Lo scorso 21 ottobre il Consiglio europeo ha adottato la nuova versione del Digital Omnibus destinata a rappresentare la base di discussione nel trilogo che dovrà, poi, condurre all’approvazione definitiva del Regolamento.
La proposta, tra l’altro, torna su una delle questioni più attuali e rilevanti sul tavolo: quella del legittimo interesse come base giuridica per il trattamento dei dati personali per l’addestramento e l’utilizzo dei sistemi di intelligenza artificiale.
Il nuovo testo, tuttavia, sta già creando tanta inutile ed evitabile confusione.
Ecco perché.
Indice degli argomenti
Digital Omnibus e legittimo interesse per l’IA: il nodo dell’articolo 88-bis
L’art. 88-bis, sotto la rubrica “Trattamento nel contesto dello sviluppo e del funzionamento dell’IA” stabilisce che “1. Il trattamento di dati personali nel contesto dello sviluppo e del funzionamento di un sistema di IA o di un modello di IA può essere effettuato per un legittimo interesse del titolare del trattamento o di un terzo ai sensi dell’articolo 6, paragrafo 1, lettera f), del presente regolamento.
- Il paragrafo 1 non pregiudica l’obbligo del titolare del trattamento di scegliere una base giuridica adeguata del trattamento tra quelle previste dall’articolo 6 del presente regolamento.
- Indipendentemente dalla base giuridica del trattamento ai sensi dell’articolo 6, il trattamento nel contesto dello sviluppo e del funzionamento dell’IA è soggetto a misure tecniche e organizzative adeguate e a garanzie a tutela dei diritti e delle libertà dell’interessato in conformità al presente regolamento, compreso il diritto di opposizione di cui all’articolo 21.”.
È una formulazione ambigua e ambivalente, oggettivamente scritta male che si può leggere come volta a stabilire che il legittimo interesse rappresenti, sempre e comunque, una valida base giuridica per il trattamento dei dati personali nel contesto dello “sviluppo e del funzionamento di un sistema di IA” qualsiasi cosa si intenda con tale espressione ma anche
come finalizzata, semplicemente, a ribadire e confermare quanto già previsto nel GDPR e, peraltro, confermato nel parere 28/2024 dall’European Data Protection Board (EDPB), il Comitato dei Garanti europei.
Noyb, l’associazione fondata da Max Schrems, lo legge nel primo senso e, infatti, ha già lanciato l’allarme e gridato alla svendita dei dati personali dei cittadini europei ai giganti dell’intelligenza artificiale americana.
Il Considerando 33 (a) e la valutazione caso per caso
Il nuovo testo del Considerando 33 (a), pure adottato dal Consiglio, tuttavia, suggerisce, prudenza in questa lettura e, soprattutto, nel dar fuoco alle polveri e fa propendere, al contrario, per la seconda opzione interpretativa.
Recita, infatti: “Il trattamento di dati personali nel contesto dello sviluppo e del funzionamento di un sistema di IA o di un modello di IA può essere effettuato per un legittimo interesse del titolare del trattamento interessato ai sensi dell’articolo 6, paragrafo 1, lettera f), del regolamento (UE) 2016/679, ove appropriato, salvo che tali interessi siano superati dagli interessi, o dai diritti e dalle libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare quando l’interessato è un minore, o quando altre disposizioni del diritto dell’Unione o nazionale richiedano esplicitamente il consenso.
Ciò non pregiudica l’obbligo del titolare del trattamento di scegliere una base giuridica adeguata tra quelle previste dall’articolo 6 del regolamento (UE) 2016/679, come l’articolo 6, paragrafo 1, lettera e), per i trattamenti effettuati da autorità pubbliche.
[…] Indipendentemente dalla base giuridica del trattamento, tale trattamento dovrebbe essere soggetto a misure organizzative e tecniche e a garanzie adeguate per i diritti e le libertà dell’interessato, come il rispetto della minimizzazione dei dati nella fase di selezione delle fonti, e per proteggere dalla divulgazione dei dati conservati in modo residuale nel sistema di IA o nel modello di IA.
Le altre disposizioni del presente regolamento restano impregiudicate dal fatto che un titolare del trattamento si avvalga di tale base giuridica. È importante chiarire che lo sviluppo e il funzionamento di un sistema di IA o di un modello di IA non costituiscono di per sé un legittimo interesse e che l’applicabilità dell’articolo 6, paragrafo 1, lettera f), al trattamento nel contesto dell’IA deve essere valutata caso per caso, tenendo conto della finalità sottostante di tale trattamento.”.
A leggere il Considerando, quindi, non cambierebbe nulla e la nuova disposizione servirebbe semplicemente a ribadire, per la verità, l’ovvio ovvero che al ricorrere delle condizioni e presupposti già previsti dal GDPR, il legittimo interesse può rappresentare una valida base giuridica.
Legittimo interesse e IA: il parere ignorato di EDPB ed EDPS
Se fosse corretta questa seconda lettura il Consiglio, tuttavia, starebbe completamente ignorando il parere congiunto dell’EDPB e dell’EDPS, proprio sul Digital Omnibus, del 10 febbraio 2026.
In tale parere, infatti, EDPB e EDPS hanno già chiarito che “poiché l’EDPB lo ha già esplicitamente confermato nel suo parere 28/2024 sui modelli di IA, non appare necessario inserire una disposizione specifica in tal senso”, aggiungendo anche che una previsione di questo genere, ovvero che si limitasse a ribadire che il legittimo interesse può essere considerato una base giuridica valida, non apporterebbe “alcun chiarimento giuridico dopo il parere 28/2024.”.
Un messaggio chiaro e inequivoco: l’interpretazione autentica e uniforme a livello europeo della disciplina vigente è già stata data, in un apposito parere, dall’organo a ciò preposto e non serve che il legislatore ci torni sopra senza aggiungere nulla e, anzi, rischiando di far confusione.
Una posizione difficile da non condividere.
Specie tenuto conto dell’unica finalità dichiarata del Digital Omnibus: semplificare la disciplina vigente.
Una finalità difficilmente compatibile attraverso la produzione di altre norme inutili che ribadiscono l’ovvio.
Ma non basta.
EDPB e EDPS, infatti, nel loro parere erano andati oltre e si pronunciavano anche sull’ipotesi nella quale, nonostante tale loro indicazione, il legislatore avesse comunque deciso di intervenire sulla materia.
Ci avevano visto lungo perché è esattamente quello che sta accadendo.
Al riguardo, nello stesso parere, infatti, scrivono: “Qualora i colegislatori mantengano nel testo finale il primo paragrafo del proposto articolo 88c GDPR [ndr ora 88 bis nel testo adottato dal Consiglio], l’EDPB e l’EDPS raccomandano di chiarire ulteriormente i seguenti aspetti, per realizzare pienamente l’obiettivo di garantire certezza del diritto e condizioni applicabili chiare per i titolari del trattamento.”.
Il punto, ancora una volta, è chiaro: non serve intervenire sulla materia per ribadire ciò che deve considerarsi già chiaro ma se di decide di farlo comunque, almeno, che lo si faccia bene.
E vale la pena leggere le indicazioni dei Garanti europei ai colegislatori perché, esattamente, come il suggerimento di non intervenire, sin qui, sembrano tutte rimaste tradite e inascoltate.
Il test in tre fasi per il legittimo interesse nell’IA
“In primo luogo, – scrivono i Garanti e il Supervisor europeo – come più volte ricordato dalla Corte di giustizia e specificato ulteriormente nelle linee guida EDPB 1/2024, i titolari che intendono fare affidamento sul legittimo interesse ai sensi dell’articolo 6, paragrafo 1, lettera f), GDPR dovrebbero effettuare un test in tre fasi per valutare se tale base giuridica sia appropriata.
La proposta dovrebbe fare espresso riferimento al «legittimo interesse» nella prima parte del primo paragrafo del proposto articolo 88c [ndr ora 88 bis nel testo adottato dal Consiglio] GDPR e precisare che i titolari possono invocare lecitamente l’articolo 6, paragrafo 1, lettera f), GDPR solo se tutte le condizioni di tale disposizione sono soddisfatte. Ciò significa che, in linea con il considerando 30 della proposta, i titolari devono comunque effettuare la necessaria valutazione caso per caso in tre fasi per verificare di poter invocare lecitamente l’articolo 6, paragrafo 1, lettera f), GDPR.”.
Le condizioni per ritenere utilizzabile la base giuridica del legittimo interesse a un trattamento di dati personali, insomma, sono chiare e, quindi, se proprio si sceglie di tornare a disciplinare l’utilizzabilità del legittimo interesse come base giuridica per “sviluppo e funzionamento” dell’intelligenza artificiale, sarebbe opportuno richiamarle espressamente senza dare a pensare che ce ne siano di altre e diverse.
Tanto buon senso, ancora.
Ma, ancora una volta, buon senso sin qui, almeno apparentemente, inascoltato.
Il già richiamato testo dell’art.88 bis, infatti, non contiene alcun riferimento alla circostanza che il ricorso al legittimo interesse, quale base giuridica per sviluppare gli algoritmi o garantirne il funzionamento, debba esser subordinato alla valutazione in tre step individuata nella giurisprudenza e, al contrario, suggerisce, come già detto, un’interpretazione assolutistica – quella criticata da Noyb nei giorni scorsi- secondo la quale il legittimo interesse, nel contesto dello sviluppo e funzionamento di sistemi di AI, sembrerebbe esser sempre una valida base giuridica.
E il riferimento puntuale a quanto suggerito dai Garanti europei non è presente neppure nel nuovo Considerando 33a inserito dal Consiglio nel testo appena adottato.
Il nodo di «ove appropriato»
Il Considerando, infatti, usa una formulazione nuova e diversa: “Il trattamento di dati personali nel contesto dello sviluppo e del funzionamento di un sistema di IA o di un modello di IA può essere effettuato per un legittimo interesse del titolare del trattamento interessato ai sensi dell’articolo 6, paragrafo 1, lettera f), del regolamento (UE) 2016/679, ove appropriato [ndr enfasi aggiunta], salvo che tali interessi siano superati dagli interessi, o dai diritti e dalle libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare quando l’interessato è un minore, o quando altre disposizioni del diritto dell’Unione o nazionale richiedano esplicitamente il consenso”.
Il ricorso a una formulazione diversa, peraltro solo in un Considerando e non nella disposizione vera e propria, dà corpo alle preoccupazioni di EDPB e EDPS perché, inevitabilmente, suggerisce la volontà di introdurre nell’ordinamento un regime speciale per il ricorso al legittimo interesse nel contesto dell’intelligenza artificiale.
Peraltro, il nuovo testo, contiene esattamente l’espressione che i Garanti europei, nel loro parere, avevano suggerito di eliminare perché possibile fonte di confusione: “ove appropriato”.
Ecco quello che scrivevano Garanti europei e supervisor:”rilevano inoltre che l’espressione «ove appropriato» nel proposto articolo 88c [ndr ora 88 bis nel testo adottato dal Consiglio] GDPR e nel considerando 30 della proposta riduce, anziché aumentare, la certezza del diritto, considerando che l’articolo 6, paragrafo 1, lettera f), GDPR richiede un test di necessità.”.
Chiara, una volta di più, l’indicazione dei Garanti europei: “ove appropriato” non significa “necessario”, ma è la “necessità” e non “l’appropriatezza” il riferimento che, alla luce della disciplina vigente, deve guidare il test sulla possibilità di ricorrere al legittimo interesse come base giuridica di un trattamento.
Perché cambiare o, almeno, dar l’impressione di voler cambiare approccio per le cose dell’intelligenza artificiale?
Inutile cercare risposte nel draf del Digital Omnibus licenziato dal Consiglio europeo perché non ve ne sono ancorché, forse, pur essendo, evidentemente, legittimo discostarsi dal parere dei Garanti europei e del Supervisor, sarebbe stato auspicabile, almeno, motivare la scelta, specie avendo deciso di far propria esattamente quella sconsigliata da chi è, tra l’altro, chiamato a garantire l’uniformità del diritto europeo in materia di protezione dei dati personali e sarà chiamato a applicare le nuove regole in discussione.
E considerazioni analoghe valgono per gli altri suggerimenti che EDPB e EDPS avevano dato ai colegislatori per l’ipotesi nella quale, pur contro il loro parere, avessero deciso di normare in materia di intelligenza artificiale e legittimo interesse.
Legittimo interesse nell’IA e diritto di opposizione
Queste le ulteriori raccomandazioni dei Garanti europei e del Supervisor: “Per quanto riguarda le misure di mitigazione da attuare, l’EDPB e l’EDPS accolgono con favore il riferimento a un diritto di opposizione incondizionato nel considerando 31 e nel secondo paragrafo del proposto articolo 88c [ndr ora 88 bis nel testo adottato dal Consiglio] GDPR. Tuttavia, anziché creare una nuova disposizione nel GDPR, tale diritto dovrebbe essere aggiunto all’articolo 21 GDPR, riferendosi specificamente alla situazione in cui il trattamento si basa sul legittimo interesse nel contesto dello sviluppo e del funzionamento dell’IA.
L’EDPB e l’EDPS raccomandano inoltre di chiarire che tale diritto dovrebbe essere portato all’attenzione degli interessati, quando possibile e con sufficiente anticipo rispetto al trattamento dei loro dati personali nel contesto dello sviluppo e del funzionamento dell’IA, per consentire loro di esercitarlo fin dall’inizio.
Tale chiarimento è necessario, dato che potrebbe rivelarsi tecnicamente difficile rimuovere dati personali conservati nel sistema o nel modello di IA.
Inoltre, l’EDPB e l’EDPS ritengono che l’espressione «diritto di opposizione incondizionato» dovrebbe essere specificata ulteriormente e che il considerando 31 dovrebbe chiarire che tale garanzia va oltre il diritto generale di opposizione previsto dall’articolo 21, paragrafo 1, GDPR.”.
Inchiostro e parole sprecate, almeno sin qui.
Forse come urla di Cassandra nella notte di Troia.
Dalla tutela rafforzata al diritto di opposizione ordinario
Tutto, egualmente, ignorato dal Consiglio che, non solo, non ha inserito nel testo adottato i chiarimenti auspicati nel parere ma ha addirittura eliminato l’unico riferimento presente nel vecchio testo, quello a un diritto di opposizione rafforzato, “incondizionato”, come lo aveva definito la Commissione europea nella proposta originaria.
L’idea, sacrosanta, della Commissione UE era quella già prevista nel GDPR per l’ipotesi in cui si ricorra al legittimo interesse per un trattamento per finalità di marketing, caso nel quale l’eventuale opposizione dell’interessato chiude la partita e impone la cessazione del trattamento senza lasciare al titolare del trattamento alcuno spazio per valutazioni di sorta circa la prevalenza del proprio interesse su quello degli interessati.
La Commissione aveva proposto di prevedere la stessa tutela rafforzata degli interessati anche per l’ipotesi nella quale il legittimo interesse venisse utilizzato come base giuridica per lo sviluppo e il funzionamento di sistemi di intelligenza artificiale.
Ma il Consiglio, evidentemente, non crede – almeno per il momento – che debba andare così.
Diritto di opposizione sì – e ci mancherebbe, vien da dire – ma diritto di opposizione ordinario, quello, insomma, previsto per ogni trattamento basato sul legittimo interesse dal testo vigente dell’art.21 del GDPR.
Difficile ritrovare nella storia moderna della relazione tra EDPB, EDPS e legislatore europeo, così poca uniformità di vedute, così poca attenzione del primo – per ora, almeno, relativamente al Consiglio – per l’opinione dei secondi, così tanta poca preoccupazione per le cose della privacy.
Siamo davvero all’inizio dell’iter legislativo e, quindi, è decisamente presto per proporre giudizi definitivi ma l’impressione che si ha a leggere, tra le righe, la tensione tra i suggerimenti dei Garanti europei per la protezione dei dati personali e il Consiglio è che le ragioni del mercato – o sedicenti tali – stiano, davvero, avendo la meglio su quelle dei diritti e che la geopolitica stia prendendo il sopravvento sulla protezione effettiva di un diritto fondamentale pur visceralmente legato al patrimonio cromosomico cultural-giuridico dell’Unione europea, come il diritto alla privacy.
E questa sensazione esce rafforzata se si leggono gli altri suggerimenti che EDPB e EDPS indirizzavano ai colegislatori europei.
Digital Omnibus, trasparenza e funzionamento dell’IA
Eccoli: “anche la «trasparenza rafforzata» è menzionata come misura di mitigazione senza chiarire la portata di tale obbligo di trasparenza. L’EDPB e l’EDPS raccomandano di chiarire questo aspetto specificando che essa comporta la fornitura di informazioni aggiuntive rispetto a quelle da fornire ai sensi degli articoli 13 e 14 GDPR.
In quarto luogo, l’EDPB e l’EDPS rilevano che il secondo paragrafo del proposto articolo 88c [ndr ora 88 bis nel testo adottato dal Consiglio] GDPR prevede un elenco non esaustivo di misure da adottare per ridurre al minimo i rischi e gli impatti per gli interessati. Tuttavia, come già ricordato dall’EDPB, le misure di mitigazione non dovrebbero essere confuse con le misure che il titolare è tenuto per legge ad adottare per garantire la conformità al GDPR, tra cui ad esempio i diritti degli interessati. L’EDPB e l’EDPS ritengono che questo aspetto debba essere chiarito nella proposta.
In quinto luogo, per garantire chiarezza giuridica, l’EDPB e l’EDPS raccomandano di definire il termine «funzionamento» (operation) [di un sistema di IA], che non è definito né nel GDPR né nel regolamento sull’intelligenza artificiale (AI Act).”.
Nessuna di queste indicazioni, almeno sin qui, ha trovato posto nel testo del Digital Omnibus adottato dal Consiglio perché rappresenti la base di negoziazione con gli altri colegislatori.
Difficile, in queste condizioni – anche a voler adottare una linea di maggior prudenza rispetto a quella incendiaria adottata da Noyb e a voler dar atto della circostanza che il nuovo Considerando 33 (a) mitiga la portata del nuovo testo dell’articolo 88-bis – non chiedersi sul reale obiettivo perseguito dal Consiglio UE.
Perché, nel testo di un Regolamento come il Digital Omnibus, dichiaratamente finalizzato alla semplificazione normativa introdurre delle disposizioni di legge che – se questa fosse l’interpretazione da preferire – non fanno altro che ribadire quanto già previsto dalla disciplina vigente addirittura contro l’opinione di EDPB e EDPS?
Perché, anche a scegliere questa strada apparentemente incomprensibile, percorrerla ignorando sistematicamente tutte le indicazioni – nessuna esclusa – delle Autorità di protezione dei dati personali che le nuove regole dovranno poi applicare?
Ma, soprattutto, e, passando dal metodo al merito, perché, davanti a un contesto come l’attuale nel quale, quotidianamente, gli stessi leader mondiali dell’industria dell’intelligenza artificiale si dichiarano preoccupati per le conseguenze dello sviluppo incontrollato dei loro prodotti e servizi, non considerare neppure l’idea, almeno, di rafforzare la protezione della privacy delle centinaia di milioni di persone che vivono nell’Unione europea, riconoscendo loro, almeno, il diritto a una trasparenza rafforzata e un diritto di opposizione incondizionato davanti a trattamenti dei loro dati personali iniziati in assenza di qualsivoglia loro manifestazione di volontà e per una finalità sostanzialmente indefinita?
Lascia perplessi, insomma, quanto accaduto sin qui in Consiglio.
Legittimo interesse nel Digital Omnibus: i rischi per la privacy
Non si può dimenticare che, sin qui, le fabbriche globali degli algoritmi hanno fagocitato i dati personali delle centinaia di milioni di persone che vivono in Europa, per anni, in condizioni di totale assenza di trasparenza e, quindi, più di recente, in condizioni di trasparenza fragile e claudicante e riconoscendo un diritto di opposizione, parziale, difficile da esercitare, debolissimo in termini di effettività considerato che nessuno è effettivamente in grado di esigere da uno qualsiasi dei leader mondiali dell’industria dell’intelligenza artificiale una reale cessazione di qualsivoglia trattamento di dati personali che lo riguardi come esigerebbero le regole oggi in vigore.
In un contesto di questo genere, ciò che si attenderebbe da un legislatore che scelga di metter mano alla materia è adotti soluzioni capaci di garantire in maniera effettiva agli interessati almeno un livello di protezione dei propri dati personali non inferiore a quello loro attualmente garantito in relazione a qualsiasi altro trattamento svolto da qualsiasi altro titolare del trattamento sulla base del legittimo interesse.
Ma niente di tutto ciò sembra intravedersi, neppure all’orizzonte, nel testo licenziato dal Consiglio che, al contrario, come si è detto, sembra solo far tanta confusione per nulla.
A questo punto non resta che auspicare che nel trilogo, Parlamento e Commissione, possano far meglio e di più.
Altrimenti, almeno al riguardo, il Digital Omnibus sarà stata un’occasione sprecata, con regole che non sortiranno altro effetto che aggravare l’ipertrofia normativa della quale già soffre l’Ordinamento europeo, lasciando aperte questioni interpretative epocali che genereranno ulteriore incertezza giuridica in un ambito nel quale è insostenibile in ragione del ritmo al quale avanza il progresso tecnologico.
Nessun allarme catastrofista e liberticida, quindi, almeno per ora.
Ma tanta preoccupazione sì, perché non sembra davvero la strada di maneggiare una materia dalla quale dipendono, in buona misura, al tempo stesso, il futuro di uno dei settori industriali più promettenti del momento, la solidità e effettività di un diritto – quello alla protezione dei dati personali – mai tanto importante e centrale nella vita delle persone e la sostenibilità umana e democratica dell’impatto dell’intelligenza artificiale sulla società.
Partecipa alla community