Il GDPR (Regolamento generale sulla protezione dei dati) e l’intelligenza artificiale hanno un rapporto complesso, che riguarda quasi ogni azienda che utilizza nei propri sistemi dati di clienti, dipendenti o fornitori. Non sono incompatibili, ma l’IA introduce modalità di trattamento dei dati che il GDPR non aveva previsto al momento della sua stesura e che richiedono un’analisi attenta.
Questo articolo illustra i punti di contatto più rilevanti tra GDPR e IA, in termini pratici per le decisioni aziendali.
I principi del GDPR che incidono di più sui progetti di IA
Minimizzazione dei dati. Il GDPR impone di usare solo i dati strettamente necessari alla finalità dichiarata. In un progetto di machine learning significa non includere nei dati di addestramento variabili personali non necessarie alla previsione. Se un modello di previsione dell’abbandono dei clienti può essere addestrato senza il nome o l’indirizzo del cliente, quelle variabili non dovrebbero comparire nel set di addestramento.
Limitazione della finalità. I dati raccolti per una finalità non possono essere usati liberamente per un’altra. Se i dati dei clienti sono stati raccolti per gestire gli ordini, usarli per addestrare un modello di credit scoring può richiedere una base giuridica aggiuntiva o un’informativa al cliente.
Esattezza. I dati personali devono essere esatti. Nei modelli di machine learning, gli errori nei dati di addestramento vengono appresi come se fossero corretti e possono produrre previsioni distorte basate su informazioni errate. La qualità dei dati non è solo un requisito tecnico: è anche un requisito del GDPR.
Trasparenza. Le persone hanno il diritto di sapere come vengono trattati i loro dati. Se un’azienda usa l’IA per prendere decisioni che riguardano i clienti (scoring, personalizzazione, offerte differenziate), l’informativa privacy dovrebbe riportarlo.
Le decisioni automatizzate: l’articolo 22
L’articolo 22 del GDPR stabilisce un diritto specifico per le persone soggette a decisioni basate unicamente su un trattamento automatizzato che producono effetti giuridici o incidono in modo analogo significativamente su di loro. In pratica: se un sistema di IA prende decisioni su clienti o dipendenti senza intervento umano (concedere o negare un credito, proporre un’offerta differenziata, valutare una richiesta), si applicano obblighi aggiuntivi.
L’azienda deve informare dell’esistenza del sistema, l’interessato ha il diritto di chiedere che la decisione sia riesaminata da una persona e l’azienda deve poter spiegare la logica che ha portato alla decisione (ciò che il GDPR chiama «logica utilizzata»).
Quest’ultimo obbligo, la spiegabilità, è uno dei punti in cui il GDPR promuove più concretamente buone pratiche di progettazione dei sistemi di IA: i modelli in grado di spiegare le proprie decisioni (modelli interpretabili o di IA spiegabile) facilitano la conformità, mentre i modelli «a scatola nera» la rendono più difficile.
La valutazione d’impatto (DPIA): quando è obbligatoria
Il GDPR impone una valutazione d’impatto sulla protezione dei dati (DPIA) quando il trattamento di dati personali può presentare un rischio elevato per i diritti e le libertà delle persone. I sistemi di IA rientrano spesso in questa categoria quando:
- utilizzano la profilazione su larga scala;
- trattano dati sensibili (salute, biometria, dati di minori);
- applicano decisioni automatizzate con effetti significativi;
- trattano in modo sistematico dati di molte persone.
Per molti progetti di machine learning con dati dei clienti, la DPIA è un passaggio obbligatorio, e anche un processo utile per individuare e mitigare i rischi prima di mettere in produzione il sistema.
Privacy by design: costruire la conformità fin dall’inizio
Il principio di «privacy by design» del GDPR, cioè progettare i sistemi con la protezione dei dati integrata fin dall’inizio e non aggiunta in seguito, ha implicazioni concrete nei progetti di IA:
definire già in fase di progettazione quali dati personali sono necessari e quali no; pseudonimizzare i dati di addestramento ogni volta che è possibile; documentare le scelte progettuali che incidono sulla privacy; esaminare il progetto del sistema con il DPO (se l’azienda ne ha uno) prima dello sviluppo.
I progetti che integrano queste considerazioni fin dall’inizio richiedono meno adattamenti successivi e, in caso di ispezione dell’autorità di controllo competente, possono dimostrare che la privacy è stata considerata fin dalla progettazione.
Il rapporto con l’AI Act
L’AI Act e il GDPR sono complementari: il primo disciplina i sistemi di IA in quanto sistemi, il secondo il trattamento dei dati personali. Un sistema di IA ad alto rischio ai sensi dell’AI Act che utilizza dati personali deve rispettare entrambi i quadri normativi contemporaneamente.
I requisiti di governance dei dati dell’AI Act (dati di addestramento rappresentativi e privi di distorsioni inappropriate) sono compatibili con i requisiti di esattezza e minimizzazione del GDPR e in molti casi li rafforzano.
Domande frequenti
Un’azienda che usa l’IA ha bisogno di un DPO (responsabile della protezione dei dati)? L’obbligo di nominare un DPO dipende dal tipo e dal volume dei trattamenti di dati personali, non dall’uso dell’IA in sé. È vero, però, che nei progetti di IA che trattano dati personali su larga scala o con profilazione deve essere chiaro chi è responsabile di valutare la conformità al GDPR: un DPO formale o il responsabile privacy dell’azienda.
I modelli di IA addestrati con dati dei clienti vanno cancellati se il cliente esercita il diritto all’oblio? È una delle questioni tecniche più complesse all’incrocio tra GDPR e IA. I modelli di machine learning non conservano i dati di addestramento in forma recuperabile: apprendono schemi, non dati individuali. Le autorità nazionali di protezione dei dati e il Comitato europeo per la protezione dei dati (EDPB) hanno pubblicato orientamenti in materia, che riconoscono la complessità tecnica e concedono un certo margine, soprattutto quando i dati di addestramento erano pseudonimizzati.
L’uso di ChatGPT o Claude per analizzare documenti con dati dei clienti è conforme al GDPR? Dipende dalle versioni e dai contratti. Le versioni gratuite per i consumatori in genere non sono adatte ai dati personali senza un’analisi preventiva. Le versioni aziendali includono accordi sul trattamento dei dati che facilitano la conformità. In ogni caso, è necessario verificare prima la base giuridica per inviare quei dati a un fornitore esterno.