Glossario del diritto digitale

Chi sviluppa un sistema di intelligenza artificiale, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.

È il ruolo con gli obblighi più estesi dell'AI Act: documentazione tecnica, sistema di gestione della qualità e dei rischi, istruzioni per l'uso, marcatura e gestione degli incidenti gravi. Chi adotta un sistema altrui può diventare fornitore se lo immette sul mercato con il proprio marchio o se ne modifica in modo sostanziale la finalità.

Riferimento Art. 3 del Reg. (UE) 2024/1689 (AI Act)

Vedi AI Act e AI governance

Chi utilizza un sistema di intelligenza artificiale sotto la propria autorità nell'ambito di un'attività professionale.

È la posizione in cui si trova la maggior parte delle imprese. Gli obblighi sono più contenuti di quelli del fornitore ma non assenti: uso secondo le istruzioni, sorveglianza umana, formazione del personale e, in diversi casi, informazione alle persone coinvolte. Un'azienda che adotta un software di selezione del personale basato su intelligenza artificiale è un deployer.

Riferimento Art. 3 del Reg. (UE) 2024/1689 (AI Act)

Vedi AI Act e AI governance

Sistema di intelligenza artificiale che, per il contesto in cui opera, può incidere in modo significativo su salute, sicurezza o diritti fondamentali.

La classificazione non dipende dalla tecnologia ma dall'uso: rientrano, tra gli altri, i sistemi impiegati nella selezione del personale, nell'accesso a servizi essenziali, nell'istruzione e in ambito sanitario. Dalla classificazione discendono gli obblighi più onerosi del regolamento, per il fornitore e in misura minore per l'utilizzatore.

Riferimento Art. 6 e allegato III del Reg. (UE) 2024/1689 (AI Act)

Vedi AI Act e AI governance

Il livello di competenza che fornitori e utilizzatori devono garantire alle persone che impiegano sistemi di intelligenza artificiale per loro conto.

Richiede che chi usa questi strumenti ne comprenda funzionamento, limiti e rischi, in misura proporzionata al ruolo e al contesto. La formazione documentata, con registro delle presenze e materiali conservati, è il modo più diretto per dimostrare l'adempimento. È tra le prime disposizioni del regolamento diventate applicabili.

Riferimento Art. 4 del Reg. (UE) 2024/1689 (AI Act)

Vedi Formazione e AI literacy

L'insieme delle informazioni che devono essere rese quando una persona interagisce con un sistema di intelligenza artificiale o riceve contenuti generati artificialmente.

Chi mette a disposizione un assistente conversazionale deve rendere noto che l'interlocutore è un sistema automatizzato; i contenuti sintetici vanno marcati in modo leggibile dalle macchine e i deepfake dichiarati. Gli obblighi gravano sia su chi sviluppa sia, in parte, su chi utilizza.

Riferimento Art. 50 del Reg. (UE) 2024/1689 (AI Act)

Vedi AI Act e AI governance · Trasparenza AI: cosa scatta il 2 agosto

Modello di intelligenza artificiale addestrato su grandi quantità di dati, capace di svolgere compiti diversi e di essere integrato in molteplici sistemi a valle.

Il regolamento dedica a questi modelli una disciplina autonoma, con obblighi di documentazione tecnica, informazioni ai fornitori a valle e rispetto del diritto d'autore. Per i modelli che presentano un rischio sistemico si aggiungono valutazioni, test avversariali e notifica degli incidenti.

Riferimento Artt. 51 e seguenti del Reg. (UE) 2024/1689 (AI Act)

Vedi AI Act e AI governance

Valutazione che alcuni utilizzatori di sistemi ad alto rischio devono svolgere prima della messa in uso, per stimare l'impatto sui diritti delle persone coinvolte.

Riguarda in particolare organismi pubblici e soggetti che erogano servizi pubblici. Si distingue dalla valutazione d'impatto sulla protezione dei dati prevista dal GDPR, anche se le due possono essere condotte insieme quando il sistema tratta dati personali.

Riferimento Art. 27 del Reg. (UE) 2024/1689 (AI Act)

Vedi AI Act e AI governance

Chi determina le finalità e i mezzi del trattamento dei dati personali.

È il soggetto su cui grava la responsabilità principale: informative, basi giuridiche, registro, misure di sicurezza, rapporti con gli interessati e con l'autorità. La qualificazione non dipende da come le parti si definiscono nel contratto ma da chi decide effettivamente perché e come i dati vengono trattati.

Riferimento Art. 4, n. 7 del Reg. (UE) 2016/679 (GDPR)

Vedi Privacy e GDPR

Chi tratta dati personali per conto del titolare, sulla base di istruzioni documentate.

È la posizione tipica dei fornitori di servizi informatici, delle piattaforme in modalità software come servizio e delle agenzie. Il rapporto va disciplinato con un accordo che fissa oggetto, durata, misure di sicurezza, subappalto e sorte dei dati alla cessazione.

Riferimento Artt. 4, n. 8 e 28 del Reg. (UE) 2016/679 (GDPR)

Vedi Contratti e commercio digitale

Figura che sorveglia l'osservanza della normativa sulla protezione dei dati all'interno dell'organizzazione e fa da punto di contatto con l'autorità.

La nomina è obbligatoria per gli enti pubblici, per chi svolge monitoraggio regolare e sistematico su larga scala e per chi tratta su larga scala categorie particolari di dati. Deve disporre di risorse e indipendenza, e non può trovarsi in conflitto di interessi con altri ruoli ricoperti.

Riferimento Artt. 37, 38 e 39 del Reg. (UE) 2016/679 (GDPR)

Vedi DPO esterno

Analisi preventiva richiesta quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone.

Serve a descrivere il trattamento, valutarne necessità e proporzionalità, stimare i rischi e individuare le misure per ridurli. È tipicamente necessaria per profilazione su larga scala, monitoraggio sistematico di aree accessibili al pubblico e trattamenti di dati sanitari o biometrici.

Riferimento Art. 35 del Reg. (UE) 2016/679 (GDPR)

Vedi Privacy e GDPR

Violazione di sicurezza che comporta distruzione, perdita, modifica, divulgazione o accesso non autorizzato a dati personali.

Il titolare deve valutare il rischio e, quando questo non è improbabile, notificare al Garante entro 72 ore dalla conoscenza; se il rischio è elevato deve informare anche le persone coinvolte. Ogni violazione va comunque documentata nel registro, anche quando la notifica non è dovuta.

Riferimento Artt. 4, n. 12, 33 e 34 del Reg. (UE) 2016/679 (GDPR)

Vedi Privacy e GDPR

Base giuridica che consente il trattamento quando serve a perseguire un interesse legittimo del titolare o di terzi, salvo che prevalgano i diritti dell'interessato.

Richiede una valutazione di bilanciamento documentata, che consideri le aspettative ragionevoli delle persone e le misure adottate per ridurre l'impatto. Non è una base residuale da invocare quando il consenso è scomodo: dove la norma impone il consenso, il legittimo interesse non lo sostituisce.

Riferimento Art. 6, par. 1, lett. f) del Reg. (UE) 2016/679 (GDPR)

Vedi Privacy e GDPR

Possibilità di inviare comunicazioni commerciali via email a propri clienti, per prodotti o servizi analoghi a quelli già acquistati, senza consenso preventivo.

Opera solo se l'indirizzo è stato raccolto nel contesto della vendita, se le comunicazioni riguardano beni o servizi analoghi e se all'interessato è data la possibilità di opporsi al momento della raccolta e in ogni invio successivo. Fuori da queste condizioni serve il consenso.

Riferimento Art. 130, comma 4 del D.lgs. 196/2003 (Codice privacy)

Vedi Privacy e GDPR · Pixel di tracciamento nelle email

Rimozione di un contenuto dai risultati associati al nome di una persona su un motore di ricerca, senza cancellazione della pagina di origine.

Si fonda sul diritto alla cancellazione e presuppone un bilanciamento tra la riservatezza della persona e l'interesse pubblico all'informazione. Rilevano l'attualità della notizia, il ruolo pubblico dell'interessato e la natura dei dati.

Riferimento Art. 17 del Reg. (UE) 2016/679 (GDPR)

Vedi Diritti digitali

Comunicazione di dati personali verso un paese terzo o un'organizzazione internazionale.

È ammesso in presenza di una decisione di adeguatezza, di garanzie adeguate come le clausole contrattuali tipo, o di deroghe per situazioni specifiche. Con le clausole tipo è richiesta anche una valutazione del contesto giuridico del paese di destinazione.

Riferimento Artt. 44 e seguenti del Reg. (UE) 2016/679 (GDPR)

Vedi Contratti e commercio digitale

Direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia nel 2024.

Impone misure di gestione del rischio informatico, obblighi di notifica degli incidenti e responsabilità in capo agli organi di amministrazione. Il perimetro dei soggetti è molto più ampio di quello della direttiva precedente e include settori come produzione, trasporti, servizi digitali e gestione dei rifiuti.

Riferimento Dir. (UE) 2022/2555, recepita con il D.lgs. 138/2024

Vedi Cybersecurity e NIS2

Regolamento europeo sulla resilienza operativa digitale del settore finanziario.

Si applica a banche, assicurazioni, intermediari e ai loro fornitori di servizi informatici. Disciplina la governance del rischio tecnologico, i contratti con i fornitori, il registro delle informazioni, la segnalazione degli incidenti e i test di resilienza.

Riferimento Reg. (UE) 2022/2554

Vedi Cybersecurity e NIS2

Regolamento europeo che introduce requisiti di cybersicurezza per i prodotti con elementi digitali.

Riguarda hardware e software connessi, dal firmware di un dispositivo all'applicazione venduta ai clienti. Prevede requisiti essenziali di sicurezza, gestione delle vulnerabilità lungo il ciclo di vita e obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi.

Riferimento Reg. (UE) 2024/2847

Vedi Cybersecurity e NIS2

Regolamento europeo sui servizi digitali, che disciplina gli obblighi degli intermediari online verso utenti e autorità.

Introduce procedure di segnalazione e rimozione dei contenuti, sistemi interni di gestione dei reclami, obblighi di trasparenza sulla pubblicità e sui sistemi di raccomandazione, con intensità crescente in base alla dimensione del servizio.

Riferimento Reg. (UE) 2022/2065

Vedi Piattaforme e servizi digitali

Regolamento che disciplina i rapporti tra piattaforme online e utenti commerciali che le utilizzano per raggiungere i consumatori.

Impone condizioni contrattuali chiare, preavviso per le modifiche, motivazione in caso di sospensione o cessazione del servizio, trasparenza sui criteri di posizionamento e una procedura interna di reclamo.

Riferimento Reg. (UE) 2019/1150

Vedi Piattaforme e servizi digitali

Regolamento europeo su accesso, uso e condivisione dei dati generati da prodotti connessi e servizi correlati.

Riconosce all'utente il diritto di accedere ai dati che genera usando un prodotto e di condividerli con terzi, impone informazioni prima della vendita e disciplina le condizioni di cambio fornitore nei servizi di trattamento dati.

Riferimento Reg. (UE) 2023/2854

Vedi Piattaforme e servizi digitali

Figura organizzativa, non imposta dalla norma, che presidia nel tempo i sistemi di intelligenza artificiale adottati dall'organizzazione.

Tiene l'inventario dei sistemi, ne cura la classificazione, valuta i nuovi casi d'uso e i fornitori prima dell'adozione, mantiene la policy interna e monitora le scadenze applicative. Si distingue dal responsabile della protezione dei dati, che risponde invece a un obbligo di legge.

Riferimento Figura volontaria; funzioni correlate agli obblighi del Reg. (UE) 2024/1689 (AI Act)

Vedi AI Officer e AI governance