Disposizioni e deleghe al Governo in materia di intelligenza artificiale

1. La presente legge reca principi in materia di ricerca, sperimentazione, sviluppo, adozione e applicazione di sistemi e di modelli di intelligenza artificiale. Promuove un utilizzo corretto, trasparente e responsabile, in una dimensione antropocentrica, dell'intelligenza artificiale, volto a coglierne le opportunita'.
Garantisce la vigilanza sui rischi economici e sociali e sull'impatto sui diritti fondamentali dell'intelligenza artificiale.

2. Le disposizioni della presente legge si interpretano e si applicano conformemente al regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024.

1. Ai fini della presente legge, si intendono per:

1. a) sistema di intelligenza artificiale: il sistema definito dall'articolo 3, punto 1), del regolamento (UE) 2024/1689;

2. b) dato: qualsiasi rappresentazione digitale di atti, fatti o informazioni e qualsiasi raccolta di tali atti, fatti o informazioni, anche sotto forma di registrazione sonora, visiva o audiovisiva;

3. c) modelli di intelligenza artificiale: i modelli definiti dall'articolo 3, punto 63), del regolamento (UE) 2024/1689.

2. Per quanto non espressamente previsto, si rimanda alle definizioni di cui al regolamento (UE) 2024/1689.

1. La ricerca, la sperimentazione, lo sviluppo, l'adozione, l'applicazione e l'utilizzo di sistemi e di modelli di intelligenza artificiale per finalita' generali avvengono nel rispetto dei diritti fondamentali e delle liberta' previste dalla Costituzione, del diritto dell'Unione europea e dei principi di trasparenza, proporzionalita', sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione, parita' dei sessi e sostenibilita'.

2. Lo sviluppo di sistemi e di modelli di intelligenza artificiale per finalita' generali avviene su dati e tramite processi di cui devono essere garantite e vigilate la correttezza, l'attendibilita', la sicurezza, la qualita', l'appropriatezza e la trasparenza, secondo il principio di proporzionalita' in relazione ai settori nei quali sono utilizzati.

3. I sistemi e i modelli di intelligenza artificiale per finalita' generali devono essere sviluppati e applicati nel rispetto dell'autonomia e del potere decisionale dell'uomo, della prevenzione del danno, della conoscibilita', della trasparenza, della spiegabilita' e dei principi di cui al comma 1, assicurando la sorveglianza e l'intervento umano.

4. L'utilizzo di sistemi di intelligenza artificiale non deve pregiudicare lo svolgimento con metodo democratico della vita istituzionale e politica e l'esercizio delle competenze e funzioni delle istituzioni territoriali sulla base dei principi di autonomia e sussidiarieta' e non deve altresi' pregiudicare la liberta' del dibattito democratico da interferenze illecite, da chiunque provocate, tutelando gli interessi della sovranita' dello Stato nonche' i diritti fondamentali di ogni cittadino riconosciuti dagli ordinamenti nazionale ed europeo.

5. La presente legge non produce nuovi obblighi rispetto a quelli previsti dal regolamento (UE) 2024/1689 per i sistemi di intelligenza artificiale e per i modelli di intelligenza artificiale per finalita' generali.

6. Al fine di garantire il rispetto dei diritti e dei principi di cui al presente articolo deve essere assicurata, quale precondizione essenziale, la cybersicurezza lungo tutto il ciclo di vita dei sistemi e dei modelli di intelligenza artificiale per finalita' generali, secondo un approccio proporzionale e basato sul rischio, nonche' l'adozione di specifici controlli di sicurezza, anche al fine di assicurarne la resilienza contro tentativi di alterarne l'utilizzo, il comportamento previsto, le prestazioni o le impostazioni di sicurezza.

7. La presente legge garantisce alle persone con disabilita' il pieno accesso ai sistemi di intelligenza artificiale e alle relative funzionalita' o estensioni, su base di uguaglianza e senza alcuna forma di discriminazione e di pregiudizio, in conformita' alle disposizioni della Convenzione delle Nazioni Unite sui diritti delle persone con disabilita', fatta a New York il 13 dicembre 2006, ratificata e resa esecutiva in Italia ai sensi della legge 3 marzo 2009, n. 18.

1. L'utilizzo di sistemi di intelligenza artificiale nell'informazione avviene senza recare pregiudizio alla liberta' e al pluralismo dei mezzi di comunicazione, alla liberta' di espressione e all'obiettivita', completezza, imparzialita' e lealta' dell'informazione.

2. L'utilizzo di sistemi di intelligenza artificiale garantisce il trattamento lecito, corretto e trasparente dei dati personali e la compatibilita' con le finalita' per le quali sono stati raccolti, in conformita' al diritto dell'Unione europea in materia di dati personali e di tutela della riservatezza.

3. Le informazioni e le comunicazioni relative al trattamento dei dati connesse all'utilizzo di sistemi di intelligenza artificiale sono rese con linguaggio chiaro e semplice, in modo da garantire all'utente la conoscibilita' dei relativi rischi e il diritto di opporsi ai trattamenti autorizzati dei propri dati personali.

4. L'accesso alle tecnologie di intelligenza artificiale da parte dei minori di anni quattordici nonche' il conseguente trattamento dei dati personali richiedono il consenso di chi esercita la responsabilita' genitoriale, nel rispetto di quanto previsto dal regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, e dal codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196. Il minore di anni diciotto, che abbia compiuto quattordici anni, puo' esprimere il proprio consenso per il trattamento dei dati personali connessi all'utilizzo di sistemi di intelligenza artificiale, purche' le informazioni e le comunicazioni di cui al comma 3 siano facilmente accessibili e comprensibili.

1. Lo Stato e le altre autorita' pubbliche:

1. a) promuovono lo sviluppo e l'utilizzo dell'intelligenza artificiale come strumento per migliorare l'interazione uomo-macchina, anche mediante l'applicazione della robotica, nei settori produttivi, la produttivita' in tutte le catene del valore e le funzioni organizzative, nonche' quale strumento utile all'avvio di nuove attivita' economiche e di supporto al tessuto nazionale produttivo, costituito principalmente di microimprese e di piccole e medie imprese, al fine di accrescere la competitivita' del sistema economico nazionale e la sovranita' tecnologica della Nazione nel quadro della strategia europea;

2. b) favoriscono la creazione di un mercato dell'intelligenza artificiale innovativo, equo, aperto e concorrenziale e di ecosistemi innovativi;

3. c) facilitano la disponibilita' e l'accesso a dati di alta qualita' per le imprese che sviluppano o utilizzano sistemi di intelligenza artificiale e per la comunita' scientifica e dell'innovazione;

4. d) indirizzano le piattaforme di e-procurement delle amministrazioni pubbliche di cui all'articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, in modo che, nella scelta dei fornitori di sistemi e di modelli di intelligenza artificiale, possano essere privilegiate quelle soluzioni che garantiscono la localizzazione e l'elaborazione dei dati strategici presso data center posti nel territorio nazionale, le cui procedure di disaster recovery e business continuity siano implementate in data center posti nel territorio nazionale, nonche' modelli in grado di assicurare elevati standard in termini di sicurezza e trasparenza nelle modalita' di addestramento e di sviluppo di applicazioni basate sull'intelligenza artificiale generativa, nel rispetto della normativa sulla concorrenza e dei principi di non discriminazione e proporzionalita';

5. e) favoriscono la ricerca collaborativa tra imprese, organismi di ricerca e centri di trasferimento tecnologico in materia di intelligenza artificiale al fine di incoraggiare la valorizzazione economica e commerciale dei risultati della ricerca.

1. Le attivita' di cui all'articolo 3, comma 1, svolte per scopi di sicurezza nazionale con le finalita' e le modalita' di cui alla legge 3 agosto 2007, n. 124, dagli organismi di cui agli articoli 4, 6 e 7 della medesima legge, quelle di cybersicurezza e di resilienza di cui all'articolo 1, comma 1, lettere a) e b), del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109, svolte dall'Agenzia per la cybersicurezza nazionale a tutela della sicurezza nazionale nello spazio cibernetico, quelle svolte per scopi di difesa nazionale dalle Forze armate nonche' quelle svolte dalle Forze di polizia dirette a prevenire e contrastare, ai fini della sicurezza nazionale, i reati di cui all'articolo 9, comma 1, lettere b) e b-ter), della legge 16 marzo 2006, n. 146, sono escluse dall'ambito applicativo della presente legge. Le medesime attivita' sono comunque effettuate nel rispetto dei diritti fondamentali e delle liberta' previste dalla Costituzione e di quanto disposto dall'articolo 3, comma 4, della presente legge.

2. Lo sviluppo di sistemi e di modelli di intelligenza artificiale avviene nel rispetto delle condizioni e delle finalita' di cui all'articolo 3, comma 2. Ai trattamenti di dati personali mediante l'utilizzo di sistemi di intelligenza artificiale effettuati dagli organismi di cui agli articoli 4, 6 e 7 della legge n. 124 del 2007 si applica quanto previsto dall'articolo 58, commi 1 e 3, del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196. Ai trattamenti di dati personali mediante l'utilizzo di sistemi di intelligenza artificiale effettuati dall'Agenzia per la cybersicurezza nazionale si applicano le disposizioni di cui all'articolo 13 del citato decreto-legge n. 82 del 2021.

3. Con regolamento adottato ai sensi dell'articolo 43 della legge n. 124 del 2007, sono definite le modalita' di applicazione dei principi e delle disposizioni di cui al presente articolo alle attivita' di cui all'articolo 3, comma 1, della presente legge effettuate dagli organismi di cui agli articoli 4, 6 e 7 della legge n. 124 del 2007, nonche' alle medesime attivita' attinenti a sistemi di intelligenza artificiale, funzionali all'attivita' degli organismi stessi e alle medesime attivita' svolte da altri soggetti pubblici e da soggetti privati esclusivamente per scopi di sicurezza nazionale.
Analogamente, per l'Agenzia per la cybersicurezza nazionale si procede con regolamento adottato secondo le modalita' di cui all'articolo 11, comma 4, del citato decreto-legge n. 82 del 2021.

1. L'utilizzo di sistemi di intelligenza artificiale contribuisce al miglioramento del sistema sanitario, alla prevenzione, alla diagnosi e alla cura delle malattie, nel rispetto dei diritti, delle liberta' e degli interessi della persona, anche in materia di protezione dei dati personali.

2. L'introduzione di sistemi di intelligenza artificiale nel sistema sanitario non puo' selezionare e condizionare l'accesso alle prestazioni sanitarie secondo criteri discriminatori.

3. L'interessato ha diritto di essere informato sull'impiego di tecnologie di intelligenza artificiale.

4. La presente legge promuove lo sviluppo, lo studio e la diffusione di sistemi di intelligenza artificiale che migliorano le condizioni di vita delle persone con disabilita', agevolano l'accessibilita', la mobilita' indipendente e l'autonomia, la sicurezza e i processi di inclusione sociale delle medesime persone anche ai fini dell'elaborazione del progetto di vita di cui all'articolo 2, comma 1, lettera n), del decreto legislativo 3 maggio 2024, n. 62.

5. I sistemi di intelligenza artificiale in ambito sanitario costituiscono un supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica, lasciando impregiudicata la decisione, che e' sempre rimessa agli esercenti la professione medica.

6. I sistemi di intelligenza artificiale utilizzati in ambito sanitario e i relativi dati impiegati devono essere affidabili, periodicamente verificati e aggiornati al fine di minimizzare il rischio di errori e migliorare la sicurezza dei pazienti.

1. I trattamenti di dati, anche personali, eseguiti da soggetti pubblici e privati senza scopo di lucro, dagli Istituti di ricovero e cura a carattere scientifico (IRCCS), di cui al decreto legislativo 16 ottobre 2003, n. 288, nonche' da soggetti privati operanti nel settore sanitario nell'ambito di progetti di ricerca a cui partecipano soggetti pubblici e privati senza scopo di lucro o IRCCS, per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale per finalita' di prevenzione, diagnosi e cura di malattie, sviluppo di farmaci, terapie e tecnologie riabilitative, realizzazione di apparati medicali, incluse protesi e interfacce fra il corpo e strumenti di sostegno alle condizioni del paziente, salute pubblica, incolumita' della persona, salute e sicurezza sanitaria nonche' studio della fisiologia, della biomeccanica e della biologia umana anche in ambito non sanitario, in quanto necessari ai fini della realizzazione e dell'utilizzazione di banche di dati e modelli di base, sono dichiarati di rilevante interesse pubblico in attuazione degli articoli 32 e 33 della Costituzione e nel rispetto di quanto previsto dall'articolo 9, paragrafo 2, lettera g), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016.

2. Ai medesimi fini, fermo restando l'obbligo di informativa in favore dell'interessato, che puo' essere assolto anche mediante un'informativa generale messa a disposizione nel sito web del titolare del trattamento e senza ulteriore consenso dell'interessato ove inizialmente previsto dalla legge, e' sempre autorizzato l'uso secondario di dati personali privi degli elementi identificativi diretti, anche appartenenti alle categorie indicate all'articolo 9 del regolamento (UE) 2016/679, da parte dei soggetti di cui al comma 1, salvi i casi nei quali la conoscenza dell'identita' degli interessati sia inevitabile o necessaria al fine della tutela della loro salute.

3. Negli ambiti di cui al comma 1 o per le finalita' di cui all'articolo 2-sexies, comma 2, lettera v), del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, e' sempre consentito, previa informativa all'interessato ai sensi dell'articolo 13 del regolamento (UE) 2016/679, il trattamento per finalita' di anonimizzazione, pseudonimizzazione o sintetizzazione dei dati personali, anche appartenenti alle categorie particolari di cui all'articolo 9, paragrafo 1, del medesimo regolamento (UE) 2016/679. E' consentito altresi' il predetto trattamento finalizzato allo studio e alla ricerca sui gesti atletici, sui movimenti e sulle prestazioni nell'attivita' sportiva in tutte le sue forme, nel rispetto dei principi generali di cui alla presente legge e dei diritti di sfruttamento economico dei dati relativi alle attivita' agonistiche che spettano a chi le organizza.

4. L'Agenzia nazionale per i servizi sanitari regionali (AGENAS), previo parere del Garante per la protezione dei dati personali, tenendo conto di standard internazionali e dello stato dell'arte e della tecnica, puo' stabilire e aggiornare linee guida per le procedure di anonimizzazione di dati personali, di cui al comma 3, e per la creazione di dati sintetici, anche per categorie di dati e finalita' di trattamento.

5. I trattamenti di dati di cui ai commi 1 e 2 devono essere comunicati al Garante per la protezione dei dati personali con l'indicazione di tutte le informazioni previste dagli articoli 24, 25, 32 e 35 del regolamento (UE) 2016/679, nonche' con l'indicazione espressa, ove presenti, dei soggetti individuati ai sensi dell'articolo 28 del medesimo regolamento (UE) 2016/679, e possono essere avviati decorsi trenta giorni dalla predetta comunicazione se non sono stati oggetto di provvedimento di blocco disposto dal Garante per la protezione dei dati personali.

6. Restano fermi i poteri ispettivi, interdittivi e sanzionatori del Garante per la protezione dei dati personali.

1. Il trattamento dei dati personali anche particolari come definiti dall'articolo 9 del regolamento (UE) 2016/679, con il massimo delle modalita' semplificate consentite dal predetto regolamento per finalita' di ricerca e sperimentazione anche tramite sistemi di intelligenza artificiale e machine learning, inclusi la costituzione e l'utilizzo di spazi speciali di sperimentazione a fini di ricerca, anche mediante l'uso secondario dei dati personali, e' disciplinato con decreto del Ministro della salute da emanare entro centoventi giorni dalla data di entrata in vigore della presente legge, sentiti il Garante per la protezione dei dati personali, gli enti di ricerca, i presidi sanitari nonche' le autorita' e gli operatori del settore.

1. Al decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, dopo l'articolo 12 e' inserito il seguente:
«Art. 12-bis (Intelligenza artificiale nel settore sanitario). - 1. Al fine di garantire strumenti e tecnologie avanzate nel settore sanitario, con uno o piu' decreti del Ministro della salute, di concerto con l'Autorita' politica delegata in materia di innovazione tecnologica e transizione digitale e con l'Autorita' delegata per la sicurezza della Repubblica e per la cybersicurezza e sentita la Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, sono disciplinate le soluzioni di intelligenza artificiale aventi funzione di supporto alle finalita' di cui all'articolo 12, comma 2. Con i decreti di cui al primo periodo sono individuati i soggetti che, nell'esercizio delle proprie funzioni, accedono alle soluzioni di intelligenza artificiale secondo le modalita' ivi definite.
2. Per il supporto alle finalita' di cura, e in particolare per l'assistenza territoriale, e' istituita una piattaforma di intelligenza artificiale. La progettazione, la realizzazione, la messa in servizio e la titolarita' della piattaforma di cui al primo periodo sono attribuite all'AGENAS in qualita' di Agenzia nazionale per la sanita' digitale. La piattaforma di cui al primo periodo eroga servizi di supporto:
a) ai professionisti sanitari per la presa in carico della popolazione assistita con suggerimenti non vincolanti;
b) ai medici nella pratica clinica quotidiana con suggerimenti non vincolanti;
c) agli utenti per l'accesso ai servizi sanitari delle Case della comunita'.
3. Previa intesa in sede di Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, l'AGENAS, con proprio provvedimento, esplicita i servizi di supporto di cui al comma 2.
4. La piattaforma di cui al comma 2 e' alimentata con i dati strettamente necessari per l'erogazione dei servizi di cui al medesimo comma 2, trasmessi dai relativi titolari del trattamento.
L'AGENAS e' titolare del trattamento dei dati raccolti e generati all'interno della piattaforma.
5. Previo parere del Ministero della salute, del Garante per la protezione dei dati personali e dell'Agenzia per la cybersicurezza nazionale, l'AGENAS, con proprio provvedimento, valutato l'impatto del trattamento, specifica i tipi di dati trattati e le operazioni eseguite all'interno della piattaforma, nonche' le misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio e per tutelare i diritti fondamentali e gli interessi dell'interessato, in coerenza con le disposizioni del regolamento (UE) 2016/679».

2. Dall'attuazione del presente articolo non devono derivare nuovi o maggiori oneri a carico della finanza pubblica. L'AGENAS provvede alle attivita' di cui al presente articolo con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente.

1. L'intelligenza artificiale e' impiegata per migliorare le condizioni di lavoro, tutelare l'integrita' psicofisica dei lavoratori, accrescere la qualita' delle prestazioni lavorative e la produttivita' delle persone in conformita' al diritto dell'Unione europea.

2. L'utilizzo dell'intelligenza artificiale in ambito lavorativo deve essere sicuro, affidabile, trasparente e non puo' svolgersi in contrasto con la dignita' umana ne' violare la riservatezza dei dati personali. Il datore di lavoro o il committente e' tenuto a informare il lavoratore dell'utilizzo dell'intelligenza artificiale nei casi e con le modalita' di cui all'articolo 1-bis del decreto legislativo 26 maggio 1997, n. 152.

3. L'intelligenza artificiale nell'organizzazione e nella gestione del rapporto di lavoro garantisce l'osservanza dei diritti inviolabili del lavoratore senza discriminazioni in funzione del sesso, dell'eta', delle origini etniche, del credo religioso, dell'orientamento sessuale, delle opinioni politiche e delle condizioni personali, sociali ed economiche, in conformita' al diritto dell'Unione europea.