Articolo 10: Dati e governance dei dati
1.
I sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) che utilizzano tecniche che prevedono l'uso di dati per l'addestramento di modelli di IA sono sviluppati sulla base di set di dati di addestramentodati di addestramentoi dati utilizzati per addestrare un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) adattandone i parametri che può apprendereArticle 3(29), convalida e prova che soddisfano i criteri di qualità di cui al presente articolo, paragrafi 2, 3 e 4, e all'articolo 4 bis, paragrafo 1, ogniqualvolta siano utilizzati tali set di dati.I sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) che utilizzano tecniche che prevedono l'uso di dati per l'addestramento di modelli di IA sono sviluppati sulla base di set di dati di addestramentodati di addestramentoi dati utilizzati per addestrare un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) adattandone i parametri che può apprendereArticle 3(29), convalida e prova che soddisfano i criteri di qualità di cui ai paragrafi da 2 a 5 ogniqualvolta siano utilizzati tali set di dati.
2.
I set di dati di addestramentodati di addestramentoi dati utilizzati per addestrare un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) adattandone i parametri che può apprendereArticle 3(29), convalida e prova sono soggetti a pratiche di governance e gestione dei dati adeguate alla finalità previstafinalità previstal'uso di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) previsto dal fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3), compresi il contesto e le condizioni d'uso specifici, come dettagliati nelle informazioni comunicate dal fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3) nelle istruzioni per l'uso, nel materiale promozionale o di vendita e nelle dichiarazioni, nonché nella documentazione tecnicaArticle 3(12) del sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2). Tali pratiche riguardano in particolare:
(a)
le scelte progettuali pertinenti;
(b)
i processi di raccolta dei dati e l'origine dei dati, nonché la finalità originaria della raccolta nel caso di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50);
(c)
le operazioni di trattamento pertinenti ai fini della preparazione dei dati, quali annotazione, etichettatura, pulizia, aggiornamento, arricchimento e aggregazione;
(d)
la formulazione di ipotesi, in particolare per quanto riguarda le informazioni che si presume che i dati misurino e rappresentino;
(e)
una valutazione della disponibilità, della quantità e dell'adeguatezza dei set di dati necessari;
(f)
un esame atto a valutare le possibili distorsioni suscettibili di incidere sulla salute e sulla sicurezza delle persone, di avere un impatto negativo sui diritti fondamentali o di comportare discriminazioni vietate dal diritto dell'Unione, specie laddove gli output di dati influenzano gli input per operazioni future;
(g)
le misure adeguate per individuare, prevenire e attenuare le possibili distorsioni individuate conformemente alla lettera f);
(h)
l'individuazione di lacune o carenze pertinenti nei dati tali da pregiudicare il rispetto del presente regolamento e il modo in cui tali lacune e carenze possono essere colmate.
3.
I set di dati di addestramentodati di addestramentoi dati utilizzati per addestrare un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) adattandone i parametri che può apprendereArticle 3(29), convalida e prova sono pertinenti, sufficientemente rappresentativi e, nella misura del possibile, esenti da errori e completi nell'ottica della finalità previstafinalità previstal'uso di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) previsto dal fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3), compresi il contesto e le condizioni d'uso specifici, come dettagliati nelle informazioni comunicate dal fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3) nelle istruzioni per l'uso, nel materiale promozionale o di vendita e nelle dichiarazioni, nonché nella documentazione tecnicaArticle 3(12). Essi possiedono le proprietà statistiche appropriate anche, ove applicabile, per quanto riguarda le persone o i gruppi di persone relativamente ai quali il sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) è destinato a essere usato. Queste caratteristiche dei set di dati possono essere soddisfatte a livello di singoli set di dati o a livello di una combinazione degli stessi.
4.
I set di dati tengono conto, nella misura necessaria per la finalità previstafinalità previstal'uso di un sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) previsto dal fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3), compresi il contesto e le condizioni d'uso specifici, come dettagliati nelle informazioni comunicate dal fornitorefornitoreuna persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuitoArticle 3(3) nelle istruzioni per l'uso, nel materiale promozionale o di vendita e nelle dichiarazioni, nonché nella documentazione tecnicaArticle 3(12), delle caratteristiche o degli elementi particolari dello specifico ambito geografico, contestuale, comportamentale o funzionale all'interno del quale il sistema di IAsistema di IAun sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtualiArticle 3(1) ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) è destinato a essere usato.
5.
Nella misura in cui ciò sia strettamente necessario al fine di garantireil rilevamento e la correzione delle distorsioni in relazione ai sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) in conformità del paragrafo 2, lettere f) e g), del presente articolo, i fornitori di tali sistemi possono eccezionalmente trattare categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37), fatte salve le tutele adeguate per i diritti e le libertà fondamentali delle persone fisiche. Oltre alle disposizioni di cui ai regolamenti (UE) 2016/679 e (UE) 2018/1725 e alla direttiva (UE) 2016/680 devono essere soddisfatte, affinché tale trattamento avvenga, tutte le condizioni seguenti:
(a)
il rilevamento e la correzione delle distorsioni non possono essere realizzati efficacemente mediante il trattamento di altri dati, compresi i dati sintetici o anonimizzati;
(b)
le categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) sono soggette a limitazioni tecniche relative al riutilizzo dei dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50), nonché a misure più avanzate di sicurezza e di tutela della vita privata, compresa la pseudonimizzazione;
(c)
le categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) sono soggette a misure tese a garantire che i dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) trattati siano resi sicuri e protetti nonché soggetti a garanzie adeguate, ivi compresi controlli e documentazione rigorosi dell'accesso, al fine di evitare abusi e garantire che solo le persone autorizzate e sottostanti a opportuni obblighi di riservatezza abbiano accesso a tali dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50);
(d)
le categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) non devono essere trasmesse, trasferite o altrimenti consultate da terzi;
(e)
le categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) vengono cancellate dopo che la distorsione è stata corretta oppure i dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) hanno raggiunto la fine del loro periodo di conservazione, a seconda di quale delle due condizioni si verifica per prima;
(f)
i registri delle attività di trattamento a norma dei regolamenti (UE) 2016/679 e (UE) 2018/1725 e della direttiva (UE) 2016/680 comprendono i motivi per cui il trattamento delle categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) era strettamente necessario per rilevare e correggere distorsioni e i motivi per cui tale obiettivo non poteva essere raggiunto mediante il trattamento di altri dati.
6.
Per lo sviluppo di sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) che non utilizzano tecniche che prevedono l'addestramento di modelli di IA, i paragrafi 2, 3 e 4 del presente articolo e l'articolo 4 bis, paragrafo 1, si applicano solo ai set di dati di provadati di provai dati utilizzati per fornire una valutazione indipendente delsistema di IA al fine di confermarne le prestazioni attese prima della sua immissione sul mercato o messa in servizioArticle 3(32).Per lo sviluppo di sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) che non utilizzano tecniche che prevedono l'addestramento di modelli di IA, i paragrafi da 2 a 5 si applicano solo ai set di dati di provadati di provai dati utilizzati per fornire una valutazione indipendente delsistema di IA al fine di confermarne le prestazioni attese prima della sua immissione sul mercato o messa in servizioArticle 3(32).