AI Act, articoli 85 e 86: diritto di reclamo e diritto alla spiegazione delle decisioni automatizzate

L’AI Act è stato letto soprattutto come un testo di compliance per chi sviluppa e usa sistemi di IA. La lettura è giusta, ma parziale. La Sezione 4 del Capo IX, composta di due soli articoli, sposta l’asse del Regolamento verso i diritti delle persone: chi viene esposto a un sistema di IA ad alto rischio, chi subisce gli effetti di una decisione che si appoggia a un sistema di IA. Gli articoli 85 e 86 introducono due strumenti di ricorso a valle: un diritto di reclamo e un diritto alla spiegazione. Entrambi si applicheranno dal 2 agosto 2026.

Articolo 85 — Il diritto di presentare un reclamo

L’articolo 85 recita, senza molti giri di parole: «Fatti salvi altri ricorsi amministrativi o giurisdizionali, qualsiasi persona fisica o giuridica che abbia motivo di ritenere che vi sia stata una violazione delle disposizioni del presente regolamento può presentare un reclamo alla pertinente autorità di vigilanza del mercato».

La formula è volutamente ampia. Il diritto di reclamo:

• spetta a chiunque, persone fisiche e persone giuridiche, senza che sia richiesto un interesse diretto documentato;
• si fonda su un mero «motivo di ritenere» che vi sia stata una violazione, non su una prova;
• è aggiuntivo rispetto ai rimedi amministrativi o giurisdizionali ordinari, non li sostituisce;
• è presentato all’autorità di vigilanza del mercato competente, in Italia ancora da designare in attuazione del Regolamento.

Il secondo comma dell’articolo rimanda al Regolamento (UE) 2019/1020 sulla vigilanza del mercato: i reclami «sono presi in considerazione ai fini dello svolgimento delle attività di vigilanza del mercato e sono trattati in linea con le procedure specifiche stabilite a tal fine dalle autorità di vigilanza del mercato». L’autorità non è obbligata ad avviare un’istruttoria su ogni singolo reclamo, ma deve tenerne conto nella programmazione delle proprie attività di controllo.

È un modello che ricalca quello già presente in altre normative di sicurezza dei prodotti e che, combinato con gli obblighi di pubblicità della banca dati dell’articolo 71, costruisce un sistema in cui chiunque — società civile, giornalisti, concorrenti — può attivare la vigilanza semplicemente segnalando un caso.

Articolo 86 — Il diritto alla spiegazione dei singoli processi decisionali

L’articolo 86 è la novità sostanziale. Attribuisce alla persona interessata un diritto a richiedere spiegazioni al deployer che ha preso una decisione sulla base di un sistema di IA ad alto rischio. Il perimetro di applicazione è molto delimitato, ma quello che resta dentro il perimetro è protetto in modo esplicito.

Il paragrafo 1 indica quattro condizioni cumulative:

1. la decisione è adottata dal deployer (non dal fornitore);
2. si basa sull’output di un sistema di IA ad alto rischio elencato nell’Allegato III (punti da 1 a 8), con l’unica esclusione del punto 2 — infrastrutture critiche;
3. la decisione produce effetti giuridici o in modo analogo incide significativamente sulla persona;
4. la persona ritiene che la decisione abbia un impatto negativo sulla sua salute, sulla sua sicurezza o sui suoi diritti fondamentali.

Quando tutte e quattro le condizioni sono soddisfatte, la persona ha diritto a ottenere dal deployer «spiegazioni chiare e significative sul ruolo del sistema di IA nella procedura decisionale e sui principali elementi della decisione adottata». Sono due oggetti distinti: il ruolo del sistema di IA nel processo (come è stato usato, in che fase) e gli elementi principali della decisione (su quali fattori si è basata la valutazione).

Dove ricadono, in pratica, i casi coperti

La scelta di escludere il punto 2 dell’Allegato III (infrastrutture critiche) e di tenere dentro gli altri sette punti non è casuale. L’articolo 86 copre le decisioni tipicamente individuali che hanno a che fare con la vita delle persone:

• biometria (Allegato III punto 1);
• accesso e valutazione nell’istruzione e nella formazione professionale (punto 3);
• decisioni su assunzione, promozione, cessazione del rapporto di lavoro (punto 4);
• accesso a prestazioni assistenziali, merito di credito, pricing assicurativo, triage delle emergenze (punto 5);
• decisioni di law enforcement (punto 6);
• decisioni su migrazione, asilo, visto, soggiorno (punto 7);
• assistenza all’autorità giudiziaria e processi democratici (punto 8).

Il confine «effetti giuridici o impatto analogo» incorpora un concetto già elaborato dalla giurisprudenza sul GDPR: rifiuto di credito, cessazione di rapporto di lavoro, diniego di una prestazione pubblica, decisione di sottoporsi a un’ulteriore verifica intrusiva. Non ogni interazione con un sistema di IA genera il diritto: serve una decisione formalmente o sostanzialmente incisiva sulla persona.

Le due eccezioni: diritto equivalente e deroghe di legge

Il paragrafo 2 dell’articolo 86 riconosce che il diritto alla spiegazione può avere «eccezioni o limitazioni» stabilite dal diritto dell’Unione o da quello nazionale «in linea con il diritto dell’Unione». È una clausola che consente agli Stati membri di disciplinare eccezioni settoriali — per esempio in materia di contrasto — entro i limiti della Carta dei diritti fondamentali.

Il paragrafo 3 introduce la clausola di sussidiarietà: l’articolo 86 si applica «solo nella misura in cui il diritto di cui al paragrafo 1 non sia altrimenti previsto dal diritto dell’Unione». La norma, in altri termini, non vuole duplicare rimedi che l’ordinamento UE già offre.

Il rapporto con l’articolo 22 del GDPR

Il confronto naturale è con l’articolo 22 del Regolamento (UE) 2016/679 (GDPR), che da tempo disciplina il diritto di non essere sottoposti a decisioni basate unicamente sul trattamento automatizzato e il diritto di ottenere l’intervento umano, esprimere il proprio punto di vista e contestare la decisione. Le due norme non coincidono: il GDPR scatta per decisioni unicamente automatizzate e per trattamenti di dati personali; l’articolo 86 dell’AI Act scatta anche quando vi è intervento umano significativo, purché la decisione si basi sull’output di un sistema di IA ad alto rischio dell’Allegato III (fuori dal punto 2) con impatto negativo su salute, sicurezza o diritti fondamentali.

La clausola di sussidiarietà del paragrafo 3 evita le sovrapposizioni nei casi in cui il GDPR garantisca già un diritto equivalente: l’articolo 86 aggiunge tutela dove il GDPR non arriva, o non arriva con lo stesso livello di dettaglio. Le due tutele convivono.

Nessuna sanzione specifica, ma esecuzione indiretta

L’articolo 99 sulle sanzioni non include espressamente gli articoli 85 e 86 tra le disposizioni la cui violazione comporta sanzioni pecuniarie. Il meccanismo di enforcement passa per altre vie: un deployer che non risponde a una richiesta ex articolo 86 si espone a un reclamo ex articolo 85 che, se fondato, può innescare attività di vigilanza del mercato e rilevare violazioni di altri obblighi — tipicamente quelli di trasparenza verso i deployer dell’articolo 13, quelli del deployer stesso dell’articolo 26, o quelli sulla sorveglianza umana. In più, il mancato rispetto del diritto alla spiegazione può emergere in giudizi civili o del lavoro come elemento di responsabilità del deployer.

Cosa deve mettere in piedi un deployer

Per un’organizzazione che è deployer di un sistema di IA ad alto rischio dell’Allegato III (fuori dal punto 2), il diritto alla spiegazione dell’articolo 86 si traduce in tre esigenze concrete:

1. predisporre un canale di richiesta per le persone interessate, con tempi di risposta ragionevoli, documentato e tracciabile;
2. mantenere la documentazione sul ruolo del sistema di IA nella procedura decisionale, su quali input sono stati utilizzati, su quale output ha prodotto, in modo da poter rispondere senza ricostruzioni ex post;
3. avere una spiegazione leggibile: «chiara e significativa» non è «tecnicamente corretta», è «comprensibile da chi legge». È la competenza che nei prossimi mesi distinguerà chi si sarà attrezzato da chi risponderà con formule opache.

È utile ricordare che la responsabilità ricade sul deployer, non sul fornitore. Il fornitore è tenuto, per effetto dell’articolo 13, a mettere il deployer in condizione di interpretare l’output del sistema: la catena è questa, ma davanti all’interessato risponde chi ha adottato la decisione.

Fonte

Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, articoli 85 e 86. Regolamento (UE) 2019/1020 relativo alla vigilanza del mercato e alla conformità dei prodotti. Regolamento (UE) 2016/679 (GDPR), articolo 22. Testo ufficiale AI Act disponibile su EUR-Lex: eur-lex.europa.eu/eli/reg/2024/1689/oj.