Trasparenza dei processi decisionali, decisioni automatizzate supervisionate dall’uomo, non discriminazione algoritmica: sono i tre principi cardine sull’uso dell’Intelligenza artificiale in Sanità enucleati dal Garante Privacy sulla base del Regolamento e alla luce della giurisprudenza del Consiglio di Stato
Principi che stanno alla base del “decalogo” (SCARICA QUI LE LINEE GUIDA) stilato dallo stesso Garante sulla realizzazione di servizi sanitari nazionali attraverso sistemi di Intelligenza Artificiale. In base alle indicazioni dell’Autorità, il paziente deve avere il diritto di conoscere, anche attraverso campagne di comunicazione, se esistono e quali sono i processi decisionali (ad esempio, in ambito clinico o di politica sanitaria) basati su trattamenti automatizzati effettuati attraverso strumenti di IA e di ricevere informazioni chiare sulla logica utilizzata per arrivare a quelle decisioni. Il processo decisionale dovrà prevedere una supervisione umana che consenta al personale sanitario di controllare, validare o smentire l’elaborazione effettuata dagli strumenti di IA. È opportuno, avverte il Garante, che il titolare del trattamento utilizzi sistemi di IA affidabili per mitigare potenziali effetti discriminatori che un trattamento di dati inesatti o incompleti potrebbe comportare sulla salute della persona.
1) Le basi giuridiche del trattamento
Il trattamento di dati sulla salute da parte di soggetti che perseguono compiti di interesse pubblico deve necessariamente fondarsi sul diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato. Tale disposizione ha trovato attuazione nell’art. 2-sexies del Codice, in base al quale i trattamenti delle particolari categorie di dati tra cui rilevano quelli sulla salute sono ammessi solo qualora siano previsti dal diritto dell’Unione europea ovvero, nell’ordinamento interno, da disposizioni di legge o di regolamento o da atti amministrativi generali che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.
2) Accountability, privacy by design e by default
Il titolare del trattamento deve conformarsi ed essere in grado di comprovare il rispetto dei principi e degli adempienti previsti dal Regolamento e di aver effettivamente tutelato il diritto alla protezione dei dati personali degli interessati fin dalla progettazione e per impostazione predefinita. Il rinnovato quadro normativo in materia di protezione dei dati personali richiede, infatti, una preliminare e ponderata valutazione di tutte le scelte connesse ai trattamenti di dati personali, dimostrabile sul piano logico attraverso specifiche motivazioni, volte all’individuazione di misure necessarie e proporzionate rispetto alla concreta efficacia del principio di volta in volta tutelato.
3) La definizione dei ruoli
Nell’ambito delle operazioni di trattamento dei dati personali occorre poi individuare correttamente i ruoli di titolare e, se del caso, di responsabile. Il titolare è il soggetto sul quale ricadono le decisioni di fondo relativamente alle finalità e ai mezzi del trattamento dei dati personali, nonché la responsabilità generale (cd. “accountability”) sui trattamenti posti in essere dallo stesso o da altri “per [suo] conto”, in qualità di responsabili ai sensi dell’art. 28 del Regolamento. L’attribuzione dei ruoli deve corrispondere alle attività che il soggetto svolge in concreto alla luce dei compiti istituzionalmente demandati allo stesso, in conformità al quadro giuridico di settore. Ai fini dell’attribuzione della titolarità di un trattamento, anche in base al principio di legalità, è in primo luogo necessario valutare la sussistenza di una idonea base giuridica che conferisca a tale soggetto il compito di svolgere il trattamento, non potendosi questi qualificare automaticamente come titolare sulla base di un mero presupposto fattuale, come, ad esempio, la realizzazione di un progetto che prevede il trattamento dei dati personali.
4) Conoscibilità, non esclusività e non discriminazione algoritmica
Sulla base delle disposizioni del Regolamento e alla luce della recente giurisprudenza del Consiglio di Stato, è possibile enucleare i tre principi cardine che devono governare l’utilizzo di algoritmi e di strumenti di IA nell’esecuzione di compiti di rilevante interesse pubblico: il principio di conoscibilità, in base al quale l’interessato ha il diritto di conoscere l’esistenza di processi decisionali basati su trattamenti automatizzati; il principio di non esclusività della decisione algoritmica; il principio di non discriminazione algoritmica, secondo cui è opportuno che il titolare del trattamento utilizzi sistemi di IA affidabili che riducano le opacità, gli errori dovuti a cause tecnologiche e/o umane, verificandone periodicamente l’efficacia anche alla luce della rapida evoluzione delle tecnologie impiegate, delle procedure matematiche o statistiche appropriate per la profilazione, mettendo in atto misure tecniche e organizzative adeguate.
5) Valutazione d’impatto sulla protezione dei dati
Il Regolamento introduce poi l’obbligo per i titolari di svolgere una preventiva valutazione di impatto sul trattamento che “prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà dellepersone fisiche” e di consultare l’Autorità di controllo qualora le misure tecniche e organizzative individuate per mitigare l´impatto del trattamento sui diritti e le libertà degli interessati non siano ritenute sufficienti, ovvero quando il rischio residuale per i diritti e le libertà degli interessati resti elevato.
6) Qualità dei dati
Il titolare del trattamento deve garantire che i dati siano esatti e, se necessario, aggiornati, adottando tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati non corretti rispetto alle finalità per le quali sono trattati. La realizzazione di un sistema nazionale di IA destinato ad elaborare i dati sanitari di tutta la popolazione assistita impone il rigoroso rispetto di specifiche misure volte a garantire in concreto l’esattezza e l’aggiornamento dei dati e soprattutto la tutela degli interessi e dei diritti fondamentali degli interessati.
7) Integrità e riservatezza
Ai sensi del Regolamento, i dati personali devono essere “trattati in maniera da garantire un’adeguata sicurezza (…), compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»)”. Al riguardo, occorre evidenziare che i rischi per i diritti e le libertà degli interessati derivanti dai trattamenti in esame e, di conseguenza, le misure da adottare per gestirli, escludendoli o mitigandoli, devono essere valutati in concreto, vale a dire tenendo in considerazione le caratteristiche delle banche dati di volta in volta utilizzate e i modelli di analisi impiegati (es. quelli di analisi deterministica o stocastica, oppure una combinazione di essi).
8) Correttezza e trasparenza
In linea con i documenti internazionali e la giurisprudenza amministrativa, la trasparenza e la correttezza nei processi decisionali fondati su trattamenti automatizzati costituiscono uno dei pilastri fondamentali da porre alla base dello sviluppo e utilizzo di sistemi di IA alla luce, nell’ambito dell’azione amministrativa, dei correlati rischi, anche discriminatori, che possono derivare dall’uso di tali strumenti.
9) La supervisione umana
Nel parere congiunto del Garante europeo e del Comitato europeo per la protezione dei dati si precisa che generare contenuti, fare previsioni o adottare decisioni in maniera automatica, come fanno i sistemi di IA, per mezzo di tecniche di apprendimento automatico o regole di inferenza logica e probabilistica è cosa ben diversa rispetto alle modalità con cui queste stesse attività sono svolte dagli esseri umani attraverso il ragionamento creativo o teorico, nella piena consapevolezza della responsabilità e delle relative conseguenze. Se da una parte, quindi, l’IA amplia significativamente la quantità di previsioni che si possono fare in molti ambiti – a cominciare dalle correlazioni tra i dati -, dall’altra, affidare solo alle macchine il compito di prendere decisioni sulla base di dati, elaborati mediante sistemi di IA, comporta rischi per i diritti e le libertà delle persone.
10) Dignità e identità personale
Il dibattito internazionale richiama con sempre maggiore attenzione la necessità che lo sviluppo dell’IA sia accompagnato da una costante attenzione ai profili etici del trattamento dei dati personali. Ciò, si rende ancor più necessario se attraverso gli strumenti di IA si intendono trattare informazioni sulla salute di un’intera popolazione con l’obiettivo di fornire servizi ai professionisti sanitari che prenderanno in cura l’interessato. Tenuto quindi conto che l’etica ha già influenzato la genesi del quadro normativo nazionale e comunitario, ad essa deve attribuirsi una puntuale funzione interpretativa che porti ad escludere scelte che, ancorché apparentemente lecite e materialmente possibili, dal punto di vista sostanziale possano produrre effetti discriminatori e lesivi della dignità umana e identità personale anche nei confronti di soggetti vulnerabili (minori, anziani, malati). In tale quadro, in termini più pratici – per un atteggiamento eticamente corretto, sicuro e trasparente della tecnologia IA – sarebbe ad esempio opportuno preferire fornitori che sin da subito si preoccupano di svolgere una valutazione di impatto sulla protezione dei dati prima della commercializzazione dei propri prodotti (e fermo l’obbligo in capo al titolare del trattamento di svolgerne una specifica), nonché che abbiano eventualmente anche condotto una specifica valutazione di impatto per l’IA, sicura, trasparente e affidabile.
