Intelligenza artificiale: attenzione al trattamento dei dati personali

Le imprese che integrano l’intelligenza artificiale (I.A.) nei processi aziendali devono pianificare gli adempimenti privacy, in particolare: - redigendo una valutazione di impatto privacy; - rivedendo le informative; - raccogliendo consensi espliciti per i trattamenti decisionali interamente automatizzati; - adottando una politica di estrema cautela sulla verifica dell’età, se i servizi sono offerti a minori di età; - aggiornando il registro dei trattamenti. La materia dell’I.A. ha ormai rotto gli argini per le potenzialità di utilizzo ai fini produttivi, ma la fascinazione del nuovo non deve far perdere di vista l’abc della privacy. È il rischio che si sta correndo anche nella valutazione del servizio ChatGPT realizzato dalla società USA OpenAI, al centro di una vicenda amministrativa articolata in un primo blocco del servizio da parte del Garante italiano per la protezione dei dati (provvedimento dell'11 aprile 2023, poi cessato a fronte di un inizio di regolarizzazione del servizio medesimo (comunicato del Garante 28 aprile 2023). In realtà quel che sta succedendo a riguardo di ChatGPT potrebbe non essere di immediata estensione a tutto il mondo delle imprese, a meno che non si intenda affrontare il rischio di essere alla contestazione di inosservanza del Gdpr (regolamento Ue sulla privacy n. 2016/679). Anche dopo l’inizio di ravvedimento operoso di OpenAI, infatti, rimangono molti interrogativi a riguardo della legittimità del trattamento svolto da quella società e ciò perchè molti profili non sembrano essere stati chiariti, tra cui: - se i dati siano trasferiti fuori Ue e sulla base di quale presupposto legittimante; - se si usano cookie e come sia raccolto il consenso per gli stessi; se nell’informativa si possa essere generici sul termine di conservazione dei dati; - se la raccolta del consenso possa realizzarsi mediante la dichiarazione di un terzo (come avviene per l’utente minore infraquattoricenne che dichiara che il proprio genitore ha espresso il consenso); - se siano stati redatti un atto di bilanciamento per i trattamenti per cui ci si avvale della base giuridica dell’interesse legittimo e una valutazione di impatto privacy per l’uso di nuove tecnologie. I quesiti potrebbero continuare, ma in questa sede, prendendo spunto dalla vicenda ChatGPT, si intende affrontare alcuni nodi che le imprese devono comunque affrontare, utilizzando quella vicenda come mero innesco di una riflessione operativa per tutti i soggetti economici. Come dimostrare il legittimo interesse È problema ancora irrisolto la definizione della base giuridica del “legittimo interesse”, che apre al trattamento dei dati senza consenso. Se c’è un interesse legittimo, purchè non travolga la posizione giuridica individuale del soggetto cui si riferiscono i dati, allora, applicando l’articolo 6, paragrafo 1, lettera f) del Gdpr, l’impresa tratta i dati senza consenso (ma sempre previa idonea informativa). Eliminare il consenso significa anche eliminare tutti i costi della gestione amministrativa del consenso (accuratezza della raccolta, documentazione, periodico aggiornamento, cancellazione dei dati di chi revoca, ecc.). Non stupisce, dunque, che sia molto ricercata la possibilità di appoggiare i trattamenti di dati sul legittimo interesse, il quale, però, è tanto suggestivo quanto fonte di trabocchetti. Prima difficoltà è la definizione stessa di legittimo interesse. In particolare, ci si chiede se debba prevalere il sostantivo (interesse) o l’aggettivo (legittimo). Formulata diversamente la domanda chiede se l’interesse (che esclude il consenso) sia rilevante solo se ed in quanto possa contare su una base normativa oppure, in alternativa, se l’esigenza diventa legittima in quanto rispondente a un’aspettativa dell’impresa, titolare del trattamento. Nel primo caso non si può prescindere da un richiamo normativo, nel secondo caso la condotta concreta rappresenta il perno della situazione e fonda la legittimità dell’interesse. Nella prima opzione l’interesse legittimo è tale perché a monte è legittimo; nella seconda opzione poiché c’è un interesse, questo basta a farlo diventare, a valle, legittimo. A riguardo dell’addestramento degli algoritmi, non è possibile trovare un fondamento normativo, cui agganciare la legittimità dell’interesse e, pertanto, par di capire che l’orientamento delle autorità di controllo vada nel senso di emancipare il legittimo interessedandoprevalenza all’interesse. In sostanza, se l’impresa ha un interesse aziendale, che non sia contrario alla legge e che non sia suvvalente rispetto ai diritti e alle libertà delle persone fisiche (i cui dati sono trattati), previ un’analisi e un bilanciamento delle utilità aziendali con le stimate disutilità individuali (nient’altro che un’esplicitazione dei limiti alla libertà di impresa, sui quali il faro è l’articolo 41 della Costituzione), allora tutto ciò legittima il trattamento senza consenso. È un terreno scivoloso, ma la vicenda di ChatGPT, allo stato e per quel che si conosce, va in questa direzione. Le imprese, però, devono stare attente. La base giuridica del legittimo interesse non è una mera affermazione nella informativa privacy, ma presuppone la redazione di un atto aziendale di bilanciamento. Se si scrive, nell’informativa o nel registro dei trattamenti, che una determinata operazione è fondata sul legittimo interesse, l’impresa deve avere un documento per dimostrare di avere soppesato pro e contro e di avere computato la posizione degli interessati. Al riguardo un’utilissima guida, ancora oggi, è la “opinion 06/2014 on the notion of legitimate interests of the data controller” adottata il 9 aprile 2024 dall’ormai soppresso “Article 29 Data Protection Working Party”. Come fare il trattamento dei dati in caso di intelligenza artificiale Un profilo particolare riguarda l’uso dell’intelligenza artificiale nei processi aziendali. A questo riguardo occorre sottolineare che se l’uso dell’I.A. nel flusso produttivo implica un processo decisionale interamente automatizzato, allora la base giuridica del trattamento del dato non può essere l’interesse legittimo: ai sensi dell’articolo 22 Gdpr occorre il consenso esplicito, oppure una norma giuridica oppure deve esserci una stretta necessità contrattuale. Le imprese che si avventurano pioneristicamente nell’uso aziendale dell’intelligenza artificiale devono curare questi aspetti e le loro conseguenze a mezzo di adempimenti documentali specifici: - una valutazione di impatto privacy; - la raccolta di consensi espliciti e informati; - la predisposizione di processi di riscontro alle richieste di esercizio dei diritti da parte dell’interessato. A latere di quanto sopra si ritiene che anche la finalità di training degli algoritmi costituisca processo decisionale interamente automatizzato, incompatibile con la base giuridica dell’interesse legittimo. Come verificare l’età Il mercato dei servizi della società dell’informazione coinvolge soggetti minori di età, per i quali si pone il problema di come appurare l’età minima necessaria per l’accesso al servizio e quello di come accertare l’età necessaria per esprimere il consenso “privacy”. Tanto per esemplificare potrebbe esserci un servizio riservato agli ultratredicenni e l’impresa deve essere in grado di selezionare i maggiori di quell’età per ammettere a fruire del servizio; peraltro, se si applica l’articolo 8 Gdpr, il tredicenne dovrà accedere con il consenso dei genitori o equivalenti, mentre l’ultraquattordicenne potrà esprime da solo il consenso: ciò significa che l’impresa fornitrice del servizio deve essere in grado di appurare con esattezza anche l’età degli ultraquattordicenni. Sono due aspetti diversi, per i quali è necessario essere sicuri al cento per cento dell’età del proprio interlocutore. A questo proposito la vicenda ChatGPT costringe le imprese, che si rivolgono a questa fascia di mercato, a riflettere su come fare i conti con due aspetti, uno più semplice e l’altro di enorme difficoltà. Il primo adempimento è formale e cioè mettere le cose in chiaro e far dichiarare l’età e cioè: 1) l’età utile per accedere al servizio; 2) l’età minima per esprimere il consenso. Questo significa anche progettare il sistema in maniera tale da: 1) non far accedere al servizio chi dichiara l’età sotto soglia; 2) raccogliere il consenso del soggetto abilitato ad esprimerlo (ad esempio l’esercente la responsabilità genitoriale per l’infraquattordicenne, se si applica l’articolo 8 Gdpr). Questo passaggio è rappresentato da un (necessario) formale sbarramento, che potrebbe, però, essere facilmente eluso da chi fa dichiarazioni non veritiere. A questo punto scatta il rebus della verifica sostanziale dell’età effettiva, che è un problema insoluto a livello mondiale, considerato che non si ritiene legittima l’esibizione di un documento di identità, perché si dice comporterebbe l’acquisizione di dati eccessivi. Peraltro, i sistemi alternativi comportano, tutti nessuno escluso, l’acquisizione di dati ulteriori o, comunque, non sono efficaci e risolutivi rispetto a un elemento, che inderogabilmente deve essere appurato con esattezza e non con approssimazione. Nelle more di una soluzione condivisa, le imprese faranno bene ad agire con molta cautela quando si tratta di servizi on line a minori di età. Cosa devono evitare le imprese nel trattamento dei dati Nel comunicato del Garante per la protezione dei dati si legge che la società che gestisce ChatGPT ha previsto per gli interessati la possibilità di far cancellare le informazioni ritenute errate dichiarandosi, allo stato, tecnicamente impossibilitata a correggere gli errori. Questo significa che quel titolare del trattamento si autodichiara non in grado di realizzare trattamento di dati esatti, in palese violazione del Gdpr. È bene che le imprese non seguano questa linea di condotta, visto che espone al rischio di una contestazione di una violazione amministrativa punita dal Gdpr fino a 20 milioni di euro.

Crediti da dichiarazione integrativa ultrannuale: ecco come vanno riportati

Riforma della Riscossione: le novità in Gazzetta Ufficiale

Tributi indiretti diversi dall’IVA: via libera alla riforma fiscale

Decreto Omnibus: le misure fiscali varate dal CdM

Correttivi riforma fiscale: le novità approvate

Rottamazione quater: arriva la proroga al 15 settembre

Definizione agevolata processi verbali di constatazione: istituiti i codici tributo

Malattia durante le ferie: come funziona e le regole da seguire

Locazioni brevi, guida aggiornata su cedolare e intermediari

Intelligenza artificiale: attenzione al trattamento dei dati personali

Newsletter

Articoli correlati