Disposizioni in merito alla regolamentazione dell’uso dell'AI (intelligenza artificiale)

Art. 1
(Principi generali)
1. La presente legge dispone in relazione all’uso di applicazioni di intelligenza artificiale per garantire la protezione degli utenti da rischi derivanti dall’uso con il fine di tutelare l’integrità e i diritti fondamentali di  dignità umana,  libertà, uguaglianza, democrazia, diritto alla non discriminazione, protezione dei dati, salute e la sicurezza.
2. Le disposizioni previste sono finalizzate alla:
a)    valutazione di conformità dei prodotti immessi sul mercato;
b)    riconoscibilità dei prodotti per gli utenti: si obbliga a rendere riconoscibili in modo trasparente tutti i contenuti prodotti dall’I.A., l’informazione e la tracciabilità degli algoritmi. Inoltre si fa obbligo alle aziende produttrici di sistemi informatici che includano anche modelli di produzione linguistica (Large Language Models) di pubblicare una lista di materiali usati per l’addestramento degli algoritmi al fine di tutelare i diritti d’autore;
c)    classificazione dei prodotti in base al rischio di impatto sui diritti fondamentali degli utenti:
1.    sistemi a rischio inaccettabile: prodotti vietati;
2.    sistemi a rischio molto alto: prodotti soggetti a valutazione di impatto sui diritti, quindi autorizzati con misure di cautela;
3.    sistemi a rischio medio: prodotti che interagiscono con le persone e richiedono informazioni all’utenza per uso consapevole.

Art. 2
(Ambito di applicazione)
1. La presente legge disciplina lo sviluppo, la fornitura e l’uso dei sistemi di intelligenza artificiale e si applica ai produttori e fornitori di sistemi di I.A. modellati per finalità generali.
2. Non rientrano nell'ambito di applicazione i sistemi di intelligenza artificiale utilizzati per:
a)    scopo ricerca e innovazione;
b)    scopo militare e di difesa;
c)    scopi non professionali.

Art. 3
(Definizioni)
 Ai fini della presente legge si applicano le seguenti definizioni :
a) Intelligenza artificiale (di seguito indicata I.A.):  sistema che si distingue da sistemi software più semplici per elementi per:
1.    adattabilità: capacità di adattarsi a nuove situazioni senza richiedere una riconfigurazione manuale;
2.    autonomia decisionale: alcuni prodotti di I.A. possono prendere decisioni basate su dati e modelli appresi, senza intervento umano costante.
b) Fornitore: industriale o commerciante che abitualmente fornisce determinati               prodotti;
c) Utente: chi usufruisce di un bene o di un servizio offerto da enti pubblici o privati;
d) Autorità di notifica: ente o organizzazione responsabile di informare e segnalare eventi specifici o dati rilevanti a un’autorità superiore secondo procedure e regolamenti stabiliti;
e) Valutazione della conformità: ente che esegue la verifica dei requisiti definiti nella normativa di riferimento riguardo a prodotti, processi, sistemi di gestione, persone;
f) Marcatura I.A. di conformità: logo che attesta la conformità di un prodotto alla normativa vigente e permette la libera circolazione del prodotto stesso all'interno del mercato;
g) Autorità di vigilanza sul mercato: istituzione indipendente che ha il compito di controllare il rispetto della regolamentazione relativa a un determinato ambito di attività;
h) Dati biometrici: dati che permettono il riconoscimento automatico di un individuo in base alle sue caratteristiche fisiche o comportamentali, come impronte digitali, tratti del viso, modelli vocali, scansioni dell'iride o della retina o persino dello stile di battitura di una persona;
i) Dati di input: in informatica, insieme dei dati di ingresso forniti dall'utente al calcolatore. La fase di input rappresenta il processo di inserimento dei dati di ingresso;
l) Sistema di riconoscimento delle emozioni: sistema mirato all’identificazione o alla deduzione di emozioni, pensieri, stati d'animo o intenzioni di individuo;
m) Autorità nazionale di controllo: autorità pubblica indipendente che vigila, tramite i poteri investigativi e correttivi, sull'applicazione della normativa sulla protezione dei dati.

Art. 4
(Divieti)
1. Con il presente articolo si fa divieto di utilizzo o produzione di sistemi di I.A. (rischio inaccettabile):
a)    È vietato l'utilizzo dell'I.A. per manipolare il comportamento umano al fine di aggirare il libero arbitrio degli utenti.
b)    È vietato sviluppare o utilizzare prodotti o sistemi basati sull'I.A. che possano causare danni fisici o psicologici attraverso la manipolazione comportamentale cognitiva.
c)    È vietato l'uso di  sistemi di valutazione del comportamento sociale dei singoli individui tramite parametri online e offline (social scoring) da parte o per conto delle autorità pubbliche, poiché ciò potrebbe portare a un trattamento dannoso o sfavorevole degli individui sulla base di valutazioni soggettive.
d)    È vietato effettuare una raccolta non concessa delle immagini facciali da Internet o da filmati di telecamere a circuito chiuso al fine di proteggere la privacy e la sicurezza dei cittadini. Questo divieto mira a prevenire un uso improprio delle informazioni personali degli individui e a garantire che le loro immagini non vengano utilizzate senza consenso.
e)    È vietato l'utilizzo di qualsiasi sistema basato sull'I.A. per riconoscere lo stato emotivo dei lavoratori o degli studenti all'interno di luoghi di lavoro o istituzioni educative. Le organizzazioni, sia pubbliche che private, sono tenute a rispettare la privacy e la dignità dei lavoratori e degli studenti non potendo richiedere o imporre loro la sottomissione a test o monitoraggio delle emozioni basati sull'I.A..
f)    È vietato a qualsiasi entità pubblica o privata di utilizzare l'I.A. per colpire o discriminare persone identificate come più vulnerabili secondo i criteri stabiliti dalla legge. Il divieto è relativo all'uso di algoritmi di decisione automatizzata basati sull'I.A. che possano rilevare esiti negativi sulle persone considerate, secondo dati statistici, potenzialmente vulnerabili: minori, anziani, persone con disabilità, appartenenti a minoranze etniche, sociali o religiose.
g)    È vietato sviluppare, utilizzare o diffondere qualsiasi tipo di sistema basato sull'I.A. che possa essere utilizzato per discriminare individui in base alla loro razza o origine etnica, religione, genere, orientamento sessuale, status socioeconomico, età, disabilità o altre caratteristiche individuali.
2. Le violazioni del presente articolo sono punite con le sanzioni  previste dall’ art. 9 della presente legge.

Art. 5
(Limiti all’uso di sistemi di identificazione biometrica)
1. Ogni singolo utilizzo di un sistema di identificazione biometrica remota “in tempo reale” in spazi pubblici è preventivamente autorizzato da un'autorità giudiziaria o amministrativa indipendente. Tale autorizzazione è rilasciata su richiesta motivata e in conformità alle regole dettagliate del diritto nazionale.
2. L’utilizzo dell’I.A. da parte delle forze dell’ordine è consentito per:
a)    Ricerca mirata di potenziali vittime di reato: questo include la ricerca di individui specifici, compresi i minori scomparsi, al fine di proteggere la loro sicurezza e benessere;
b)    Prevenzione di minacce imminenti: l'utilizzo dei sistemi di identificazione biometrica è consentito per prevenire una minaccia specifica, sostanziale e imminente per la vita o l'incolumità fisica delle persone o per prevenire un attacco terroristico;
c)    Individuazione e persecuzione di criminali: gli strumenti di identificazione biometrica possono essere utilizzati per individuare, localizzare, identificare o perseguire autori o sospettati di reati punibili con pene o misure di sicurezza privative della libertà della durata minima di almeno tre anni.

Art. 6
(Obblighi di trasparenza)
1. E’ fatto obbligo di informare l’utenza che interagisce con un prodotto o sistema di I.A. nei casi in cui :  
a)    gli utilizzatori siano esposti a prodotti che generano o manipolano immagini, contenuti audio o video che assomigliano sensibilmente a persone, oggetti, luoghi o altre entità o eventi esistenti e che potrebbero falsamente apparire come autentici o veritieri (deep fake);
b)    tale interazione comporti il riconoscimento delle emozioni o la categorizzazione biometrica.
2. Per i produttori e fornitori di servizi e sistemi di I.A., si fa obbligo di segnalare i contenuti prodotti da I.A. mediante
a)    apposito contrassegno per testi, immagini o video;
b)    segnalazione acustica per  contenuti audio.

Art. 7
 (Regole per i fornitori di prodotti di I.A. ad alto rischio)
1. Si fa obbligo per i fornitori dei prodotti di I.A. ad alto rischio di adottare le seguenti regole:
a)    Uso di un sistema per valutare e contrastare il rischio, con un aggiornamento costante e sistematico, sia in fase di costruzione del sistema che successivamente alla sua immissione sul mercato;
b)    Gestione dei dati affinché siano di alta qualità, poiché più alta è la qualità dei dati, più bassi sono i rischi per i diritti fondamentali e il rischio di esiti discriminatori;
c)    Adozione di documentazione tecnica che fornisca tutte le informazioni necessarie per valutare la conformità del sistema ai requisiti e per consentire alle autorità di valutare tale conformità;
d)    Conservazione della documentazione tramite registri per garantire la tracciabilità dei risultati;
e)    Supervisione umana per controllare e minimizzare il rischio.
2. I fornitori di prodotti o sistemi di I.A. hanno l’obbligo di istituire e documentare, successivamente all’immissione sul mercato, un sistema di monitoraggio che deve essere proporzionato alla natura delle tecnologie di intelligenza artificiale utilizzata e al livello del rischio.

Art. 8
(Autorità di controllo e regole sul monitoraggio e sulla sorveglianza del mercato)
1. Il Ministero delle Imprese e del Made in Italy ( MIMIT) individua un’autorità nazionale di controllo tra le autorità nazionali competenti. Questa agisce in qualità di autorità di notifica e di autorità di vigilanza del mercato.
2. L’Autorità designata agisce in piena indipendenza secondo criteri di trasparenza e imparzialità, con azioni proprie e in coordinamento con altre autorità competenti.
3. L’Autorità è responsabile dello sviluppo, della supervisione e del monitoraggio dei progetti derivanti dal Programma Strategico per l’IA- 2022-24 , così come di progetti relativi allo sviluppo normativo dell’intelligenza artificiale e dei suoi possibili usi.

Art. 9
(Copertura finanziaria)
Sono stanziati per l’anno in corso 3.000.000 di euro per l’avviamento dell’organo di notifica e controllo e per il finanziamento della dotazione organica dell’Autorità designata che, a secondo della struttura preesistente, potrebbe rappresentare da 1 a 25 unità a tempo pieno.

Art. 10
(Sanzioni)
1. Si fa obbligo che le seguenti violazioni siano soggette a sanzioni amministrative pecuniarie fino a 30 000 000 di EUR o, se l'autore del reato è una società, fino al 6 % del fatturato totale annuo dell'esercizio precedente, se superiore:
1)    Inosservanza del divieto delle pratiche di I.A. di cui all'articolo 4 della presente legge;
2)    La non conformità del sistema di I.A. ai requisiti o agli obblighi previsti dalla presente legge. Questa violazione è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 di EUR o, se l'autore del reato è una società, fino al 4 % del fatturato totale annuo dell'esercizio precedente, se superiore;
3)    La fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati e alle autorità nazionali competenti. Questa violazione è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 di EUR o, se l'autore del reato è una società, fino al 2 % del fatturato totale annuo dell'esercizio precedente, se superiore.
2. Nello stabilire l'importo della sanzione amministrativa pecuniaria in ogni singolo caso, si tiene conto di tutte le circostanze pertinenti della situazione specifica e di quanto segue:
a)    La natura, la gravità e la durata della violazione e delle sue conseguenze;
b)    Se altre autorità di vigilanza del mercato hanno già applicato sanzioni amministrative pecuniarie allo stesso operatore per la stessa violazione;
c)    Le dimensioni e la quota di mercato dell'operatore che ha commesso la violazione.

 

Onorevoli senatori! Alla luce della recente crescita delle tecnologie ad intelligenza artificiale, di fronte all’ampia e rapida diffusione dell’utilizzo di questa tecnologia negli ultimi anni, potremmo dire negli ultimi mesi, e agli straordinari progressi scientifici avvenuti in questo settore, si rende necessaria e non più rinviabile una legge che tuteli i cittadini italiani dai rischi derivanti dall’uso di queste tecnologie. Senza dubbio l'utilizzo inappropriato e la scarsa trasparenza di dati della tecnologia ad intelligenza artificiale rappresentano un problema del quale lo Stato Italiano ha il compito di occuparsi: diritti fondamentali come la proprietà di immagine, la privacy, il diritto d’autore, la libertà, il lavoro senza discriminazioni, l’uguaglianza nonché la democrazia stessa sono minacciati da un uso improprio di tale tecnologia da parte di enti pubblici e privati. Dunque una regolamentazione è necessaria.  Come è necessario imporre sanzioni amministrative e penali qualora le norme non vengano rispettate. In Italia, come ben sapete, non vi è ancora una legge, anche se è stato da poco approvato dal Parlamento Europeo un regolamento che prende il nome di “A.I. Act”, il quale costituirà il punto di riferimento normativo di ciascuno Stato membro. Ricordiamo che tale normativa europea è attualmente in attesa di approvazione da parte del Consiglio per  entrare in vigore per tutti gli stati membri nel  2026. Nel frattempo, però, abbiamo necessità di una legge.
La presente proposta  di legge si compone di dieci articoli:
L’ art. 1 concerne i principi generali di applicazione di I.A. volti alla tutela di diritti umani, quali la libertà, la  democrazia e la sicurezza.
L’ art. 2 è relativo all’ambito di applicazione della normativa, da cui sono escluse, giustamente, le attività effettuate a scopo di ricerca e di difesa militare.
L’ art. 3 stabilisce  le definizioni di tutti i termini specifici presenti nella legge, al fine di una chiarezza giuridica.
L’ art. 4 esplicita tutti i divieti imposti all’utilizzo e alla produzione di sistemi I.A. che presentano un rischio totale o inaccettabile, dalla manipolazione, alla discriminazione su base etnica o di genere, alla raccolta di immagini, alla pubblicazione di contenuti falsi, ma scambiabili o confondibili come veri.
Molto importante è l’art. 5, riguardante i limiti per l’identificazione biometrica remota, concessa esclusivamente in particolari circostanze di difesa e protezione.
Nell’ art. 6 si  affronta poi il tema della trasparenza sui prodotti generati da I.A. così che vi sia un chiaro contrassegno dell’origine e della fonte del prodotto stesso in modo da evitare qualsiasi manipolazione o inganno. Ciò in particolare da parte delle aziende produttrici nei confronti dei propri utenti, i quali hanno il diritto di usufruire del servizio consapevolmente.
Nell’articolo art. 7 vengono esplicitati gli specifici limiti imposti ai fornitori di I.A. ad alto rischio, mentre nell' art. 8 si fa obbligo al Ministro competente di designare un’autorità nazionale di controllo e monitoraggio che abbia il compito di agire in qualità di autorità di notifica e vigilanza del mercato.
Nell’art. 9 si prevede la copertura finanziaria per l’avviamento dell’organo di notifica e controllo e per il finanziamento della dotazione organica dell’Autorità designata.
Nell’ultimo articolo, l’art. 10 vengono, infine, espresse le sanzioni pecuniarie e amministrative a cui è soggetto chiunque commetta violazioni rispetto a ciò che è stabilito dalla presente legge. Le sanzioni previste variano in base alla natura e alla durata della violazione, oltre che in relazione al numero e al tipo di violazioni già commesse in passato dal medesimo soggetto.
In ultima analisi, tutti gli  articoli inseriti all’interno della proposta di legge hanno un unico obiettivo,  la tutela dei cittadini italiani nei confronti di una tecnologia in pieno sviluppo, che offre svariate opportunità e servizi agli utenti, ma rappresenta una possibile minaccia a numerosi diritti fondamentali, nel caso venga utilizzata in modo scorretto.
Dunque sollecitiamo gli onorevoli senatori alla votazione della seguente proposta di legge, poiché non possiamo negare che il futuro tecnologico coinciderà con l'intelligenza artificiale, la quale, proprio per le  incredibili potenzialità che ha,  necessita indubbiamente di essere regolamentata.

 

Art. 1 
(Principi generali)
1. La presente legge dispone in relazione all’uso di applicazioni di intelligenza artificiale per garantire la protezione degli utenti da rischi derivanti dall’uso con il fine di tutelare l’integrità e i diritti fondamentali di  dignità umana,  libertà, uguaglianza, democrazia, diritto alla non discriminazione, protezione dei dati, salute e la sicurezza.
2. Le disposizioni previste sono finalizzate alla:
a.    valutazione di conformità dei prodotti immessi sul mercato;
b.    riconoscibilità dei prodotti per gli utenti: si obbliga a rendere riconoscibili in modo trasparente tutti i contenuti prodotti dall’I.A., l’informazione e la tracciabilità degli algoritmi. Inoltre si fa obbligo alle aziende produttrici di sistemi informatici che includano anche modelli di produzione linguistica (Large Language Models) di pubblicare una lista di materiali usati per l’addestramento degli algoritmi al fine di tutelare i diritti d’autore;
c.    classificazione dei prodotti in base al rischio di impatto sui diritti fondamentali degli utenti: 
1.    sistemi a rischio inaccettabile: prodotti vietati;
2.    sistemi a rischio molto alto: prodotti soggetti a valutazione di impatto sui diritti, quindi autorizzati con misure di cautela;
3.    sistemi a rischio medio: prodotti che interagiscono con le persone e richiedono informazioni all’utenza per uso consapevole.
Art. 2 
(Ambito di applicazione)
1. La presente legge disciplina lo sviluppo, la fornitura e l’uso dei sistemi di intelligenza artificiale e si applica ai produttori e fornitori di sistemi di I.A. modellati per finalità generali.
2. Non rientrano nell'ambito di applicazione i sistemi di intelligenza artificiale utilizzati per:
a.    scopo ricerca e innovazione;
b.    scopo militare e di difesa; 
c.    scopi non professionali.
Art. 3
(Definizioni)
 Ai fini della presente legge si applicano le seguenti definizioni:
a) Intelligenza artificiale (di seguito indicata I.A.): l'abilità di una macchina di mostrare capacità umane quali il ragionamento, l'apprendimento, la pianificazione e la creatività; sistema che si distingue da sistemi software più semplici per elementi per: 
1.    adattabilità: capacità di adattarsi a nuove situazioni senza richiedere una riconfigurazione manuale; 
2.    autonomia decisionale: alcuni prodotti di I.A. possono prendere decisioni basate su dati e modelli appresi, senza intervento umano costante.
b) Fornitore: industriale o commerciante che abitualmente fornisce determinati               prodotti;
c) Utente: chi usufruisce di un bene o di un servizio offerto da enti pubblici o privati;
d) Autorità di notifica: ente o organizzazione responsabile di informare e segnalare eventi specifici o dati rilevanti a un’autorità superiore secondo procedure e regolamenti stabiliti;
e) Valutazione della conformità: ente che esegue la verifica dei requisiti definiti nella normativa di riferimento riguardo a prodotti, processi, sistemi di gestione, persone;
f) Marcatura I.A. di conformità: logo che attesta la conformità di un prodotto alla normativa vigente e permette la libera circolazione del prodotto stesso all'interno del mercato;
g) Autorità di vigilanza sul mercato: istituzione indipendente che ha il compito di controllare il rispetto della regolamentazione relativa a un determinato ambito di attività;
h) Dati biometrici: dati che permettono il riconoscimento automatico di un individuo in base alle sue caratteristiche fisiche o comportamentali, come impronte digitali, tratti del viso, modelli vocali, scansioni dell'iride o della retina o persino dello stile di battitura di una persona;
i) Dati di input: in informatica, insieme dei dati di ingresso forniti dall'utente al calcolatore. La fase di input rappresenta il processo di inserimento dei dati di ingresso;
l) Sistema di riconoscimento delle emozioni: sistema mirato all’identificazione o alla deduzione di emozioni, pensieri, stati d'animo o intenzioni di individuo;
m) Autorità nazionale di controllo: autorità pubblica indipendente che vigila, tramite i poteri investigativi e correttivi, sull'applicazione della normativa sulla protezione dei dati. 
Art. 4 
(Divieti)
1. Con il presente articolo si fa divieto di utilizzo o produzione di sistemi di I.A. (rischio inaccettabile):
a.    È vietato l'utilizzo dell'I.A. per manipolare il comportamento umano al fine di aggirare il libero arbitrio degli utenti.
b.    È vietato sviluppare o utilizzare prodotti o sistemi basati sull'I.A. che possano causare danni fisici o psicologici attraverso la manipolazione comportamentale cognitiva.
c.    È vietato l'uso di  sistemi di valutazione del comportamento sociale dei singoli individui tramite parametri online e offline (social scoring) da parte o per conto delle autorità pubbliche, poiché ciò potrebbe portare a un trattamento dannoso o sfavorevole degli individui sulla base di valutazioni soggettive.
d.    È vietato effettuare una raccolta non concessa delle immagini facciali da Internet o da filmati di telecamere a circuito chiuso al fine di proteggere la privacy e la sicurezza dei cittadini. Questo divieto mira a prevenire un uso improprio delle informazioni personali degli individui e a garantire che le loro immagini non vengano utilizzate senza consenso.
e.    È vietato l'utilizzo di qualsiasi sistema basato sull'I.A. per riconoscere lo stato emotivo dei lavoratori o degli studenti all'interno di luoghi di lavoro o istituzioni educative. Le organizzazioni, sia pubbliche che private, sono tenute a rispettare la privacy e la dignità dei lavoratori e degli studenti non potendo richiedere o imporre loro la sottomissione a test o monitoraggio delle emozioni basati sull'I.A..
f.    È vietato a qualsiasi entità pubblica o privata di utilizzare l'I.A. per colpire o discriminare persone identificate come più vulnerabili secondo i criteri stabiliti dalla legge. Il divieto è relativo all'uso di algoritmi di decisione automatizzata basati sull'I.A. che possano rilevare esiti negativi sulle persone considerate, secondo dati statistici, potenzialmente vulnerabili: minori, anziani, persone con disabilità, appartenenti a minoranze etniche, sociali o religiose.
g.    È vietato sviluppare, utilizzare o diffondere qualsiasi tipo di sistema basato sull'I.A. che possa essere utilizzato per discriminare individui in base alla loro razza o origine etnica, religione, genere, orientamento sessuale, status socioeconomico, età, disabilità o altre caratteristiche individuali.
2. Le violazioni del presente articolo sono punite con le sanzioni  previste dall’ art. 9 della presente legge.

Art. 5 
(Limiti all’uso di sistemi di identificazione biometrica)
1. Ogni singolo utilizzo di un sistema di identificazione biometrica remota “in tempo reale” in spazi pubblici è preventivamente autorizzato da un'autorità giudiziaria o amministrativa indipendente. Tale autorizzazione è rilasciata su richiesta motivata e in conformità alle regole dettagliate del diritto nazionale. 
2. L’utilizzo dell’I.A. da parte delle forze dell’ordine è consentito per:
a.    Ricerca mirata di potenziali vittime di reato: questo include la ricerca di individui specifici, compresi i minori scomparsi, al fine di proteggere la loro sicurezza e benessere;
b.    Prevenzione di minacce imminenti: l'utilizzo dei sistemi di identificazione biometrica è consentito per prevenire una minaccia specifica, sostanziale e imminente per la vita o l'incolumità fisica delle persone o per prevenire un attacco terroristico;
c.    Individuazione e persecuzione di criminali: gli strumenti di identificazione biometrica possono essere utilizzati per individuare, localizzare, identificare o perseguire autori o sospettati di reati punibili con pene o misure di sicurezza privative della libertà della durata minima di almeno tre anni.
Art. 6 
(Obblighi di trasparenza)
1. E’ fatto obbligo di informare l’utenza che interagisce con un prodotto o sistema di I.A. nei casi in cui :  
a.    gli utilizzatori siano esposti a prodotti che generano o manipolano immagini, contenuti audio o video che assomigliano sensibilmente a persone, oggetti, luoghi o altre entità o eventi esistenti e che potrebbero falsamente apparire come autentici o veritieri (deep fake);
b.    tale interazione comporti il riconoscimento delle emozioni o la categorizzazione biometrica. 
2. Per i produttori e fornitori di servizi e sistemi di I.A., si fa obbligo di segnalare i contenuti prodotti da I.A. mediante 
a.    apposito contrassegno per testi, immagini o video;
b.    segnalazione acustica per  contenuti audio.
Art. 7
(Regole per i fornitori di prodotti di I.A. ad alto rischio)
1. Si fa obbligo per i fornitori dei prodotti di I.A. ad alto rischio di adottare le seguenti regole:
a.    Uso di un sistema per valutare e contrastare il rischio, con un aggiornamento costante e sistematico, sia in fase di costruzione del sistema che successivamente alla sua immissione sul mercato;
b.    Gestione dei dati affinché siano di alta qualità, poiché più alta è la qualità dei dati, più bassi sono i rischi per i diritti fondamentali e il rischio di esiti discriminatori;
c.    Adozione di documentazione tecnica che fornisca tutte le informazioni necessarie per valutare la conformità del sistema ai requisiti e per consentire alle autorità di valutare tale conformità;
d.    Conservazione della documentazione tramite registri per garantire la tracciabilità dei risultati;
e.    Supervisione umana per controllare e minimizzare il rischio.
2. I fornitori di prodotti o sistemi di I.A. hanno l’obbligo di istituire e documentare, successivamente all’immissione sul mercato, un sistema di monitoraggio che deve essere proporzionato alla natura delle tecnologie di intelligenza artificiale utilizzata e al livello del rischio.
Art. 8 
(Autorità di controllo e regole sul monitoraggio e sulla sorveglianza del mercato)
1. Il Ministero delle Imprese e del Made in Italy ( MIMIT) individua un’autorità nazionale di controllo tra le autorità nazionali competenti. Questa agisce in qualità di autorità di notifica e di autorità di vigilanza del mercato.
2. L’Autorità designata agisce in piena indipendenza secondo criteri di trasparenza e imparzialità, con azioni proprie e in coordinamento con altre autorità competenti.
3. L’Autorità è responsabile dello sviluppo, della supervisione e del monitoraggio dei progetti derivanti dal Programma Strategico per l’IA- 2022-24 , così come di progetti relativi allo sviluppo normativo dell’intelligenza artificiale e dei suoi possibili usi.
Art. 9 
(Copertura finanziaria)
Sono stanziati per l’anno in corso 3.000.000 di euro per l’avviamento dell’organo di notifica e controllo e per il finanziamento della dotazione organica dell’Autorità designata che, a secondo della struttura preesistente, potrebbe rappresentare da 1 a 25 unità a tempo pieno.
Art. 10
(Sanzioni)
1. Si fa obbligo che le seguenti violazioni siano soggette a sanzioni amministrative pecuniarie fino a 30 000 000 di EUR o, se l'autore del reato è una società, fino al 6 % del fatturato totale annuo dell'esercizio precedente, se superiore:
1.    Inosservanza del divieto delle pratiche di I.A. di cui all'articolo 4 della presente legge;
2.    La non conformità del sistema di I.A. ai requisiti o agli obblighi previsti dalla presente legge. Questa violazione è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 di EUR o, se l'autore del reato è una società, fino al 4 % del fatturato totale annuo dell'esercizio precedente, se superiore;
3.    La fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati e alle autorità nazionali competenti. Questa violazione è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 di EUR o, se l'autore del reato è una società, fino al 2 % del fatturato totale annuo dell'esercizio precedente, se superiore. 
2. Nello stabilire l'importo della sanzione amministrativa pecuniaria in ogni singolo caso, si tiene conto di tutte le circostanze pertinenti della situazione specifica e di quanto segue:
a.    La natura, la gravità e la durata della violazione e delle sue conseguenze;
b.    Se altre autorità di vigilanza del mercato hanno già applicato sanzioni amministrative pecuniarie allo stesso operatore per la stessa violazione;
c.    Le dimensioni e la quota di mercato dell'operatore che ha commesso la violazione.