NAIH Ungheria: Governance dell'IA e Regole DPA
L'autorità garante ungherese è la NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság. L'autorità ha prodotto le linee guida sull'IA più dettagliate di qualsiasi DPA dell'Europa centrale. Nel 2024 ha emesso 38 decisioni di enforcement e ha pubblicato norme che richiedono una DPIA per ogni sistema IA che tratta dati personali. Queste norme vanno oltre il quadro di riferimento minimo del GDPR.
Le Regole di Enforcement IA della NAIH
La maggior parte delle DPA europee pubblica linee guida generali sull'IA. La NAIH è andata oltre con indicazioni operative specifiche.
DPIA obbligatorie per tutti i sistemi IA: Ogni sistema IA che gestisce dati personali richiede una DPIA preliminare al rilascio. L'autorità garante lo richiede prima della messa in produzione. Questo vale anche quando il trattamento non è «ad alto rischio» ai sensi dell'articolo 35 del GDPR. Si tratta di un requisito più stringente rispetto all'approccio basato sul rischio del GDPR stesso.
Cosa deve includere una DPIA NAIH:
- Una descrizione tecnica degli input e output di dati del modello IA
- Evidenza che i dati di addestramento fossero anonimizzati o avessero una base giuridica valida
- Una valutazione del rischio di discriminazione algoritmica
- Una fase di revisione umana per le decisioni automatizzate
- Un piano di conservazione e cancellazione dei dati elaborati dall'IA
Revisione annuale: L'autorità richiede che le DPIA vengano aggiornate ogni anno, nei casi in cui un sistema IA venga riaddestratto o modificato in modo significativo.
Nel 2024 l'Ungheria ha gestito oltre 890.000 richieste di dati GDPR. È un volume considerevole per un paese di 10 milioni di abitanti. Segnala un esercizio attivo dei diritti e una pressione reale sui team di conformità.
Il Gap nell'Accuratezza del NER
La revisione 2024 dell'autorità ha testato modelli NER su testi in lingua ungherese, registrando un'accuratezza di appena il 67%. La media europea è dell'82%. Quel divario di 15 punti ha costi concreti in termini di conformità.
L'ungherese è una lingua agglutinante: costruisce le parole attraverso numerosi suffissi. Nomi, indirizzi e identificativi in ungherese hanno un aspetto molto diverso rispetto ai dati in inglese o tedesco. Gli strumenti addestrati su quelle lingue non rilevano una quota significativa dei dati personali in ungherese. Consulta la nostra guida al rilevamento PII multilingue per capire come questo gap incida sulla conformità GDPR nelle diverse lingue.
L'autorità ha rilevato che gli strumenti NLP generici non rilevano il TAJ-szám nel 61% dei documenti. Le principali cause sono la variabilità dei formati e l'assenza di supporto per il checksum.
Identificativi Nazionali Ungheresi
I team che elaborano documenti in Ungheria devono rilevare con precisione questi tipi di ID. Consulta la nostra guida al rilevamento degli ID fiscali nazionali EU per il contesto di copertura a livello europeo.
TAJ-szám (Társadalombiztosítási Azonosító Jel): Numero di previdenza sociale a 9 cifre. Compare in documenti sanitari, previdenziali e pensionistici. La validazione utilizza un checksum ponderato stabilito dall'autorità previdenziale.
Adóazonosító jel: Codice fiscale personale a 10 cifre, con nucleo a 8 cifre più 2 cifre di controllo. Compare in buste paga, dichiarazioni fiscali e contratti di lavoro.
Személyi igazolvány: Numero della carta d'identità nazionale. Formato e cifra di controllo seguono le regole dell'autorità emittente.
Útlevél szám: Numero di passaporto. Formato e cifra di controllo seguono anch'essi le regole dell'autorità emittente.
Il Contesto Ügyfélkapu
L'Ungheria gestisce la maggior parte dei servizi pubblici attraverso un'unica piattaforma — Ügyfélkapu (Portale del Cittadino). Oltre 4 milioni di cittadini la utilizzano per fisco, previdenza, sanità e licenze. Le aziende private si collegano a Ügyfélkapu per gestione buste paga, prestazioni o verifica dell'identità, e trattano gli stessi identificativi in un contesto regolamentato.
L'autorità ha riscontrato che queste aziende utilizzano spesso strumenti PII internazionali, la maggior parte dei quali non supporta gli identificativi sopra elencati. Questo produce dati non rilevati e un rischio diretto di non conformità.
Sovrapposizione con il Regolamento UE sull'IA
L'Ungheria è stata tra le prime ad integrare le norme del Regolamento UE sull'IA nelle linee guida della DPA. La posizione dell'autorità è chiara.
I sistemi IA ad alto rischio sono elencati nell'Allegato III del Regolamento UE sull'IA e riguardano occupazione, scoring creditizio e servizi essenziali. Richiedono sia la valutazione di conformità prevista dal Regolamento UE sull'IA sia una DPIA NAIH.
I modelli IA a uso generale che trattano dati di persone residenti in Ungheria richiedono anch'essi una DPIA NAIH, anche quando non sono classificati come ad alto rischio ai sensi del Regolamento UE sull'IA.
Per i team che implementano sistemi IA in Ungheria, la checklist fondamentale prevede tre punti: completare una DPIA NAIH prima del lancio, verificare che lo strumento NER copra le entità sopra elencate in lingua ungherese e confermare il rilevamento del TAJ-szám e dell'adóazonosító jel con validazione checksum.