Risarcimento danni da attività di AI - Bozza di proposta di direttiva della Commissione

(1)"sistema di IA": un sistema di IA quale definito [all'articolo 3, punto 1, della legge sull'IA];

(2)"sistema di IA ad alto rischio": un sistema di IA di cui [all'articolo 6 della legge sull'IA];

(3)"fornitore": un fornitore quale definito [all'articolo 3, punto 2, della legge sull'IA];

(4)"utente": un utente quale definito [all'articolo 3, punto 4, della legge sull'IA];

(5)"domanda di risarcimento del danno": una domanda nel quadro di un'azione civile di responsabilità extracontrattuale per colpa volta a ottenere il risarcimento del danno causato dall'output di un sistema di IA o dalla mancata produzione di un output che avrebbe invece dovuto essere prodotto da tale sistema;

(6)"attore": la persona che presenta una domanda di risarcimento del danno e che:

(a)è stata danneggiata dall'output di un sistema di IA o dalla mancata produzione di un output che avrebbe invece dovuto essere prodotto da tale sistema;

(b) è subentrata o si è surrogata nei diritti del danneggiato per legge o disposizione contrattuale; oppure

(c)agisce per conto di uno o più danneggiati conformemente al diritto dell'Unione o nazionale;

7)    "attore potenziale": una persona fisica o giuridica che sta valutando la possibilità di presentare una domanda di risarcimento del danno, senza averla ancora presentata;

8)    "convenuto": la persona contro la quale è stata presentata una domanda di risarcimento del danno;

9)    "obbligo di diligenza": il livello di condotta richiesto, stabilito dal diritto nazionale o dell'Unione, al fine di evitare danni agli interessi giuridici riconosciuti dal diritto nazionale o dell'Unione, tra cui la vita, l'integrità fisica, la proprietà e la tutela dei diritti fondamentali.

Articolo 3 Divulgazione degli elementi di prova e presunzione relativa di non conformità

1.Gli Stati membri provvedono affinché, su richiesta di un attore potenziale che, dopo aver chiesto al fornitore, a una persona soggetta agli obblighi del fornitore a norma [dell'articolo 24 o dell'articolo 28, paragrafo 1, della legge sull'IA] o a un utente di divulgare gli elementi di prova pertinenti di cui dispone in relazione a un determinato sistema di IA ad alto rischio che si sospetta abbia cagionato il danno, si sia visto opporre un rifiuto, oppure su richiesta dell'attore, gli organi giurisdizionali nazionali abbiano il potere di ordinare la divulgazione di detti elementi di prova da parte di tali persone.

L'attore potenziale deve presentare a sostegno di tale richiesta fatti e prove sufficienti a sostenere la plausibilità della domanda di risarcimento del danno.

2.Nel quadro di una domanda di risarcimento del danno, gli organi giurisdizionali nazionali ordinano a una delle persone elencate al paragrafo 1 di divulgare gli elementi di prova solo se l'attore ha previamente compiuto ogni sforzo proporzionato per ottenere tali elementi di prova dal convenuto.

3.Gli Stati membri provvedono affinché gli organi giurisdizionali nazionali, su richiesta dell'attore, abbiano il potere di ordinare misure specifiche di conservazione degli elementi di prova di cui al paragrafo 1.

4.Gli organi giurisdizionali nazionali limitano la divulgazione degli elementi di prova a quanto necessario e proporzionato per sostenere una domanda o potenziale domanda di risarcimento del danno e limitano la conservazione di tali elementi di prova a quanto necessario e proporzionato per sostenere tale domanda di risarcimento del danno.

Nel valutare la proporzionalità di un ordine di divulgazione o di conservazione degli elementi di prova, gli organi giurisdizionali nazionali tengono conto dei legittimi interessi di tutte le parti, compresi i terzi interessati, specialmente in relazione alla protezione dei segreti commerciali ai sensi dell'articolo 2, punto 1, della direttiva (UE) 2016/943, e delle informazioni riservate, come le informazioni relative alla sicurezza pubblica o nazionale.

Gli Stati membri provvedono affinché, qualora sia ordinata la divulgazione di un segreto commerciale o presunto segreto commerciale che l'organo giurisdizionale ha indicato come riservato ai sensi dell'articolo 9, paragrafo 1, della direttiva (UE) 2016/943, gli organi giurisdizionali nazionali, d'ufficio o su richiesta debitamente motivata di una parte, abbiano il potere di adottare misure specifiche necessarie per tutelarne la riservatezza se tali elementi di prova vengono utilizzati o se ad essi è fatto riferimento nel procedimento giudiziario.

Gli Stati membri provvedono inoltre affinché la persona cui è stato ordinato di divulgare o conservare gli elementi di prova di cui al paragrafo 1 o 2 disponga di adeguati mezzi procedurali per impugnare tali ordinanze.

5.Se il convenuto non si conforma all'ordinanza con cui l'organo giurisdizionale nazionale, nel contesto di una domanda di risarcimento del danno, gli ingiunge di divulgare o conservare gli elementi di prova a sua disposizione a norma del paragrafo 1 o 2, l'organo giurisdizionale nazionale presume, in particolare nelle circostanze di cui all'articolo 4, paragrafo 2 o 3, la non conformità a un pertinente obbligo di diligenza da parte del convenuto, che gli elementi di prova richiesti erano intesi a dimostrare ai fini della domanda di risarcimento del danno.

Il convenuto ha il diritto di confutare tale presunzione.

Articolo 4 Presunzione relativa del nesso di causalità in caso di colpa

1.Fatti salvi i requisiti di cui al presente articolo, ai fini dell'applicazione delle norme in materia di responsabilità alle domande di risarcimento del danno gli organi giurisdizionali nazionali presumono l'esistenza del nesso di causalità tra la colpa del convenuto e l'output prodotto da un sistema di IA o la mancata produzione di un output da parte di tale sistema se sono soddisfatte tutte le condizioni seguenti:

(a) l'attore ha dimostrato o l'organo giurisdizionale ha presunto, a norma dell'articolo 3, paragrafo 5, la colpa del convenuto o di una persona della cui condotta il convenuto è responsabile, consistente nella non conformità a un obbligo di diligenza previsto dal diritto dell'Unione o nazionale e direttamente inteso a proteggere dal danno verificatosi;

(b)si può ritenere ragionevolmente probabile, sulla base delle circostanze del caso, che il comportamento colposo abbia influito sull'output prodotto dal sistema di IA o sulla mancata produzione di un output da parte di tale sistema;

(c)l'attore ha dimostrato che il danno è stato causato dall'output prodotto dal sistema di IA o dalla mancata produzione di un output da parte di tale sistema.

2.In caso di domanda di risarcimento del danno presentata contro un fornitore di un sistema di IA ad alto rischio soggetto ai requisiti stabiliti al titolo III, capi 2 e 3, della [legge sull'IA] o una persona soggetta agli obblighi del fornitore a norma [dell'articolo 24 o dell'articolo 28, paragrafo 1, della legge sull'IA], le condizioni di cui al paragrafo 1, lettera a), sono soddisfatte unicamente se l'attore ha dimostrato che il fornitore o, se del caso, la persona soggetta agli obblighi del fornitore non ha rispettato uno dei requisiti stabiliti da tali capi e indicati di seguito, tenendo conto delle misure adottate nel quadro del sistema di gestione dei rischi e dei relativi risultati a norma [dell'articolo 9 e dell'articolo 16, lettera a), della legge sull'IA]:

(a) il sistema di IA è un sistema che utilizza tecniche che prevedono l'uso di dati per l'addestramento di modelli e che non è stato sviluppato sulla base di set di dati di addestramento, convalida e prova che soddisfano i criteri di qualità di cui [all'articolo 10, paragrafi da 2 a 4, della legge sull'IA];

(b) il sistema di IA non è stato progettato e sviluppato in modo da soddisfare gli obblighi di trasparenza di cui [all'articolo 13 della legge sull'IA];

(c)il sistema di IA non è stato progettato e sviluppato in modo da consentire una supervisione efficace da parte di persone fisiche durante il periodo in cui il sistema di IA è in uso a norma [dell'articolo 14 della legge sull'IA];

(d)il sistema di IA non è stato progettato e sviluppato in modo da conseguire, alla luce della sua finalità prevista, un adeguato livello di accuratezza, robustezza e cibersicurezza a norma [dell'articolo 15 e dell'articolo 16, lettera a), della legge sull'IA]; oppure

(e)non sono state immediatamente adottate le azioni correttive necessarie per rendere il sistema di IA conforme ai requisiti stabiliti [dal titolo III, capo 2, della legge sull'IA] o per ritirarlo o richiamarlo, a seconda dei casi, a norma [dell'articolo 16, lettera g), e dell'articolo 21 della legge sull'IA].

3.In caso di domanda di risarcimento del danno presentata contro un utente di un sistema di IA ad alto rischio soggetto ai requisiti stabiliti al titolo III, capi 2 e 3, della [legge sull'IA], la condizione di cui al paragrafo 1, lettera a), è soddisfatta se l'attore dimostra che l'utente:

(a)non ha rispettato l'obbligo di utilizzare il sistema di IA o di monitorarne il funzionamento conformemente alle istruzioni per l'uso che accompagnano il sistema o, se del caso, l'obbligo di sospenderne o interromperne l'uso a norma [dell'articolo 29 della legge sull'IA]; oppure

(b)ha esposto il sistema di IA a dati di input sotto il suo controllo che non sono pertinenti alla luce della finalità prevista del sistema a norma [dell'articolo 29, paragrafo 3, della legge sull'IA].

4.In caso di domanda di risarcimento del danno riguardante un sistema di IA ad alto rischio, l'organo giurisdizionale nazionale non applica la presunzione di cui al paragrafo 1 se il convenuto dimostra che l'attore può ragionevolmente accedere a elementi di prova e competenze sufficienti per dimostrare l'esistenza del nesso di causalità di cui al paragrafo 1.

5.In caso di domanda di risarcimento del danno riguardante un sistema di IA che non è ad alto rischio, la presunzione di cui al paragrafo 1 si applica solo se l'organo giurisdizionale nazionale ritiene eccessivamente difficile per l'attore dimostrare l'esistenza del nesso di causalità di cui al paragrafo 1.

6.In caso di domanda di risarcimento del danno presentata contro un convenuto che ha utilizzato il sistema di IA nel corso di un'attività personale non professionale, la presunzione di cui al paragrafo 1 si applica solo se il convenuto ha interferito materialmente con le condizioni di funzionamento del sistema di IA o se il convenuto aveva l'obbligo ed era in grado di determinare le condizioni di funzionamento del sistema di IA e non l'ha fatto.

7.Il convenuto ha il diritto di confutare la presunzione di cui al paragrafo 1.

DALLA RELAZIONE

Presunzione del nesso di causalità in caso di colpa (articolo 4)

Per quanto riguarda i danni causati dai sistemi di IA, la direttiva mira a fornire una base efficace per le domande di risarcimento in relazione alla colpa consistente nella non conformità a un obbligo di diligenza a norma del diritto dell'Unione o nazionale.

Stabilire un nesso causale tra tale non conformità e l'output prodotto dal sistema di IA o la mancata produzione di un output da parte del sistema di IA che ha cagionato il danno in questione può risultare difficile per gli attori. È stata pertanto stabilita, all'articolo 4, paragrafo 1, una presunzione relativa mirata di causalità in relazione a tale nesso di causalità. Tale presunzione è la misura meno onerosa atta a rispondere alla necessità di un equo risarcimento del danneggiato.

La colpa del convenuto deve essere dimostrata dall'attore conformemente alle norme dell'Unione o nazionali applicabili e può essere accertata, ad esempio, per non conformità a un obbligo di diligenza a norma della legge sull'IA o di altre normative stabilite a livello di Unione, come quelle che disciplinano l'uso del monitoraggio e del processo decisionale automatizzati per il lavoro mediante piattaforme digitali o quelle che disciplinano il funzionamento di aeromobili senza equipaggio. Tale colpa può anche essere presunta dall'organo giurisdizionale sulla base del mancato rispetto di un'ordinanza giudiziaria di divulgazione o conservazione degli elementi di prova a norma dell'articolo 3, paragrafo 5. Tuttavia, è opportuno introdurre una presunzione di causalità solo quando si può ritenere probabile che la colpa in questione abbia influenzato l'output pertinente del sistema di IA o la sua mancata produzione, il che può essere valutato sulla base delle circostanze generali del caso. Allo stesso tempo, l'attore deve comunque dimostrare che il sistema di IA (ossia l'output di tale sistema o la sua mancata produzione) ha causato il danno.

I paragrafi 2 e 3 operano una distinzione tra le azioni intentate nei confronti del fornitore di un sistema di IA ad alto rischio o di una persona soggetta agli obblighi del fornitore a norma della legge sull'IA, da un lato, e le azioni intentate nei confronti dell'utente di tali sistemi, dall'altro. A tale riguardo, la direttiva segue le rispettive disposizioni e condizioni pertinenti della legge sull'IA. Nel caso di domande di risarcimento fondate sull'articolo 4, paragrafo 2, l'osservanza da parte dei convenuti degli obblighi di cui a tale paragrafo deve essere valutata anche alla luce del sistema di gestione dei rischi e dei suoi risultati, vale a dire le misure di gestione dei rischi, a norma della legge sull'IA.

In caso di sistemi di IA ad alto rischio, quali definiti dalla legge sull'IA, l'articolo 4, paragrafo 4, stabilisce un'eccezione alla presunzione di causalità qualora il convenuto dimostri che l'attore può ragionevolmente accedere a elementi di prova e competenze sufficienti per dimostrare il nesso causale. Una simile possibilità può incentivare i convenuti a rispettare i loro obblighi di divulgazione, mediante misure stabilite dalla legge sull'IA per garantire un elevato livello di trasparenza dell'IA o mediante requisiti di documentazione e registrazione.

Nel caso di sistemi di IA che non sono ad alto rischio, l'articolo 4, paragrafo 5, stabilisce una condizione per l'applicabilità della presunzione di causalità, in base alla quale quest'ultima è soggetta alla condizione che l'organo giurisdizionale stabilisca che è eccessivamente difficile per l'attore dimostrare l'esistenza del nesso causale. Tali difficoltà devono essere valutate alla luce delle caratteristiche di determinati sistemi di IA, come l'autonomia e l'opacità, che nella pratica rendono estremamente difficile la spiegazione del funzionamento interno del sistema di IA e pregiudicano la capacità dell'attore di dimostrare l'esistenza del nesso di causalità tra la colpa del convenuto e l'output del sistema di IA.

Nei casi in cui un convenuto utilizza il sistema di IA nel corso di un'attività personale non professionale, l'articolo 4, paragrafo 6, stabilisce che la presunzione di casualità dovrebbe applicarsi solo se il convenuto ha interferito materialmente con le condizioni di funzionamento del sistema di IA o se il convenuto aveva l'obbligo ed era in grado di determinare le condizioni di funzionamento del sistema di IA e non l'ha fatto. Tale condizione è giustificata dall'esigenza di bilanciare gli interessi delle persone danneggiate e degli utenti non professionali, esentando dall'applicazione della presunzione di causalità i casi in cui il comportamento degli utenti non professionali non determina un incremento dei rischi.

L'articolo 4, paragrafo 7, stabilisce infine che il convenuto ha il diritto di confutare la presunzione di causalità fondata sull'articolo 4, paragrafo 1.

Tali norme efficaci in materia di responsabilità civile presentano il vantaggio aggiuntivo di fornire a tutti coloro che sono coinvolti in attività relative ai sistemi di IA un ulteriore incentivo a rispettare gli obblighi relativi alla condotta che ci si aspetta da loro.

Articolo 5 Valutazione e revisione mirata

1.Entro il [DATA cinque anni dopo la fine del periodo di recepimento] la Commissione riesamina l'applicazione della presente direttiva e presenta al Parlamento europeo, al Consiglio e al Comitato economico e sociale europeo una relazione corredata, se del caso, di una proposta legislativa.

2.La relazione esamina gli effetti degli articoli 3 e 4 sul conseguimento degli obiettivi perseguiti dalla presente direttiva. Dovrebbe valutare in particolare l'adeguatezza delle norme in materia di responsabilità oggettiva per le domande di risarcimento presentate contro gli operatori di determinati sistemi di IA, purché non siano già disciplinate da altre norme dell'Unione in materia di responsabilità, ed esaminare la necessità di una copertura assicurativa, tenendo conto nel contempo dell'effetto e dell'impatto sulla diffusione e sull'adozione dei sistemi di IA, in particolare per le PMI.

3.La Commissione istituisce un programma di monitoraggio per la preparazione della relazione a norma dei paragrafi 1 e 2, stabilendo le modalità e la periodicità della raccolta dei dati e delle altre evidenze richieste. Il programma specifica le iniziative che la Commissione e gli Stati membri devono adottare ai fini della raccolta e dell'analisi dei dati e delle altre evidenze. Ai fini di tale programma, gli Stati membri comunicano alla Commissione i dati e le evidenze pertinenti entro il [31 dicembre del secondo anno completo successivo alla fine del periodo di recepimento] ed entro la fine di ogni anno successivo.

Articolo 6 Modifica della direttiva (UE) 2020/1828

All'allegato I della direttiva (UE) 2020/1828 40 è aggiunto il seguente punto 67:

"(67) Direttiva (UE).../... del Parlamento europeo e del Consiglio, del ..., relativa all'adeguamento delle norme in materia di responsabilità civile extracontrattuale all'intelligenza artificiale (direttiva sulla responsabilità da intelligenza artificiale) (GU L […] del […], pag. […]).".

Articolo 7 Recepimento

1.Gli Stati membri mettono in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva entro [due anni dalla sua entrata in vigore]. Essi comunicano immediatamente alla Commissione il testo di tali disposizioni.

Le disposizioni adottate dagli Stati membri contengono un riferimento alla presente direttiva o sono corredate di tale riferimento all'atto della pubblicazione ufficiale. Le modalità del riferimento sono stabilite dagli Stati membri.

2.Gli Stati membri comunicano alla Commissione il testo delle disposizioni principali di diritto interno che adottano nel settore disciplinato dalla presente direttiva.

Articolo 8 Entrata in vigore