Articolo 4a: Trattamento di categorie particolari di dati personali ai fini del rilevamento e della correzione delle distorsioni

Si applica a decorrere dal 27 luglio 2026, ai sensi di Omnibus digitale sull'IA, Articolo 4

1. Nella misura strettamente necessaria a garantire il rilevamento e la correzione delle distorsioni in relazione ai sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) in conformità dell'articolo 10, paragrafo 2, lettere f) e g), del presente regolamento, i fornitori di tali sistemi possono eccezionalmente trattare categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37), fatte salve le tutele adeguate per i diritti e le libertà fondamentali delle persone fisiche. Oltre alle disposizioni di cui ai regolamenti (UE) 2016/679 e (UE) 2018/1725 e alla direttiva (UE) 2016/680, a seconda dei casi, sono soddisfatte, affinché tale trattamento avvenga, tutte le condizioni seguenti:

(a) il rilevamento e la correzione delle distorsioni non possono essere realizzati efficacemente mediante il trattamento di altri dati, compresi i dati sintetici o anonimizzati;

(b) le categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) sono soggette a limitazioni tecniche relative al riutilizzo dei dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50), nonché a misure più avanzate di sicurezza e di tutela della vita privata, compresa la pseudonimizzazione;

(c) le categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) sono soggette a misure tese a garantire che i dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) trattati siano resi sicuri e protetti nonché soggetti a garanzie adeguate, ivi compresi controlli e documentazione rigorosi dell'accesso, al fine di evitare abusi e garantire che solo le persone autorizzate e sottostanti a opportuni obblighi di riservatezza abbiano accesso a tali dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50);

(d) le categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) non sono trasmesse, trasferite o altrimenti consultate da terzi;

(e) le categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) vengono cancellate dopo che la distorsione è stata corretta oppure i dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) hanno raggiunto la fine del loro periodo di conservazione, a seconda di quale delle due condizioni si verifica per prima; e

(f) i registri delle attività di trattamento a norma dei regolamenti (UE) 2016/679 e (UE) 2018/1725 e della direttiva (UE) 2016/680 comprendono i motivi per cui il trattamento delle categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) era strettamente necessario per rilevare e correggere distorsioni e i motivi per cui tale obiettivo non poteva essere raggiunto mediante il trattamento di altri dati.

2. I fornitori e i deployerdeployeruna persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un'attività personale non professionaleArticle 3(4) di altri sistemi e modelli di IA e i deployerdeployeruna persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un'attività personale non professionaleArticle 3(4) di sistemi di IA ad alto rischiorischiola combinazione della probabilità del verificarsi di un danno e la gravità del danno stessoArticle 3(2) possono eccezionalmente trattare categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)categorie particolari di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50)le categorie di dati personalidati personalii dati personali quali definiti all'articolo 4, punto 1), del regolamento (UE) 2016/679Article 3(50) di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all'articolo 10 della direttiva (UE) 2016/680 e all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725Article 3(37) nella misura in cui:

(a) tale trattamento è strettamente necessario per garantire il rilevamento e la correzione di possibili distorsioni suscettibili di incidere sulla salute e sulla sicurezza delle persone, di avere un impatto negativo sui diritti fondamentali o di comportare discriminazioni vietate dal diritto dell'Unione, specie laddove gli output di dati influenzano gli input per operazioni future; e

(b) sono applicate tutte le condizioni e le garanzie di cui al paragrafo 1.

Il presente paragrafo non crea alcun obbligo di rilevare e correggere tali distorsioni.