C'è un paradosso che chi lavora sui modelli conosce bene: per dimostrare che un sistema non discrimina in base all'origine etnica, al genere o alla salute, ti servono proprio i dati sull'origine etnica, sul genere e sulla salute. Cioè le categorie particolari che il GDPR protegge in modo rafforzato.
Per anni la risposta pratica è stata girarci attorno con proxy e acrobazie, con il risultato che i bias non li verificava quasi nessuno. Il Digital Omnibus ha messo mano al problema con un nuovo articolo 4-bis, applicabile dal 2 agosto 2026.
Cosa introduce
Una base normativa per il trattamento di categorie particolari di dati personali quando è finalizzato a rilevare e correggere i bias dei sistemi di intelligenza artificiale.
Non è una licenza generale. È una base finalizzata: vale per quello scopo, con garanzie, e non trasforma i dati sensibili in un serbatoio liberamente utilizzabile per addestrare qualsiasi cosa.
Perché serviva davvero
Prendi un sistema di screening dei curriculum. Vuoi sapere se penalizza sistematicamente le candidate donne o le persone con nomi stranieri. L'unico modo per saperlo è misurare i tassi di selezione per gruppo. E per farlo devi trattare l'informazione sul genere e, in certe analisi, su origine o cittadinanza.
Senza una base giuridica chiara, l'organizzazione prudente sceglieva di non misurare. Con il risultato paradossale che la protezione dei dati diventava lo scudo dietro cui la discriminazione algoritmica restava invisibile.
Non è teoria italiana da convegno: sulla gestione algoritmica dei lavoratori il Garante ha già sanzionato Foodinho e Deliveroo nel 2021, contestando fra l'altro l'opacità dei sistemi che governavano i rider.
Come si usa senza combinare guai
Il fatto che esista una base giuridica non toglie nulla del resto. Restano minimizzazione, limitazione delle finalità, tempi di conservazione, misure di sicurezza, e la valutazione d'impatto dove il trattamento presenta rischi elevati.
Le regole pratiche che consiglio a chi lo fa sul serio. Separa: i dati per l'analisi dei bias non stanno nel dataset di addestramento e non alimentano il modello. Aggrega: quello che ti serve sono tassi per gruppo, non profili individuali. Limita l'accesso: solo a chi fa la valutazione, con log. Cancella: finita l'analisi, resta il report, non il dataset.
E documenta la finalità prima di raccogliere. Il giorno in cui qualcuno chiede conto, la differenza fra un trattamento legittimo e un abuso sta tutta nella documentazione preventiva.
Chi dovrebbe farlo, in concreto
Chiunque usi sistemi che producono effetti su persone: selezione e gestione del personale, valutazione del merito creditizio, accesso a servizi, valutazione di studenti. Sono anche gli ambiti dell'Allegato III, i cui obblighi diventano applicabili il 2 dicembre 2027 dopo il rinvio.
La verifica dei bias è uno dei requisiti sostanziali dell'alto rischio, dentro la governance dei dati. Quindi non è un esercizio etico facoltativo: è un pezzo di conformità che, dal 2027, ti verrà chiesto per iscritto.
Il metodo minimo
Definisci i gruppi rilevanti per il tuo contesto. Misura i tassi di esito per gruppo — selezione, approvazione, punteggio medio. Confronta e stabilisci una soglia oltre la quale la differenza è un segnale, non rumore. Se il segnale c'è, indaga la causa: dataset sbilanciato, variabile proxy, etichette storicamente distorte.
Poi correggi e rimisura. E ripeti periodicamente, perché un modello che era equilibrato al lancio può sbilanciarsi quando cambiano i dati in ingresso.
Se questo processo non è nelle mani di nessuno in azienda, il problema non è l'articolo 4-bis. È che nessuno sta guardando.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Finalmente si può misurare la discriminazione senza violare la privacy. Adesso l'alibi è finito: chi non misura, sceglie di non sapere.
Domande frequenti
Posso usare l'articolo 4-bis per addestrare il modello su dati sensibili?
No. La base è finalizzata alla rilevazione e correzione dei bias, non all'addestramento generico. I dati usati per l'analisi vanno tenuti separati e circoscritti a quello scopo.
Serve comunque una valutazione d'impatto?
Sì, quando il trattamento presenta un rischio elevato per i diritti delle persone secondo i criteri del GDPR. L'esistenza di una base giuridica non sostituisce la DPIA.
Da quando si applica?
Dal 2 agosto 2026, secondo quanto previsto dal Regolamento (UE) 2026/1744 che lo ha introdotto.