“Le tecnologie di intelligenza artificiale possono offrire molte opportunità e vantaggi a diversi settori e ambiti della vita. Dobbiamo garantire che queste innovazioni siano realizzate in modo etico, sicuro e in modo da avvantaggiare tutti”, e per questo vale l’impianto normativo creato dal Gdpr. Si è espressa così la presidente del Garante privacy europeo Edpb, Anu Talus, nel parere adottato in merito all’uso dei dati personali sullo sviluppo e implementazione dei modelli di intelligenza artificiale. “L’Edpb (European Data protection board) – sottolinea l’authority – “vuole sostenere l’innovazione responsabile dell’Ai garantendo che i dati personali siano protetti nel pieno rispetto del Regolamento generale sulla protezione dei dati (Gdpr)“.
Il parere delll’Edpb esamina tre aspetti: quando e come i modelli Ai possono essere considerati anonimi, se e come l’interesse legittimo può essere utilizzato come base giuridica per lo sviluppo o l’utilizzo di modelli Ai, e che cosa succede se un modello Ai viene sviluppato utilizzando dati personali che sono stati raccolti o elaborati illecitamente. Il parere, inoltre, considera l’utilizzo dei dati di prima e di terza parte.
Il Garante privacy Ue sull’uso dei dati per l’Ai: l’anonimato
Il parere è stato richiesto dall’Autorità irlandese per la protezione dei dati (Dpa) con l’obiettivo di ricercare un’armonizzazione normativa a livello europeo. Per raccogliere opinioni e commenti in vista di questa pronuncia, l’Edpb ha organizzato un evento per le parti interessate e ha avuto uno scambio con l’Ai Office dell’Ue.
Per quanto riguarda l’anonimato, il parere afferma che la valutazione di un modello di intelligenza artificiale per capire se sia anonimo o no dovrebbe essere affidata caso per caso dalle autorità di protezione dei dati. Affinché un modello sia anonimo, dovrebbe essere molto improbabile identificare direttamente o indirettamente le persone i cui dati sono stati utilizzati per creare il modello ed estrarre tali dati personali dal modello tramite query. Il parere fornisce un elenco non prescrittivo e non esaustivo di metodi per dimostrare l’anonimato.
Per quanto riguarda l’interesse legittimo, il parere fornisce considerazioni generali di cui le autorità di protezione dei dati dovrebbero tenere conto nel valutare se l’interesse legittimo costituisce una base giuridica adeguata per il trattamento dei dati personali per lo sviluppo e l’implementazione di modelli di intelligenza artificiale.
Test in tre fasi per valutare l’interesse legittimo
Un test in tre fasi aiuta a valutare l’utilizzo dell’interesse legittimo come base giuridica. L’Edpb fornisce gli esempi di un agente conversazionale per assistere gli utenti e dell’uso dell’intelligenza artificiale per migliorare la sicurezza informatica. Questi servizi possono essere utili e basarsi sull’interesse legittimo, ma solo se il trattamento risulta strettamente necessario e viene rispettato il bilanciamento dei diritti.
Il parere include anche una serie di criteri per aiutare le autorità di protezione dei dati a valutare se gli individui possono ragionevolmente aspettarsi determinati usi dei loro dati personali. Tali criteri includono: se i dati personali erano o meno disponibili al pubblico, la natura del rapporto tra l’individuo e il responsabile del trattamento, la natura del servizio, il contesto in cui i dati personali sono stati raccolti, la fonte da cui sono stati raccolti, i potenziali ulteriori usi del modello e se le persone sono effettivamente consapevoli del fatto che i loro dati personali sono online.
Se il test comparativo dimostra che il trattamento non dovrebbe avere luogo a causa dell’impatto negativo sulle persone, misure di attenuazione possono limitare tale impatto negativo. Il parere include un elenco non esaustivo di esempi di tali misure attenuanti, che possono essere di natura tecnica, o rendere più facile per le persone esercitare i propri diritti o aumentare la trasparenza.
Quando il modello Ai usa dati personali trattati illegalmente
Infine, quando un modello di Ai viene sviluppato con dati personali trattati illegalmente, ciò potrebbe avere un impatto sulla liceità della sua implementazione, a meno che il modello non sia stato debitamente anonimizzato.
Considerando la portata della richiesta della Dpa irlandese, l’ampia diversità dei modelli di Ai e la loro rapida evoluzione, il parere mira a fornire indicazioni su vari elementi che possono essere utilizzati per condurre un’analisi caso per caso.
Intanto l’Edpb sta sviluppando linee guida che coprono questioni più specifiche, tra cui il web scraping.
