Innovation Law Insights

Artificial Intelligence

L’esenzione dei sistemi di AI rilasciati sotto licenze open-source ai sensi dell’AI Act

Un errore contenuto nella bozza dell’AI Act precedentemente pubblicata aveva portata ad una scorretta interpretazione delle previsioni applicabili ai software open-source.

Nella versione precedente (quella del 26 gennaio 2024), all’Art. 2, par 5 lett. g) si indicava espressamente che gli obblighi previsti dall’AI Act non fossero applicabili ai sistemi di intelligenza artificiale rilasciati sotto licenze libere e open-source, a meno che non fossero immessi sul mercato o messi in servizio come sistemi di AI ad alto rischio o rientranti nei titoli II e IV (rispettivamente attinenti alle pratiche di Intelligenza Artificiale vietate e agli obblighi di trasparenza per fornitori e distributori di determinati sistemi di AI).

Nella nuova versione, approvata il 13 marzo scorso con una nuova numerazione, all’Art. 2 par 12 si esplicita che il Regolamento sia applicabile ai sistemi di AI rilasciati con licenze libere o open-source, a meno che non siano immessi sul mercato o messi in servizio come sistemi di AI rientranti nell’Art. 5 o nell’Art. 50 (che disciplinano, anche in questo caso, le pratiche di Intelligenza Artificiali proibite e gli obblighi di trasparenza incombenti su fornitori e distributori di determinati sistemi di AI).

Tuttavia, alcuni giorni fa l’argomento è stato chiarito. Si tratta di un errore linguistico circa la portata dell’esenzione. I sistemi di intelligenza artificiale che utilizzano software open source non sono vincolati dai termini dell’AI Act, a meno che non siano: (i) introdotti sul mercato o messi in servizio come sistemi di AI ad alto rischio, o (ii) tenuti ad aderire agli obblighi di trasparenza delineati nell’AI Act.

Inoltre, i componenti open source che possono beneficiare di questa esenzione sono quelli i cui parametri, compresi i pesi relativi all’architettura e all’utilizzo del modello, sono pubblicamente accessibili. Questi componenti non devono essere disponibili a pagamento o monetizzati in altro modo. Tale limitazione restringe notevolmente la portata dell’esenzione rendendola di fatto applicabile solo nei casi in cui il software open source non sia messo a disposizione per trarre profitto con l’esclusione quindi di tutti i casi in cui è incorporato in prodotti commercializzati da aziende.

Si tratta di un momento di forte incertezza per le aziende che sanno di dover adottare soluzioni di intelligenza artificiale generativa per innovare, ma allo stesso tempo sono preoccupate dei relativi costi e non conoscono a pieno i benefici che l’AI potrebbe portare alla propria operatività. Per supportare le aziende in questa fase, abbiamo pubblicato il seguente articolo “L’AI Act è stato approvato: Cosa devono fare le aziende ora?”.

Data Protection & Cybersecurity

Nuove regole per il telemarketing: si conclude l’iter di attuazione del Codice di Condotta

Con l’accreditamento dell’Organismo di Monitoraggio (“OdM”), si conclude il lungo processo che ha portato finalmente alla piena attuazione del Codice di condotta che disciplina le attività di teleselling e telemarketing (“Codice”).

Questo Codice, che si pone l’obiettivo di proteggere gli utenti dalle chiamate indesiderate, entrerà in vigore il giorno successivo alla sua pubblicazione nella Gazzetta Ufficiale e obbligherà le società che vi aderiscono ad adottare misure specifiche per garantire la correttezza e la legittimità dei trattamenti dei dati personali lungo tutta la filiera del telemarketing.

1. Il lungo iter di approvazione

Promosso da diverse associazioni della filiera (committenti, call center, teleseller, list provider e associazioni di consumatori), il Codice è stato presentato per la prima volta al Garante per la protezione dei dati personali (“Garante”) il 10 novembre 2022, ai sensi dell’articolo 40 del Regolamento 679/2016 (“GDPR”).

Successivamente, il 24 marzo 2023, il Garante ha approvato il testo del Codice, concepito con l’intento di facilitare la corretta osservanza della normativa relativa al telemarketing e promuovere la diffusione di principi e misure a salvaguardia dei consumatori contattati dai call center e gli altri operatori del settore.

Tuttavia, ai fini dell’entrata in vigore del Codice, si rimaneva in attesa del previo accreditamento dell’OdM e, finalmente, a marzo 2024, il Garante ha ritenuto che l’OdM proposto da varie associazioni, tra cui committenti, call center, teleseller, list provider e associazioni di consumatori, soddisfasse i requisiti stabiliti dal GDPR. Tra questi requisiti figurano un adeguato livello di competenza, indipendenza e imparzialità necessari per garantire l’esecuzione efficace delle attività di controllo sull’applicazione del Codice da parte dei soggetti aderenti.

Infine, l’entrata in vigore, si dovrà attendere il giorno successivo alla pubblicazione del Codice nella Gazzetta Ufficiale.

2. Le principali novità

Le disposizioni del Codice, in quanto strumento di “autodisciplina”, trovano applicazione nei confronti degli operatori che svolgono attività di promozione e/o offerta di beni e servizi tramite telefono a soggetti nel territorio italiano e che vi aderiscano volontariamente.

Per garantire la conformità al GDPR, il Codice di condotta stabilisce una serie di requisiti che mirano a prevenire attività non autorizzate e a garantire una sorveglianza completa dell’intero processo della campagna promozionale.

In particolare, il Codice disciplina i seguenti temi:

• scelta dei partner commerciali: per esempio, obblighi di verifica ad hoc sono introdotti nella selezione dei list provider, per i quali i committenti saranno tenuti a verificare l’adozione di corrette modalità di acquisizione del consenso (documentabile) dei soggetti censiti o, qualora il consenso non sia necessario, la garanzia che le liste di numerazioni siano state verificate presso il Registro Pubblico delle Opposizioni prima della cessione;

• obblighi in capo ai fornitori: sono ribaditi alcuni obblighi generali e consolidati (quali l’iscrizione al Registro degli Operatori di Comunicazione) ma introdotti ulteriori requisiti specifici quali:

• fornire al committente, entro 15 giorni dalla chiusura delle singole campagne pubblicitarie, un report dettagliato che contenga le specifiche della campagna effettuata (es. numero di telefonate su base giornaliera, numero di telefonate senza risposte, numero di opposizioni);
• registrare su apposite black-list le richieste degli utenti (es. di opposizione, di cancellazione, di revoca del consenso) e trasmetterle entro e non oltre le 24 ore dal loro ricevimento;
• inviare al committente i dati identificativi e il numero di telefono degli interessati o dei contraenti che abbiano manifestato interesse o aderito alla promozione;
• rispettare determinati limiti temporali per contattare l’interessato (es. sono individuate le fasce orarie in cui l’utente può essere contattato e i giorni i cui non può essere contattato).

• modalità di contatto: prima di contattare gli utenti, i committenti devono fornire ai fornitori istruzioni dettagliate su come gestire i contatti, quali l’utilizzo di (i) uno script che gli operatori dovranno seguire durante la chiamata, (ii) un’informativa semplificata da comunicare all’utente e (iii) specifiche modalità per ottenere il consenso dell’utente.

3. Considerazioni utili per le aziende

Dai requisiti precedentemente menzionati emerge chiaramente come i contenuti del Codice impongano degli oneri significativi per i committenti, i quali potrebbero risultare difficilmente gestibili per le società di dimensioni medio-piccole, con il rischio di discriminazione.

Sarà interessante osservare se il Garante renderà i requisiti stabiliti dal Codice la norma da seguire per tutte le società che svolgono attività di telemarketing, a prescindere dalla loro adesione al Codice (che è uno strumento di autodisciplina).

Le aziende interessate, a prescindere dall’adesione al Codice, dovranno altresì sincerarsi di aver implementato le necessarie misure di controllo della propria filiera.

Sullo stesso tema, potrebbero interessarvi “Telemarketing – il Garante privacy approva il Codice di Condotta” e “Infografica sul codice di condotta privacy sul telemarketing e teleselling”.

Il Parlamento ha approvato il Cyber Resilience Act: quali obblighi si prospettano per fabbricanti, importatori e distributori?

Lo scorso 12 marzo, il Parlamento UE ha approvato ufficialmente il Cyber Resilience Act, segnando un importante passo in avanti in tema di cybersicurezza dei prodotti immessi nel mercato.

Ambito di applicazione

Il Cyber Resilience Act si pone come obiettivo quello di andare a sopperire alle lacune normative in ambito di sicurezza dei prodotti con elementi digitali, difatti, non si applicherà a quei prodotti per i quali è già prevista una normativa ad hoc, quali:

• i dispositivi medici già regolati dal Regolamento (UE) 2017/745
• i dispositivi medico-diagnostici in vitro già regolati dal Regolamento (UE) 2917/746
• i veicoli a motore e relativi componenti, già regolati dal Regolamento (UE) 2019/2144
• i prodotti con elementi digitali certificati in conformità con il Regolamento (UE) 2018/1139

Sono esclusi poi, in generale, i prodotti coperti da eventuali norme settoriali che garantiscano un analogo livello di sicurezza.

Inoltre, il Regolamento non si applicherà allo stesso modo a tutti i prodotti, bensì questi vengono suddivisi in tre categorie:

• prodotti con elementi digitali;
• prodotti con elementi digitali importanti suddivisi in classe I e II; e
• prodotti con elementi digitali critici.

In base a questa suddivisione, quindi saranno previsti obblighi diversificati soprattutto in tema di valutazione di conformità.

Il Regolamento, inoltre specifica che, salvo per quanto riguarda i requisiti relativi all’accuratezza e alla robustezza previsti dall’AI Act, le disposizioni ivi contenute si applicheranno anche ai sistemi di AI ad alto rischio e, a certe condizioni, la valutazione di conformità ai sensi del Cyber Resilience Act potrà essere effettuata nell’ambito della valutazione di conformità ai sensi dell’AI Act, creando quindi un dialogo tra le due discipline.

Obblighi ai fabbricanti, importatori e distributori

Il Cyber Resilience Act pone obblighi differenziati in capo ai fabbricanti, agli importatori ed ai distributori, con responsabilità più gravi in capo il primo.

In particolare, per quanto riguarda gli obblighi dei fabbricanti, si evidenzia che questi avranno il compito di, tra gli altri, di:

• effettuare una valutazione dei rischi di cibersicurezza associati a un prodotto con elementi digitali e di tenere in considerazione i risultati di tale valutazione durante le fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione del prodotto;
• segnalare alla persona o al soggetto che si occupa della fabbricazione o della manutenzione del componente un’eventuale vulnerabilità in quest’ultimo, e affrontare e correggere tale vulnerabilità conformemente ai requisiti di gestione previsti dal Cyber Resilience Act;
• documentare sistematicamente gli aspetti di cibersicurezza relativi al prodotto con elementi digitali, tenendo anche aggiornata la valutazione dei rischi di cibersicurezza del prodotto;
• prevedere un periodo di assistenza del prodotto durante il quale dovrà essere garantito che le vulnerabilità verranno gestite in modo efficace ed in conformità al Cyber Resilience Act. Tale periodo di assistenza dovrà essere predeterminato tenendo in considerazione, tra gli altri aspetti, il periodo di utilizzo previsto del prodotto, la ragionevole aspettativa dell’utilizzatore e la natura del prodotto;
• redigere una documentazione tecnica secondo quanto previsto all’interno del Regolamento ed eseguire o far eseguire (nel caso di prodotti con elementi digitali importanti e prodotti con elementi digitali critici) le procedure di valutazione della conformità, al cui esito positivo verrà consegnata una dichiarazione di conformità UE. Tale documentazione dovrà essere conservata per almeno 10 anni, o per un periodo pari alla durata del periodo di assistenza nel caso in cui quest’ultimo sia più lungo;
• designare un punto di contatto per consentire agli utilizzatori di comunicare direttamente e rapidamente, in modo anche da facilitare la segnalazione di vulnerabilità del prodotto con elementi digitali; e
• notificare al CSIRT designato come coordinatore e all’ENISA le vulnerabilità attivamente sfruttate nei propri prodotti e gli incidenti gravi di cui viene a conoscenza.

Gli importatori e i distributori invece avranno obblighi più lievi, che si sostanziano nel controllare che il fabbricante (e anche l’importatore, nel caso del distributore) abbia adempiuto ai propri obblighi informativi e di documentazione. Inoltre, dovranno evitare di immettere il prodotto sul mercanto nel caso in cui ritengano o abbiano motivo di ritenere che un prodotto con elementi digitali o i processi messi in atto dal fabbricante non siano conformi al Cyber Resilience Act. Nel caso in cui il prodotto sia già stato immesso nel mercato, dovranno comunque adottare misure correttive o se è il caso, ritirare o richiamare il prodotto. Infine, dovranno segnalare al fabbricante eventuali vulnerabilità del prodotto di cui dovessero venire a conoscenza.

È importante sottolineare tuttavia che un importatore o distributore potrà essere considerato un fabbricante ai fini del Cyber Resilience Act, e quindi essere soggetto agli obblighi previsti per quest’ultimo, qualora immetta sul mercato un prodotto con elementi digitali con il proprio nome o marchio commerciale o apporti una modifica sostanziale a un prodotto con elementi digitali già immesso sul mercato.

Conclusioni

È evidente che il Cyber Resilience Act apporterà una serie di nuovi adempimenti che i fabbricanti di prodotti con elementi digitali dovranno rispettare. Sarà necessario quindi che le aziende inizino a familiarizzare con il testo normativo in modo da adottare prontamente misure e policy per valutare i rischi di cibersicurezza, anche durante il periodo di assistenza del prodotto oltre che prepararsi a predisporre relativa documentazione tecnica. Ad ora il Regolamento è stato approvato dal solo Parlamento, manca quindi l’approvazione della Commissione affinché il Cyber Resilience Act diventi legge.

Nella stessa settimana è stato approvato anche l’AI Act, per saperne di più, può essere d’interesse l’articolo AI Act Finalizzato: Ecco Cosa E’ Stato Concordato.

Life Sciences

Vendita online di medicinali: il caso Doctipharma e l’impatto sul mercato italiano

La recente sentenza (“Caso Doctipharma” – C-606/21) della Corte di Giustizia dell’Unione Europea (“CGUE”) ha chiarito importanti aspetti riguardo alla vendita online di medicinali, delineando i confini entro cui le piattaforme digitali possono operare nel settore farmaceutico.

In particolare, intervenendo su una questione dibattuta da tempo, la CGUE si è pronunciata sulla possibilità di utilizzare siti web che non vendono direttamente prodotti ma si limitano a svolgere attività di intermediazione tra gli acquirenti e le farmacie.

Il Caso Doctipharma potrà avere un impatto significativo sul mercato italiano che, fino ad oggi, ha sempre adottato un approccio restrittivo nei confronti di marketplace, app e siti intermediari.

1. Il caso Doctipharma

La Direttiva 2001/83/CE, recepita in Italia attraverso il Decreto Legislativo 219/2006, prevede che i soggetti autorizzati a fornire medicinali al pubblico possano vendere tali prodotti anche attraverso siti web, nel rispetto di determinate condizioni. La Direttiva 2001/83/CE dispone altresì che gli Stati membri possano vietare la vendita online di medicinali soggetti a prescrizione medica, nonché imporre ulteriori requisiti nel rispetto delle esigenze di tutela della salute.

La sentenza della CGUE prende le mosse dal sito web gestito da Doctipharma SAS (“Doctipharma”), il quale offriva un servizio di intermediazione per l’acquisto di medicinali non soggetti a prescrizione da diverse farmacie. In poche parole, il sito consentiva agli acquirenti di selezionare i medicinali mediante un catalogo preregistrato e trasmetteva l’ordine alle farmacie convenzionate.

In tale contesto, la CGUE ha stabilito una distinzione fondamentale tra le piattaforme che vendono medicinali e quelle che svolgono unicamente attività di intermediazione tra farmacisti e consumatori. La CGUE ha infatti chiarito che:

1. gli Stati membri non possono limitare l’attività delle piattaforme che agiscono esclusivamente come intermediarie tra farmacisti e consumatori e che non sono direttamente coinvolte nella vendita di prodotti;
2. spetta al giudice nazionale la possibilità di determinare se le modalità specifiche di gestione e funzionamento di una piattaforma web la qualifichino come mero intermediario o come soggetto che effettua la vendita di medicinali.

Pertanto, i siti che svolgono solamente attività di intermediazione non sono soggetti ai requisiti previsti per la vendita online di medicinali, ivi incluso l’obbligo di ottenere l’autorizzazione per la fornitura al pubblico di tali prodotti.

2. Possibile impatto del caso Doctipharma in Italia

La vendita online di medicinali in Italia è soggetta ai requisiti stabiliti nel Decreto Legislativo 219/2006, come da ultimo modificato dal Decreto Legislativo 17/2014 (che ha recepito la Direttiva 2011/62/UE).

In particolare, l’articolo 112-quater del Decreto Legislativo 219/2006 prevede che: 

1. la vendita online è consentita solo per i medicinali non soggetti a prescrizione (SOP) e medicinali da banco (OTC). È vietata la vendita di medicinali soggetti a prescrizione medica e di medicinali veterinari;
2. gli unici soggetti autorizzati a vendere medicinali online sono le farmacie, le parafarmacie e i “corner della salute” della grande distribuzione organizzata;
3. la vendita online di medicinali è subordinata all’ottenimento di specifica autorizzazione dell’autorità regionale competente;
4. gli esercizi autorizzati alla vendita online devono registrarsi presso il Ministero della Salute e ottenere il logo identificativo nazionale. Tale logo deve essere ben visibile nel sito web.

Il Ministero della Salute ha fornito ulteriori indicazioni nella circolare 25654 del 10 maggio 2016, disponendo che, tra le altre cose:

• l’utilizzo di siti web intermediari, piattaforme per l’e-commerce (marketplace) ovvero applicazioni funzionali alla gestione dei processi di acquisto è vietato in quanto la vendita online di medicinali è consentita unicamente attraverso i siti autorizzati e registrati presso il Ministero della Salute;
• l’utilizzo di piattaforme che dal prodotto, scelto dall’utente, risalgono ad un venditore accreditato selezionato dal sistema appare in contrasto con il diritto di libera scelta della farmacia da parte dei cittadini sancito dall’articolo 15 della legge 475/1968.

Negli ultimi anni in Italia si è assistito alla nascita e proliferazione di diverse piattaforme web che offrono servizi di intermediazione, soprattutto a seguito della pandemia di Covid-19. La maggior parte di questi siti – operati da aziende non autorizzate alla vendita di medicinali – non vende direttamente i prodotti, limitandosi a mettere in contatto gli utenti con le farmacie o, in alcuni casi, soggetti terzi che comprano fisicamente i medicinali e poi li spediscono agli acquirenti. Tuttavia – stante l’approccio molto restrittivo delle autorità – tali piattaforme si sono spesso trovate a operare in una zona grigia, esponendosi a rilevanti rischi sanzionatori. Inoltre non sono mancate, nel tempo, iniziative da parte di associazioni di categoria finalizzate a limitare tale fenomeno, chiedendo una regolamentazione che vietasse esplicitamente la possibilità di organizzare qualsiasi attività di intermediazione online nell’acquisto e/o la consegna di medicinali.

La sentenza della CGUE potrebbe pertanto segnare un cambiamento significativo nell’interpretazione della normativa sulla vendita online dei medicinali in Italia. Sarà dunque interessante osservare se e come il caso Doctipharma impatterà il mercato italiano, portando maggiore chiarezza in un quadro normativo che – alla luce dell’approccio delle autorità competenti – è ad oggi sempre stato molto conservativo.

Su un argomento simile può essere d’interesse l’articolo “L’utilizzo di celebrità e influencer nella pubblicità online medicinali”.

Intellectual Property

Procedimenti davanti all’UPC: un aggiornamento a marzo 2024

A distanza di due mesi dall’ultimo report, il 1 marzo scorso l’UPC ha reso disponibile un ulteriore aggiornamento relativo ai procedimenti instaurati dall’inaugurazione del sistema (1° giugno 2023), che ad oggi ammontano complessivamente a 274 quanto alla Corte di prima istanza.

Tra questi, 96 sono giudizi di contraffazione, nell’ambito dei quali sono state proposte 129 domande riconvenzionali. La sproporzione tra i due numeri impone però una precisazione: ove in un procedimento siano convenuti più soggetti, ciascuno di essi – se lo ritiene – è tenuto a proporre un’autonoma domanda riconvenzionale, che viene dunque considerata alla stregua di una nuova azione. Dei 96 procedimenti di contraffazione, sono 36 quelli che hanno visto la proposizione di una o più domande riconvenzionali.

I giudizi di nullità sono invece complessivamente 24, di cui 20 instaurati innanzi alla divisione centrale di Parigi (che allo stato attrae parte dei giudizi che diverranno di competenza della divisione centrale di Milano) e 4 davanti alla divisione centrale di Monaco.

Si contano poi 23 procedimenti cautelari, un giudizio di accertamento negativo di contraffazione e un’azione di risarcimento dei danni.

Il maggior numero di procedimenti è stato promosso innanzi alle divisioni tedesche di Monaco, Düsseldorf, Mannheim e Amburgo. Seguono poi le divisioni di Parigi, che contano all’incirca una quarantina di procedimenti, quella Nordico-baltica, con 9 giudizi, e quella di Milano, che ne ha registrati 8. Le restanti divisioni, tra cui quelle di Copenaghen, L’Aja, Helsinki, Vienna e Bruxelles contano infine un numero più modesto di procedimenti, mentre non possono dirsi ancora all’opera le divisioni di Lisbona e Lubiana.

Quanto alla lingua dei procedimenti, quella predominante è il tedesco, utilizzata nel 48% dei casi, seguita dall’inglese (43%), dal francese (4%), dall’italiano (3%) e infine dall’olandese (2%).

Per quanto concerne invece i procedimenti instaurati davanti alla Corte d’Appello, essi ad oggi ammontano a 36 e afferiscono perlopiù a questioni procedurali.

Alla luce delle statistiche, il nostro Paese non può ancora dirsi davvero protagonista del sistema UPC; l’auspicio è però che lo diventi a seguito dell’inaugurazione della divisione centrale di Milano, prevista per il prossimo giugno. A questo proposito, lascia ben sperare che gran parte dei procedimenti di nullità sino ad oggi instaurati concernano tecnologie aventi ad oggetto le “necessità umane”, che rientreranno presto nella competenza proprio della sede meneghina.

Sempre in tema di UPC può essere interessante l’articolo “Sospensione del procedimento innanzi all’UPC in pendenza di un giudizio di opposizione avanti all’EPO”.

La rubrica Innovation Law Insights è stata redatta dai professionisti dello studio legale DLA Piper con il coordinamento di Arianna Angilletta, Matteo Antonelli, Edoardo Bardelli, Carolina Battistella, Carlotta Busani, Giorgia Carneri, Maria Rita Cormaci, Camila Crisci, Cristina Criscuoli, Tamara D’Angeli, Chiara D’Onofrio, Federico Maria Di Vizio, Enila Elezi, Alessandra Faranda, Nadia Feola, Laura Gastaldi, Vincenzo Giuffré, Nicola Landolfi, Giacomo Lusardi, Valentina Mazza, Lara Mastrangelo, Maria Chiara Meneghetti, Deborah Paracchini, Maria Vittoria Pessina, Tommaso Ricci, Miriam Romeo, Rebecca Rossi, Roxana Smeria, Massimiliano Tiberio, Giulia Zappaterra.

Gli articoli in materia di Telecommunications sono a cura di Massimo D’Andrea, Flaminia Perna e Matilde Losa.

Per maggiori informazioni sugli argomenti trattati, è possibile contattare i soci responsabili delle questioni Giulio Coraggio, Marco de Morpurgo, Gualtiero Dragotti, Alessandro Ferrari, Roberto Valenti, Elena Varese, Alessandro Boso Caretta, Ginevra Righini.

Scoprite Prisca AI Compliance, il tool di legal tech sviluppato da DLA Piper per valutare la maturità dei sistemi di intelligenza artificiale rispetto alle principali normative e standard tecnici qui.

È possibile sapere di più su “Transfer”, il tool di legal tech realizzato da DLA Piper per supportare le aziende nella valutazione dei trasferimenti dei dati fuori dello SEE (TIA) qui e consultare una pubblicazione di DLA Piper che illustra la normativa sul Gambling qui, nonché un report che analizza le principali questioni legali derivanti dal metaverso qui, e una guida comparativa delle norme in materia di loot boxes qui.

DLA Piper Studio Legale Tributario Associato tratta i dati personali in conformità con l'informativa sul trattamento dei dati personali disponibile qui.

Qualora non si volesse più ricevere gli Innovation Law Insights o ci si volesse iscrivere alla stessa, è possibile inviare un'email a Silvia Molignani.