB sul DPO insistono sul fatto che il titolare o il responsabile restano giuridicamente responsabili della conformità, ma il DPO agisce come snodo di consulenza, monitoraggio, formazione, audit e raccordo con autorità e interessati. Tutte considerazioni che torneranno utili quando affronteremo il tema centrale di questo articolo: il ruolo che il DPO può assumere anche rispetto ad altre normative, prima fra tutte l’AI Act, rispetto al quale la sua esperienza nella gestione dei rischi, nella tutela dei diritti fondamentali, nella governance dei processi e nella traduzione operativa di principi generali può rappresentare un patrimonio di straordinario valore per le organizzazioni.
AI Act e DPO: perché manca un AI Officer obbligatorio
Conviene interrogarsi sul perché il GDPR abbia voluto una figura espressamente nominata, dotata di indipendenza, compiti tipici e posizione riconoscibile nell’organizzazione, mentre l’AI Act — pur essendo una disciplina altrettanto invasiva sotto il profilo organizzativo — non abbia introdotto un corrispondente “AI Officer” obbligatorio.
Chief AI Officer e competenze distribuite
Alcuni osservano come, nel mercato, esista già da tempo la figura del Chief AI Officer (CAIO). Tuttavia, tale richiamo deve essere letto con cautela per almeno due ragioni. La prima è che il CAIO non trova alcun riconoscimento espresso nell’AI Act.
La seconda è che, nonostante il crescente interesse teorico verso il ruolo del CAIO, la sua diffusione concreta nelle organizzazioni rimane ancora estremamente limitata e concentrata soprattutto in grandi realtà tecnologiche o particolarmente mature sotto il profilo digitale. Nella maggior parte delle imprese europee, infatti, le competenze sull’intelligenza artificiale risultano ancora distribuite tra IT, innovazione, legale, risk management, cybersecurity, HR e compliance, senza un centro di responsabilità chiaramente identificato.
Il GDPR è molto chiaro su questo aspetto. La figura del DPO non è un accessorio organizzativo, ma uno dei perni del modello di governance del regolamento. Gli articoli 37, 38 e 39 GDPR ne disciplinano designazione, posizione e compiti; il considerando 97 insiste sul fatto che il DPO debba poter svolgere le proprie funzioni in modo indipendente; i lavori preparatori della riforma europea già nel 2012 presentavano l’introduzione dei DPO obbligatori per autorità pubbliche e per organizzazioni con trattamenti rischiosi come una precisa scelta di sistema.
In altre parole, il legislatore privacy ha ritenuto che, per rendere effettivo un diritto fondamentale come quello alla protezione dei dati personali, non bastassero soltanto obblighi sostanziali: serviva anche una figura professionale identificabile, interna o esterna, capace di tradurre la norma in pratica organizzativa, fare da cerniera con l’autorità di controllo e presidiare in modo stabile il principio di accountability.
Governance AI Act e Responsible AI: lo spazio del DPO
Qui sta una prima differenza importante rispetto all’AI Act. Nel regolamento sull’IA non esiste una figura equivalente al DPO. Il testo distribuisce gli obblighi lungo la catena del valore, individuando diversi “operatori” — provider, deployer, authorised representative, importer e distributor — e assegna a ciascuno obblighi specifici.
Per i sistemi ad alto rischio, ad esempio, il deployer deve adottare misure tecniche e organizzative adeguate, attribuire il controllo umano a persone fisiche con competenza, formazione e autorità necessarie, e in alcuni casi effettuare una fundamental rights impact assessment prima dell’uso. Il regolamento, però, non impone che tutto questo confluisca in una figura unica e nominata, né crea un organo aziendale obbligatorio assimilabile al DPO.
Se si procede a una lettura sistematica del testo dell’AI Act, dei relativi considerando e dei documenti preparatori, non si rinviene alcuna disposizione che lasci intendere una volontà del legislatore di escludere l’introduzione di una figura di garanzia analoga a quella del Data Protection Officer. L’assenza di tale ruolo, tuttavia, non può essere letta unicamente come il riflesso di un diverso impianto normativo rispetto a quello del GDPR.
Pur essendo indubbio che l’AI Act si configuri come una regolazione ibrida – collocata al crocevia tra tutela dei diritti fondamentali e disciplina della sicurezza dei prodotti e del mercato – la diversa “forma” della norma non appare, di per sé, una motivazione pienamente convincente per giustificare l’assenza di una figura di garanzia interna. Se nel GDPR la previsione del DPO rispondeva all’esigenza di presidiare un ambito caratterizzato da complessità tecnica e impatti rilevanti sui diritti delle persone, tali esigenze non solo permangono nell’ambito dell’intelligenza artificiale, ma risultano, se possibile, ancora più accentuate.
In questa prospettiva, è ragionevole ritenere che la mancata tipizzazione di un ruolo analogo nel quadro dell’AI Act risponda piuttosto a una scelta di politica legislativa volta a non appesantire ulteriormente il carico degli obblighi organizzativi e di compliance già gravanti sugli operatori economici.
L’impianto della disciplina, infatti, si fonda su un articolato sistema di obblighi tecnici, documentali e procedurali, accompagnati da meccanismi di valutazione della conformità, sorveglianza del mercato e da una puntuale ripartizione delle responsabilità lungo l’intera catena del valore. Tale scelta, tuttavia, lascia inevitabilmente uno spazio che la prassi organizzativa sta già iniziando a colmare. In assenza di una figura formalmente prevista, il mercato sembra orientarsi verso soluzioni di governance interna che valorizzano ruoli già esistenti e dotati di competenze trasversali. Tra questi, il DPO si presenta come il candidato più naturale ad assumere, almeno in parte, funzioni di presidio anche in ambito di “Responsible AI”, in ragione della sua posizione di indipendenza, della familiarità con logiche di valutazione del rischio e della consolidata esperienza nel bilanciamento tra innovazione tecnologica e tutela dei diritti fondamentali.
Resta, quindi, uno spazio significativo per l’autonomia organizzativa delle imprese, le quali possono – e, in molti casi, è auspicabile che lo facciano – dotarsi di presìdi interni di governance capaci di integrare competenze giuridiche, tecniche e organizzative. In questa prospettiva, l’evoluzione del ruolo del DPO verso funzioni più ampie di supervisione della “Responsible AI” rappresenta, come si è detto, una traiettoria già visibile nella prassi, pur in assenza di un’esplicita consacrazione normativa.
Al DPO viene chiesto sempre più spesso di fare per l’AI qualcosa di molto simile a ciò che già fa per il GDPR: leggere i processi, identificare rischi, valutare basi giuridiche e impatti, presidiare la trasparenza, aiutare a distinguere i ruoli, promuovere la formazione, dialogare con uffici legali, IT, HR, procurement, compliance e management. Non perché l’AI Act glielo attribuisca formalmente in via esclusiva, ma perché il DPO è già, per definizione, una figura trasversale, abituata a muoversi tra norma, tecnologia, organizzazione e diritti fondamentali.
Del resto, il GDPR stesso ammette che il DPO possa svolgere anche altri compiti, purché senza conflitti di interesse; e l’EDPB ha sottolineato che le nuove normative digitali, incluso l’AI Act, si innestano sulla base costruita dal GDPR e richiedono collaborazione regolatoria trasversale. Naturalmente, questo non significa che il DPO debba automaticamente diventare il responsabile unico della compliance AI. Sarebbe una conclusione eccessiva, e talvolta anche organizzativamente sbagliata.
L’AI Act ha un perimetro più ampio della sola protezione dei dati: include sicurezza del prodotto, robustezza tecnica, qualità dei dataset, documentazione, conformità, rapporti con importatori, distributori, provider, notifiche di incidenti, market surveillance. Ridurre tutto questo al DPO sarebbe improprio.
Responsabilità del DPO nell’AI Act: il nodo delle garanzie
Il fatto che il Data Protection Officer sia espressamente previsto e disciplinato nel Regolamento (UE) 2016/679, mentre una figura analoga non trovi formale riconoscimento nell’AI Act, non rappresenta un elemento neutro, ma produce rilevanti implicazioni sul piano delle garanzie e, in particolare, sul regime di indipendenza.
Nel GDPR, infatti, il DPO è inserito in un quadro normativo che ne definisce puntualmente posizione, prerogative e tutele: indipendenza funzionale, assenza di istruzioni nello svolgimento dei compiti, divieto di rimozione o penalizzazione per l’esercizio delle proprie funzioni, adeguatezza delle risorse, accesso diretto ai vertici e collocazione organizzativa idonea a garantirne l’effettività. Tali elementi non costituiscono meri aspetti organizzativi, ma veri e propri presìdi giuridici, funzionali ad assicurare che la funzione di garanzia possa esplicarsi in modo sostanziale e non meramente formale.
Nel contesto dell’AI Act, l’assenza di una figura tipizzata comporta che tali garanzie non siano automaticamente estese a chi, nella prassi, venga chiamato a svolgere funzioni analoghe. Ne deriva una questione di rilievo sistemico: in quale misura, e attraverso quali strumenti, le organizzazioni possano (o debbano) replicare tali condizioni anche nell’ambito della governance dell’intelligenza artificiale.
Quando il DPO viene coinvolto, in via di fatto, anche nell’interpretazione e nell’attuazione dell’AI Act, si pone dunque l’esigenza di interrogarsi sulla portata delle garanzie che lo assistono. L’indipendenza riconosciuta dal GDPR può ritenersi automaticamente estesa anche a tali ulteriori ambiti? E, soprattutto, tale estensione è sufficiente a presidiare efficacemente funzioni che, pur contigue, presentano specificità tecniche e organizzative proprie?
Garanzie, risorse e inamovibilità
Analoghe considerazioni riguardano il tema dell’inamovibilità — o, più correttamente, della protezione da rimozioni o penalizzazioni —, della disponibilità di risorse adeguate e della collocazione organizzativa. Se il DPO è chiamato a farsi carico anche di profili di AI compliance, l’ampiezza e la complessità dei compiti rischiano di eccedere il perimetro originariamente disegnato dal GDPR, rendendo necessario un adeguamento concreto, e non solo nominale, delle condizioni operative. In difetto, il rischio è quello di un progressivo svuotamento delle garanzie, a fronte di un ampliamento sostanziale delle funzioni.
DPO e AI Act tra consulenza tecnica e accountability aziendale
In tale scenario, si innesta un ulteriore profilo critico. Se il DPO è chiamato a esprimere valutazioni sull’applicazione dell’AI Act, ad esempio in ordine alla classificazione di un sistema di intelligenza artificiale o alla sussistenza di specifici rischi, potrebbe emergere il dubbio che egli assuma una forma di responsabilità diretta rispetto alle decisioni conseguenti. Un’interpretazione di questo tipo appare, tuttavia, problematica.
Da un lato, essa comporterebbe un’estensione della responsabilità non prevista dal legislatore europeo; dall’altro, rischierebbe di alterare il delicato equilibrio organizzativo costruito dal GDPR, trasferendo su una figura di consulenza interna responsabilità che devono rimanere in capo ai vertici aziendali. Deve, pertanto, rimanere ferma la distinzione tra funzione di garanzia e funzione gestionale: non può essere imputata al DPO la responsabilità per le decisioni finali adottate dall’organizzazione, né per gli esiti delle stesse.
Il rischio concreto, in assenza di una chiara delimitazione, sarebbe quello di trasformare il DPO da garante della corretta interpretazione della normativa a responsabile operativo della compliance tecnologica, con effetti distorsivi sia sul piano giuridico sia su quello organizzativo.
Parallelamente, si determinerebbe una possibile attenuazione dell’accountability dei vertici aziendali, i quali potrebbero essere indotti a trasferire, anche solo implicitamente, il peso delle decisioni su una figura tecnica.
In assenza di un’esplicita disciplina normativa, la tenuta complessiva del sistema è dunque affidata alla capacità delle organizzazioni di tradurre in pratica i principi sottesi al modello del DPO, estendendone in modo coerente le garanzie anche ai nuovi ambiti di intervento. Ciò implica non solo il riconoscimento formale del ruolo, ma anche un adeguamento sostanziale delle condizioni di indipendenza, delle risorse e della collocazione organizzativa.
In questa prospettiva, la questione non è tanto se il DPO possa svolgere un ruolo anche nell’ambito dell’AI Act, quanto piuttosto a quali condizioni tale estensione sia sostenibile e coerente con i principi di indipendenza, efficacia e accountability che ne hanno giustificato l’introduzione nel sistema del GDPR. Solo mantenendo questo equilibrio sarà possibile evitare, da un lato, l’indebolimento della funzione di garanzia e, dall’altro, la sua indebita trasformazione in centro decisionale, preservando la coerenza complessiva dell’ordinamento europeo.
Autorità europee e chiarimenti interpretativi
Una possibile linea evolutiva, sul piano interpretativo e applicativo, potrebbe essere quella di promuovere un intervento chiarificatore da parte delle autorità competenti, sia a livello nazionale sia europeo. In particolare, accanto al ruolo già consolidato dell’European Data Protection Board in ambito privacy, il nuovo assetto delineato dall’AI Act prevede la costituzione di organismi europei dedicati alla governance dell’intelligenza artificiale, tra cui l’European Artificial Intelligence Board, chiamato a favorire un’applicazione coerente del regolamento e a supportare il coordinamento tra le autorità nazionali.
In questo contesto, potrebbe risultare particolarmente utile un orientamento interpretativo — sotto forma di linee guida, raccomandazioni o pareri — volto a chiarire i dubbi che rimangono ancora aperti. In mancanza di un intervento normativo espresso, un simile chiarimento da parte delle autorità contribuirebbe a colmare l’attuale area di incertezza, evitando sia il rischio di un indebolimento delle funzioni di garanzia, sia quello di una loro impropria espansione priva di adeguate tutele.
In fondo, ciò consentirebbe di accompagnare in modo ordinato l’evoluzione dei modelli organizzativi, riconoscendo formalmente una figura che, nella prassi, sta già emergendo: un presidio di governance della “Responsible AI” capace di integrare competenze giuridiche, tecniche e organizzative, nel solco dei principi di accountability che caratterizzano l’ordinamento europeo.
Bibliografia essenziale
Marc Bellon, Lionel Capel, Ernst-Oliver Wilhelm, Maria Moloney – Is the DPO the right person to be the AI Officer? – CEDPO AI and Data Working Group – Micro-Insights Series – July 2024.
Pietro Boccaccini – AI Officer: un presidio di legalità per l’uso responsabile dell’AI, Agenda Digitale
Consiglio d’Europa, Convenzione 108 per la protezione delle persone rispetto al trattamento automatizzato di dati personali, 1981 (e Protocollo di modernizzazione – Convenzione 108+)
De Hert, P., Papakonstantinou, V., The New General Data Protection Regulation: Still a Sound System for the Protection of Individuals?, Computer Law & Security Review
DPO Handbook – Data Protection Officer Training Resource, Progetto T4DATA
European Commission, Data Protection Officers – Responsibilities and Role
European Data Protection Board (già WP29), Guidelines on Data Protection Officers (DPOs), WP243 rev.01
European Data Protection Supervisor, Opinion on the data protection reform package, 2012
Garante per la protezione dei dati personali, contributi e documentazione progetto T4DATA
General Data Protection Regulation, artt. 37–39 e considerando 97
Direttiva (UE) 2016/680, art. 3, par. 4
Il DPO nell’era dell’AI Act – Grant Thornton
Kuner, C., Bygrave, L. A., Docksey, C. (eds.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press
Valeria Specchio – GDPR, che vuol dire essere DPO oggi: un ruolo difficile, tra AI e rischi cyber – Agenda Digitale
Voigt, P., von dem Bussche, A., The EU General Data Protection Regulation (GDPR): A Practical Guide, Springer
Partecipa alla community