Il GDPR e l'intelligenza artificiale tra protezione dei dati e innovazione: prospettive di riforma alla luce del pacchetto cd. digital omnibus

L’articolo analizza il ruolo del GDPR nel contesto dello sviluppo dell’intelligenza artificiale (IA), mettendo in luce le tensioni strutturali tra la tutela dei dati personali e le esigenze di innovazione tecnologica. Dopo aver ricostruito la funzione del GDPR quale pilastro della regolazione digitale europea e il suo rapporto con gli altri strumenti normativi dell’Unione, il contributo esamina la sua idoneità ad applicarsi ai sistemi di IA, evidenziando sia gli elementi di flessibilità sia le criticità che derivano dalla sua applicazione al trattamento dei big data. L’analisi si concentra poi sul coordinamento tra GDPR e regolamento sull’intelligenza artificiale, mettendo in evidenza le lacune relative soprattutto alla governance dei dati nelle fasi di sviluppo dei modelli e sistemi di IA. In tale quadro, l’articolo esamina criticamente le proposte di riforma contenute nel pacchetto Digital Omnibus, con particolare riguardo alla nozione di dato personale, al riuso dei dati, ai trattamenti automatizzati e al diritto di accesso. In conclusione, emerge che le criticità del GDPR non derivano tanto dalla nozione di dato personale, quanto dalla difficoltà di applicazione delle tutele che ne derivano in contesti tecnologicamente complessi. Pertanto, l’adattamento della disciplina europea dei dati personali alle sfide poste dall’intelligenza artificiale non sembra richiedere necessariamente una revisione della nozione di dato personale, quanto piuttosto una riconfigurazione delle tutele in senso più dinamico, attento alle specificità di questi trattamenti e differenziato in funzione del rischio che le diverse tecniche generano per i diritti fondamentali, salvo il presidio di rigorosi meccanismi di controllo ex-post, eventualmente anche di natura collettiva. Abstract in inglese The article analyses the role of the GDPR in the context of the development of artificial intelligence (AI), highlighting the structural tensions between the protection of personal data and the demands of technological innovation. After reconstructing the function of the GDPR as a cornerstone of European digital regulation and its relationship with other EU regulatory instruments, the paper examines its suitability for application to AI systems, identifying both elements of flexibility and the critical aspects arising from its application to big-data processing. The analysis then focuses on the coordination between the GDPR and the AI Regulation, highlighting gaps, particularly with regard to data governance in the development phases of AI models and systems. Within this framework, the article critically examines the reform proposals contained in the Digital Omnibus package, with particular attention to the notion of personal data, data reuse, automated processing, and the right of access. In conclusion, it emerges that the challenges associated with the GDPR do not so much stem from the notion of personal data itself, but rather from the difficulties in applying the resulting safeguards in technologically complex contexts. Therefore, adapting European data protection law to the challenges posed by artificial intelligence does not necessarily entails a revision of the notion of personal data, but rather a more dynamic reconfiguration of connected safeguards, that is attentive to the specific features of these processing and differentiating according to the level of risk that diverse techniques pose to fundamental rights, while ensuring the presence of rigorous ex post control mechanisms, potentially also of a collective nature.