In sintesi

Il Garante Privacy ha espresso un parere favorevole, con alcune condizioni, su un progetto di regolamento della Provincia Autonoma di Trento sull'uso dell'intelligenza artificiale nell'attività amministrativa, specialmente per l'addestramento di modelli che trattano dati personali, inclusi quelli sensibili e giudiziari.

Cosa fare

Verificate la natura giuridica degli strumenti (ad esempio, regolamenti, atti amministrativi generali) che usate per definire il trattamento di dati particolari o giudiziari, assicurando che siano di rango normativo adeguato rispetto al Codice Privacy.
Analizzate le procedure interne per l'aggiornamento dei sistemi di intelligenza artificiale per garantire che le rettifiche o cancellazioni di dati personali si riflettano anche sui modelli algoritmici già addestrati.
Assicurate che tutte le schede specifiche interne (come quelle previste dall'Art. 16) siano solo ricognitive e applicative, senza introdurre nuove finalità o tipi di dati oltre quanto già definito dal regolamento o dall'atto normativo di livello superiore.

Cosa evitare

Non affidate la definizione di aspetti essenziali del trattamento di categorie particolari di dati personali o dati giudiziari a documenti interni con rango inferiore a quello regolamentare o amministrativo generale, se la legge lo richiede.
Non date per scontato che l'esercizio dei diritti di rettifica e cancellazione dei dati personali sia automaticamente garantito sui modelli di intelligenza artificiale già consolidati; prevedete meccanismi specifici.

Contesto

La Provincia Autonoma di Trento ha richiesto un parere al Garante su uno schema di regolamento. Questo schema disciplina l'attuazione dell'articolo 40-ter.1 della legge provinciale n. 23/1992, che promuove l'impiego di sistemi di intelligenza artificiale per supportare l'attività amministrativa e i processi organizzativi provinciali. La legge provinciale 7 agosto 2026, n. 6, ha introdotto l'articolo 40-ter.1, stabilendo che i trattamenti di dati personali mediante IA devono rispettare il GDPR e il Codice Privacy, assicurando riservatezza, integrità e disponibilità dei dati, nonché i principi di proporzionalità e minimizzazione. I trattamenti possono includere categorie particolari di dati e dati relativi a condanne penali e reati. Lo schema di regolamento, composto da 16 articoli, è volto a definire finalità, categorie di dati, operazioni eseguibili e misure di protezione, con l'obiettivo di migliorare l'efficacia e l'efficienza dell'azione amministrativa. Prevede che i sistemi di IA operino come strumenti di supporto, escludendo decisioni basate unicamente su trattamenti automatizzati. Si fa riferimento anche all'articolo 14 della legge nazionale 23 settembre 2025, n. 132, che legittima l'uso dell'IA nella pubblica amministrazione per incrementare l'efficienza e la qualità dei servizi, garantendo conoscibilità e tracciabilità del funzionamento.

La decisione

Il Garante ha espresso un parere favorevole sullo schema di regolamento della Provincia Autonoma di Trento, ma ha subordinato tale parere a due condizioni. La prima condizione richiede una riformulazione degli articoli 1, comma 4, 3, comma 2, 4, commi 3 e 4, e 13, comma 1, dello schema. Questi articoli demandano la disciplina di aspetti essenziali del trattamento di dati particolari o relativi a condanne penali e reati a una 'scheda specifica' che il Garante non ritiene assimilabile alle fonti regolatorie previste dalla disciplina vigente. La seconda condizione impone di integrare l'articolato con misure che rendano certo ed effettivo l'esercizio dei diritti di rettifica e cancellazione da parte degli interessati, nonché di tutti gli ulteriori diritti attribuiti dagli articoli 15–22 del Regolamento. Questa integrazione deve superare il rischio, emerso dalla valutazione d'impatto, che tali diritti non si riflettano sui parametri algoritmici dei modelli di intelligenza artificiale già strutturati.

Ratio decidendi La motivazione giuridica della decisione del Garante si fonda su due aspetti chiave. In primo luogo, il Garante ritiene che il rinvio, contenuto in diversi articoli dello schema di regolamento, a una 'scheda specifica' per la definizione degli elementi essenziali del trattamento di dati particolari o giudiziari non sia pienamente conforme agli articoli 2-sexies e 2-octies del Codice Privacy. La 'scheda specifica' è un atto non assimilabile, per natura e caratteristiche, alle fonti regolatorie (atto di rango regolamentare o atto amministrativo generale della Provincia) previste dalla disciplina vigente per tali trattamenti. In secondo luogo, il Garante rileva una criticità riguardo all'esercizio dei diritti degli interessati. La valutazione d'impatto allegata evidenzia il rischio che i diritti di rettifica e cancellazione (articoli 16 e 17 del Regolamento) possano non avere effetto sui parametri algoritmici dei modelli di intelligenza artificiale già addestrati. Questa limitazione si configura come una potenziale lesione dei diritti fondamentali degli interessati, richiedendo misure per garantire l'effettiva operatività di tutti i diritti riconosciuti dal GDPR, anche rispetto ai modelli IA già consolidati, in linea con le indicazioni del Comitato Europeo per la Protezione dei Dati.

Articoli GDPR violati

Articolo	Descrizione	Rilevanza
2-sexies Codice Privacy	Prevede le condizioni per il trattamento di categorie particolari di dati personali.	la 'scheda specifica' prevista dallo schema non è assimilabile a una fonte regolatoria di rango adeguato per la disciplina di tali trattamenti.
2-octies Codice Privacy	Prevede le condizioni per il trattamento di dati relativi a condanne penali e reati.	la 'scheda specifica' prevista dallo schema non è assimilabile a una fonte regolatoria di rango adeguato per la disciplina di tali trattamenti.
16 GDPR	Diritto di rettifica, prevede il diritto dell'interessato di ottenere la rettifica dei dati personali inesatti che lo riguardano.	la valutazione d'impatto evidenziava il rischio che la rettifica non si riflettesse sui parametri algoritmici dei modelli ia già addestrati, compromettendo l'effettività del diritto.
17 GDPR	Diritto alla cancellazione ('diritto all'oblio'), prevede il diritto dell'interessato di ottenere la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo.	la valutazione d'impatto evidenziava il rischio che la cancellazione non si riflettesse sui parametri algoritmici dei modelli ia già addestrati, compromettendo l'effettività del diritto.
15-22 GDPR	Insieme degli articoli che definiscono i diritti degli interessati (es. accesso, limitazione del trattamento, opposizione, decisioni automatizzate).	il garante ha richiesto l'integrazione del regolamento per garantire l'effettiva operatività di tutti questi diritti, in particolare rispetto ai parametri algoritmici dei modelli ia già addestrati.

Misure imposte

Novellare gli articoli 1, comma 4, 3, comma 2, 4, commi 3 e 4 e 13, comma 1, dello schema, come indicato in motivazione; Integrare l’articolato con la previsione di misure e accorgimenti volti a rendere certo ed effettivo l’esercizio dei diritti di rettifica e cancellazione da parte degli interessati, nonché di tutti gli ulteriori diritti attribuiti dagli articoli 15–22 del Regolamento

Sanzione

[object Object]

Implicazioni pratiche

Questo parere stabilisce un importante precedente per le pubbliche amministrazioni che intendono implementare sistemi di intelligenza artificiale che trattano dati personali, inclusi quelli sensibili e giudiziari. Indica che le disposizioni attuative devono avere un rango giuridico adeguato, come un regolamento o un atto amministrativo generale, non semplici 'schede specifiche' interne, soprattutto quando si definiscono aspetti essenziali dei trattamenti più delicati. La decisione sottolinea anche la necessità di progettare i sistemi di IA in modo che i diritti degli interessati, in particolare la rettifica e la cancellazione, siano pienamente effettivi. Questo significa che le modifiche ai dati devono riflettersi non solo nei documenti originali ma anche nei modelli algoritmici già addestrati, un aspetto tecnico e organizzativo che richiede una pianificazione approfondita. L'approccio deve essere conforme ai principi di accountability e data protection by design, assicurando che l'IA sia sempre uno strumento di supporto all'attività umana e non un sostituto delle decisioni, con garanzie di trasparenza, verificabilità e controllo.

Azioni da fare

Assicurare che gli atti normativi o amministrativi che regolano il trattamento di categorie particolari di dati o dati giudiziari attraverso l'IA abbiano il rango giuridico appropriato (es. regolamento o atto amministrativo generale) e non siano demandati a strumenti interni di livello inferiore.
Progettare e implementare sistemi di intelligenza artificiale che consentano l'effettiva operatività dei diritti degli interessati, inclusi rettifica e cancellazione, garantendo che le modifiche ai dati si ripercuotano anche sui modelli algoritmici già addestrati.
Integrare le valutazioni d'impatto sulla protezione dei dati (DPIA) con un'analisi dettagliata dei rischi relativi all'esercizio dei diritti degli interessati nell'ambito dell'IA, prevedendo misure specifiche per mitigare tali rischi.

Errori da evitare

Non demandare la definizione degli elementi essenziali del trattamento di dati sensibili o giudiziari a documenti interni (come 'schede specifiche') che non hanno un adeguato rango normativo ai sensi del Codice Privacy.
Non presumere che i sistemi di IA gestiscano automaticamente i diritti degli interessati; omettere di implementare meccanismi che assicurino che rettifiche o cancellazioni influiscano sui modelli algoritmici addestrati.
Non considerare la totalità dei diritti degli interessati (accesso, esplicabilità, limitazione, opposizione, decisioni automatizzate) fin dalla fase di progettazione e sviluppo dei sistemi di IA.

Domande di self-assessment

Qual è il livello normativo degli atti interni che disciplinano l'uso dell'IA e il trattamento di dati personali, in particolare sensibili e giudiziari?
I nostri sistemi di intelligenza artificiale prevedono meccanismi per garantire che una rettifica o cancellazione di dati da parte dell'interessato sia effettiva anche sui modelli algoritmici già consolidati?
La nostra DPIA per i sistemi di IA ha adeguatamente valutato l'impatto sull'esercizio di tutti i diritti degli interessati (articoli 15-22 GDPR) e le relative misure di mitigazione?

Riferimenti

Linee guida EDPB: Parere n. 28/2024 sui modelli di intelligenza artificiale

Normativa nazionale: D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) · Legge provinciale 30 novembre 1992, n. 23 · Legge provinciale 7 agosto 2026, n. 6 · Legge 23 settembre 2025, n. 132 (Disposizioni e deleghe al Governo in materia di intelligenza artificiale) · d.P.R. 31 agosto 1972, n. 670

Note

Il provvedimento analizza un parere su uno schema di regolamento provinciale sull'uso dell'IA in anticipo rispetto alla piena implementazione, offrendo una guida preventiva importante per le pubbliche amministrazioni. La data del provvedimento (7 ottobre 2026) e delle leggi citate (7 agosto 2026, n. 6; 23 settembre 2025, n. 132) indicano che il testo è proiettato nel futuro, presumendo l'entrata in vigore di tali norme.