Art. 1.
(Oggetto, finalità e ambito di applicazione)

1. Al fine di promuovere l'innovazione e di consentire lo sviluppo dei sistemi di intelligenza artificiale, di seguito denominati «sistemi di IA», e dei suoi possibili usi nel territorio nazionale, la presente legge reca disposizioni in materia di:

a) immissione nel mercato, messa in servizio e uso dei sistemi di IA nel territorio nazionale;

b) trasparenza dei sistemi di IA destinati a interagire con le persone fisiche, dei sistemi biometrici e dei sistemi di IA utilizzati per generare o manipolare immagini nonché contenuti audio o video;

c) non conformità o divieto di determinate pratiche dei sistemi di IA;

d) creazione di uno spazio tecnico-normativo sperimentale e temporaneo per le attività che sviluppano i sistemi di IA, al fine di verificarne e valutarne l'impatto nel territorio nazionale;

e) istituzione del Comitato nazionale per i sistemi di IA.

2. La presente legge si applica ai fornitori che immettono nel mercato o mettono in servizio sistemi di IA e agli utenti dei sistemi di IA.

Art. 2.
(Definizioni)

1. Ai fini di cui alla presente legge, si intende per:

a) «sistema di intelligenza artificiale» o «sistema di IA»: un software sviluppato con una o più delle tecniche e degli approcci di apprendimento automatico, di programmazione induttiva e deduttiva, di analisi statistica, che può, per una determinata serie di obiettivi definiti dall'uomo, generare contenuti, previsioni, raccomandazioni o decisioni che influenzano gli utenti e gli ambienti con cui interagisce;

b) «fornitore»: una persona fisica o giuridica, un'autorità pubblica o un altro organismo che sviluppa o fa sviluppare un sistema di IA al fine della sua messa in servizio;

c) «utente»: qualsiasi persona fisica o giuridica, autorità pubblica o altro organismo che utilizza un sistema di IA sotto la propria responsabilità;

d) «istruzioni d'uso»: le informazioni fornite dal fornitore all'utente in termini chiari e comprensibili circa la finalità prevista e l'uso corretto di un sistema di IA, compresi la documentazione tecnica, le condizioni d'uso e il contesto di utilizzo;

e) «dati biometrici»: i dati personali relativi alle caratteristiche fisiche o fisiologiche di una persona fisica, quali l'immagine facciale o i dati dattiloscopici come definiti dal codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196;

f) «sistema biometrico»: un sistema di IA di identificazione biometrica che utilizza i dati biometrici di persone fisiche oggetto di trattamento ai sensi dell'articolo 2-septies del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196.

Art. 3.
(Trasparenza dei sistemi di IA)

1. I fornitori garantiscono che i sistemi di IA siano progettati e sviluppati in modo tale che gli utenti siano informati della loro interazione con tali sistemi, a meno che ciò non risulti evidente dalle circostanze e dal contesto di utilizzo.
2. Gli utenti sottoposti a identificazione biometrica sono tutelati ai sensi del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196.
3. Al fine di poterne individuare l'autenticità, i fornitori sono tenuti a rendere noto agli utenti che le immagini ovvero i contenuti audio o video che assomigliano a persone, luoghi od oggetti e che potrebbero apparire falsamente autentici o veritieri per una persona sono stati generati o manipolati artificialmente da un sistema di IA.
4. Nei settori dei media e dell'editoria, i sistemi di IA per l'automazione di compiti ripetitivi sono utilizzati per l'analisi delle notizie, il controllo grammaticale dei testi e per un primo livello di verifica dei fatti. I compiti concernenti le decisioni più complesse e le considerazioni etiche spettano ai redattori.

Art. 4.
(Sistemi di IA non conformi)

1. I sistemi di IA che pregiudicano la protezione dei consumatori, la sicurezza pubblica e nazionale, la salute e la sicurezza delle persone, anche nei luoghi di lavoro, l'ambiente, nonché la conformità agli obblighi previsti dal diritto nazionale a tutela dei diritti fondamentali sono ritenuti non conformi.
2. Qualora l'Agenzia per l'Italia digitale abbia motivi sufficienti per ritenere che un sistema di IA presenti un rischio di cui al comma 1, essa effettua una valutazione del sistema di IA interessato circa la sua conformità a tutti i requisiti e agli obblighi di cui alla presente legge.
3. All'esito della valutazione di cui al comma 2, l'Agenzia per l'Italia digitale, ove rilevi che il sistema di IA non è conforme, chiede al fornitore di adottare le misure correttive per ripristinare la conformità del sistema di IA o di ritirarlo dal mercato. Qualora il fornitore non ottemperi alla richiesta di cui al primo periodo, l'Agenzia per l'Italia digitale, quale autorità nazionale di controllo, provvede ad adottare le misure necessarie, compreso il ritiro dal mercato del sistema di IA.

Art. 5.
(Sistemi di IA vietati)

1. I sistemi di IA che utilizzano tecniche subliminali che non sono percepibili dalla mente cosciente o che sfruttano la vulnerabilità dovuta all'età o alla disabilità fisica o mentale, al fine di distorcere il comportamento di un utente che gli possa provocare o arrecare, direttamente o indirettamente, un danno fisico o psicologico sono vietati.
2. È altresì vietato l'uso di sistemi biometrici senza autorizzazione, a meno che tale uso sia strettamente necessario per ragioni di prevenzione, indagine o accertamento di reati.
3. L'autorità giudiziaria o amministrativa competente rilascia l'autorizzazione all'uso di un sistema biometrico solo qualora accerti che il medesimo uso sia necessario per ragioni di prevenzione, indagine o accertamento di reati.

Art. 6.
(Spazio tecnico-normativo sperimentale per i sistemi di IA)

1. È istituito uno spazio tecnico-normativo sperimentale e temporaneo per i sistemi di IA destinato ai soggetti e alle attività che intendono sviluppare i medesimi sistemi, al fine di valutarne le finalità prima della loro messa in servizio nel territorio nazionale.
2. Lo spazio tecnico-normativo di sperimentazione per i sistemi di IA di cui al comma 1 costituisce un ambiente controllato che facilita lo sviluppo, le prove e la convalida di tali sistemi prima della loro messa in uso.
3. La sperimentazione ha una durata massima di diciotto mesi, prorogabile per un massimo di ulteriori sei mesi.
4. Nell'ambito dello spazio tecnico-normativo di sperimentazione per i sistemi di IA di cui al comma 1, qualora si verifichino rischi per la salute, la sicurezza e la lesione di diritti fondamentali, le autorità competenti per l'attività di controllo adottano misure di attenuazione o dispongono la sospensione del processo di sviluppo.
5. I soggetti partecipanti che lavorano nell'ambito dello spazio tecnico-normativo di sperimentazione per i sistemi di IA di cui al comma 1 sono responsabili degli eventuali danni arrecati ai terzi a seguito della sperimentazione.
6. Ai fini di cui al comma 1, il Comitato istituito ai sensi dell'articolo 8 adotta, entro sei mesi dalla data di entrata in vigore della presente legge, uno o più regolamenti per definire le modalità e le condizioni di funzionamento dello spazio tecnico-normativo di sperimentazione per i sistemi di IA di cui al comma 1, compresi i criteri di ammissibilità e la procedura per la domanda, la selezione, la partecipazione e l'uscita dalla sperimentazione, nonché i diritti e gli obblighi dei soggetti partecipanti.
7. I regolamenti di cui al comma 6 stabiliscono, altresì, gli obblighi informativi, le eventuali garanzie finanziarie e i tempi per il rilascio delle autorizzazioni. I medesimi regolamenti garantiscono adeguate forme di informazione e di protezione a favore dei fornitori, degli utenti e degli investitori, a garanzia del corretto sviluppo e uso dei sistemi di IA.
8. Ai dati personali trattati nell'ambito dello spazio di sperimentazione tecnico-normativa per i sistemi di IA di cui al comma 1 si applicano le disposizioni specifiche in materia di tutela dei dati e di adozione di misure di sicurezza del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016.

Art. 7.
(Certificazione dei sistemi di IA)

1. L'Agenzia per l'Italia digitale, entro novanta giorni dalla data di entrata in vigore della presente legge, con regolamento da adottare ai sensi dell'articolo 17, comma 3, della legge 23 agosto 1988, n. 400, disciplina le modalità per il rilascio della certificazione di qualità dei sistemi di IA, garantendo che i requisiti ivi previsti siano adeguati e omogenei in coerenza con quanto previsto dalla presente legge.
2. L'Agenzia per l'Italia digitale rilascia la certificazione di cui al comma 1, effettua controlli periodici sulla sussistenza e sul mantenimento dei requisiti previsti e irroga le sanzioni di cui all'articolo 10.

Art. 8.
(Promozione e sviluppo di sistemi di IA per il patrimonio culturale nazionale)

1. L'Agenzia per l'Italia digitale promuove e favorisce lo sviluppo di sistemi di IA per il patrimonio culturale nazionale al fine di fornire strumenti più efficaci alle istituzioni, alle organizzazioni e alle persone che si dedicano alla tutela, alla conservazione e all'arricchimento di tale patrimonio, prevedendo in particolare:

a) un sostegno finanziario per la fase di realizzazione e di attivazione, con particolare riferimento alla predisposizione dei relativi progetti e della documentazione;

b) la rimozione di eventuali ostacoli normativi e amministrativi per lo sviluppo di tali sistemi di IA;

c) la promozione della cooperazione con l'Autorità garante della concorrenza e del mercato e con il Garante per la protezione dei dati personali per facilitare il perseguimento degli obiettivi della presente legge;

d) le azioni di comunicazione volte a favorire la diffusione di tali sistemi di IA nel territorio nazionale e dell'Unione europea, garantendo la più ampia partecipazione dei consumatori.

2. Il Comitato istituito ai sensi dell'articolo 9 stabilisce i criteri e le modalità per l'accesso al sostegno finanziario di cui alla lettera a) del comma 1 del presente articolo.

Art. 9.
(Comitato nazionale per i sistemi di IA)

1. È istituito, presso la Presidenza del Consiglio dei ministri, il Comitato nazionale per i sistemi di IA, di seguito denominato «Comitato».
2. Il Comitato è composto dai seguenti membri permanenti:

a) il Presidente del Consiglio dei ministri;

b) il Ministro dell'economia e delle finanze;

c) il Ministro delle imprese e del made in Italy;

d) il Ministro dell'università e della ricerca;

e) il direttore generale dell'Agenzia per l'Italia digitale;

f) il presidente dell'Autorità garante della concorrenza e del mercato;

g) il Garante per la protezione dei dati personali.

3. Il Comitato può indicare ulteriori membri quali rappresentanti di altre istituzioni e di autorità nazionali di controllo.

Art. 10.
(Funzioni del Comitato)

1. Il Comitato adotta il suo regolamento interno a maggioranza semplice dei suoi membri. Il Comitato può istituire sottogruppi, se necessario, per l'esame di questioni specifiche.
2. Il Comitato ha il compito di individuare gli obiettivi, definire i programmi e porre in essere le azioni per favorire e regolamentare lo sviluppo dei sistemi di IA.
3. Il Comitato dispone di personale permanente, con competenze approfondite in materia di tecnologie, algoritmi e calcolo dei dati dell'intelligenza artificiale, di diritti fondamentali, di rischi per la salute e la sicurezza nonché di conoscenza dell'ordinamento giuridico nazionale e dell'Unione europea.
4. Il Comitato può invitare alle proprie riunioni, con funzioni consultive e senza diritto di voto, i rappresentanti di ulteriori istituzioni e autorità, nonché di associazioni di categoria, imprese, enti e soggetti operanti nel settore dell'intelligenza artificiale, qualora le questioni discusse siano di loro pertinenza.
5. Il Comitato e gli organismi che partecipano con funzioni consultive rispettano la riservatezza delle informazioni e dei dati ottenuti nello svolgimento dei loro compiti e delle loro attività al fine di assicurare l'efficace attuazione della presente legge e di tutelare, in particolare:

a) i diritti di proprietà intellettuale e le informazioni commerciali riservate o i segreti commerciali;

b) gli interessi di sicurezza pubblica e nazionale.

6. Il Comitato è titolare del trattamento della banca di dati per i sistemi di IA di cui all'articolo 11.

Art. 11.
(Banca di dati dei sistemi di IA e monitoraggio)

1. Il Comitato istituisce e gestisce una banca di dati dei sistemi di IA contenente l'elenco e le informazioni concernenti tutti i sistemi immessi sul mercato nel territorio nazionale che abbiano ottenuto la certificazione prevista dall'articolo 7.
2. Prima dell'immissione sul mercato o della messa in servizio di un sistema di IA il fornitore registra tale sistema nella banca di dati di cui al comma 1.
3. Il fornitore dispone di un sistema di monitoraggio successivo all'immissione sul mercato per la raccolta, la documentazione e l'analisi dei dati concernenti le prestazioni dei sistemi di IA, al fine di valutarne la costante conformità alle disposizioni della presente legge.

Art. 12.
(Responsabilità civile per i danni causati dai sistemi di IA)

1. Il fornitore è oggettivamente responsabile di qualsiasi danno o pregiudizio causato, direttamente o indirettamente, dal sistema di IA riguardante:

a) la salute e la sicurezza delle persone, sia fisica sia psicologica, anche nei luoghi di lavoro;

b) l'incolumità dei consumatori;

c) l'ambiente;

d) la sicurezza pubblica e nazionale (difesa e sicurezza dello Stato);

e) la gestione e il funzionamento delle infrastrutture.

2. I fornitori non sono considerati responsabili se il danno o il pregiudizio di cui al comma 1 è dovuto a cause di forza maggiore.

Art. 13.
(Sanzioni)

1. Nel rispetto delle disposizioni della presente legge, il Comitato stabilisce le sanzioni applicabili in caso di violazione della medesima legge, comprese le sanzioni amministrative pecuniarie, e adotta le misure necessarie per garantire la sua corretta ed efficace attuazione.

Art. 14.
(Clausola di invarianza finanziaria)

1. Dall'attuazione della presente legge non devono derivare nuovi o maggiori oneri a carico della finanza pubblica. Le amministrazioni interessate vi provvedono con le risorse umane, finanziarie e strumentali disponibili a legislazione vigente.