IA e privacy: la tutela dei dati personali alla prova dell’intelligenza artificiale

Il timore che qualcosa possa compromettere il nostro diritto alla privacy è un sentimento piuttosto diffuso. Il pensiero che i nostri dati personali, le nostre foto e tutte le informazioni che ci riguardano possano essere in mano di terzi ci disturba.
La privacy è un concetto relativamente moderno. In passato, solo le classi sociali più agiate avevano il diritto alla privacy, mentre le classi operaie vivevano ammassate in spazi ristretti senza la possibilità di avere uno spazio intimo. Di recente, la privacy è diventata una priorità e una richiesta, e anche un diritto fondamentale per tutti. Per questo, la paura di perderlo è legittima, soprattutto negli ultimi tempi e con le nuove tecnologie che “vivono di dati”. Con l’avvento di Internet, e poi dei social network, gli spazi di condivisione sono aumentati e con essi anche la potenziale fugacità della privacy.

L’innovazione tecnologica ha fatto sì che condividessimo molti più dati personali con molte più persone, cosa che ha permesso che la maggior parte delle informazioni fosse immagazzinata in modo digitale. L’algoritmo, che traccia le nostre preferenze e customizza le sue proposte su di esse, è un potente strumento per le aziende e il mercato in generale, ma è un attentato alla nostra privacy. I confini tra il personale e il pubblico sono sempre più sfocati e l’eccesso di condivisione ci ha mostrato la labilità dei nostri confini personali. L’intelligenza artificiale generativa ha posto sfide ancora più impegnative da affrontare.

In Europa, la privacy è un diritto fondamentale ed è tutelata in modo abbastanza stringente. È il diritto di avere la libertà di decidere se condividere i propri dati e con chi condividerli. Le questioni sollevate in materia dall’emergere di molteplici sistemi di intelligenza artificiale generativa stanno proprio nell’addestramento di questi sistemi: i software raccolgono e analizzano un gran numero di dati personali, dai siti web ai social media, che sono usati per tracciarci, conoscerci e profilarci per incrementare il mercato, ma anche per sviluppare algoritmi.

In Europa, la privacy è un diritto fondamentale ed è tutelata in modo abbastanza stringente. È il diritto di avere la libertà di decidere se condividere i propri dati e con chi condividerli. Le questioni sollevate in materia dall’emergere di molteplici sistemi di intelligenza artificiale generativa stanno proprio nell’addestramento di questi sistemi: i software raccolgono e analizzano un gran numero di dati personali, dai siti web ai social media, che sono usati per tracciarci, conoscerci e profilarci per incrementare il mercato, ma anche per sviluppare algoritmi.

Spesso l’uso dei dati viaggia sul filo del rasoio della compliance. Per questo, è sempre più urgente e necessario controllare che i nostri dati vengano usati per scopi legittimi e con il nostro consenso – che sia realmente informato e basato su informazioni trasparenti. La sicurezza dei nostri dati personali memorizzati e impiegati dai sistemi di IA rischia di essere compromessa perché li rende vulnerabili a furti, perdite o cyber crimini.
La consapevolezza da parte degli utenti e la trasparenza delle aziende e organizzazioni che usano questi sistemi potrebbero non bastare ad evitare di mettere a repentaglio la nostra privacy. Il web, e ora anche l’IA, sono così presenti nelle nostre vite che ci sembra quasi impossibile discernere quali dati vengono condivisi e quando ci si può opporre al loro utilizzo da parte di terzi. Il quadro è tanto complesso che rende gli utenti inermi, soprattutto utenti molto giovani o fasce deboli.

La tutela della privacy nell’intelligenza artificiale è fondamentale per garantire il rispetto dei diritti e delle libertà fondamentali degli individui. In Italia, questo aspetto è monitorato e gestito dal Garante per la protezione dei dati personali, l’autorità che ha il compito di vigilare sul diritto alla privacy dei cittadini e il potere di sanzionare chi non rispetta la normativa. L’ente è stato centrale nell’implementazione del GDPR in Italia, che al momento svolge ancora un ruolo cruciale su questa materia, essendo ancora il punto di riferimento nella normativa europea.
Il Garante ha pubblicato diverse linee guida e documenti di approfondimento in materia di privacy sull’intelligenza artificiale. Il Regolamento sulla protezione dei dati si applica, infatti, a tutti i trattamenti, a prescindere dal tipo di tecnologia, e prevede l’obbligo di effettuare una valutazione di impatto sui sistemi per accertarsi che i dati siano trattati in modo corretto e trasparente. Un punto critico è l’obbligo di limitazione della conservazione dei dati: secondo il GDPR, i dati personali non possono essere conservati per un periodo superiore a quello necessario. Con i sistemi di IA, essendo questi ultimi addestrati con i dati personali, si rischia che questi dati rimangano nei sistemi in maniera ciclica.

Questa e numerose altre questioni emergono dallo scontro tra GDPR e intelligenza artificiale. L’AI Act, approvato dall’Unione europea nel 2024, ha integrato il Regolamento del 2016 su questa materia con le nuove prospettive create dall’IA. Nel 2023, l’European Data Protection Board (EDPB) ha emanato specifiche linee guida su come applicare il GDPR proprio sui sistemi di IA.

Insieme, Il GDPR e l’AI Act creano un quadro normativo europeo piuttosto solido sulla protezione dei dati personali e della privacy di cittadini e utenti. Entrambi garantiscono la tutela dei diritti fondamentali e che il trattamento dei dati sia legittimo, trasparente e sicuro, come si evince sia dai principi del GDPR che dalle classificazioni dei sistemi tecnologici in categorie basate sul rischio per gli utenti fatte nell’AI Act.

Insieme, Il GDPR e l’AI Act creano un quadro normativo europeo piuttosto solido sulla protezione dei dati personali e della privacy di cittadini e utenti. Entrambi garantiscono la tutela dei diritti fondamentali e che il trattamento dei dati sia legittimo, trasparente e sicuro, come si evince sia dai principi del GDPR che dalle classificazioni dei sistemi tecnologici in categorie basate sul rischio per gli utenti fatte nell’AI Act.

Di recente, ha messo in allarme la decisione di Meta di addestrare la sua intelligenza artificiale con i dati degli utenti delle piattaforme social della Big Tech, Facebook e Instagram. L’annuncio di Meta, oltre a generare il panico tra gli utenti e le varie notizie su come evitare al colosso l’utilizzo dei i propri dati, ha provocato l’immediato intervento del Garante della protezione dei dati irlandese (l’azienda ha la sua sede europea in Irlanda, per questo Dublino ne ha la competenza sul territorio europeo). Il DPC ha accolto i reclami su violazioni del GDPR da parte di 11 paesi europei. Le denunce hanno fatto fare un passo indietro a Meta, che ha ritirato – o solo ritardato – la sua decisione di addestrare una tecnologia con i dati degli utenti europei delle piattaforme. Non è il primo scontro tra le Big Tech e la normativa europea. Ora, con le intelligenze artificiali generative, la necessità di un controllo sulla conformità con la normativa è quanto mai imprescindibile.

L’attenzione alla privacy e alla protezione dei dati personali non è forte ovunque come lo è in Unione europea o in Canada. Gli Stati Uniti e la Cina, ad esempio – entrambi colossi economici e diretti antagonisti anche sulle nuove tecnologie – non hanno una normativa molto consolidata sotto questo punto di vista. Inoltre, i due paesi hanno un approccio più utilitaristico al trattamento dei dati e meno incentrato sul rispetto della persona. Una mancata armonizzazione in materia di privacy a livello globale, però, può determinare differenze sul piano dell’innovazione tecnologica.

Il dibattito tra tutela della privacy e sviluppo dell’intelligenza artificiale deve trovare un equilibrio che garantisca entrambi ed è ancora molto aperto. Il tema è in continua evoluzione man mano che aumentano le sfide da affrontare. Le regole essenziali che il GDPR applica per il trattamento dei dati personali mettono dei paletti ben precisi, ma l’algoritmo del machine learning potrebbe deviare da queste norme, perché tende ad essere sempre meno comprensibile e prevedibile. Il Garante per la protezione dei dati è intervenuto più volte su questioni al limite della compliance, sin dai primi utilizzi dell’intelligenza artificiale, per proteggere il cittadino e far sì che la sua privacy venga rispettata in ogni circostanza. Le prospettive che si paventano non sono di facile gestione, ma è necessario trovare un giusto compromesso tra l’utilizzo dell’innovazione tecnologica e il rispetto della privacy nel trattamento dei dati personali.
Il tema della privacy è strettamente legato ad una questione etica, oltre che normativa, e le differenze di approccio alla questione possono generare un contesto globale frammentato e difficile da fronteggiare.

Riferimenti

Beyond the Algorithm – AI, security, privacy and ethics, Omar Santos, Petar Radanliev, Pearson Education, 2024
AI and privacy – how to find balance, Eline Chivot and Punit Bhatia

Hai un articolo nel cassetto? Legal Tech Magazine è sempre alla ricerca di nuove voci attraverso cui raccontare l’evoluzione del settore. Puoi sottoporci la tua proposta attraverso il seguente form: avremo cura di leggerla e di valutarne la pubblicazione.

Non solo un Magazine, ma anche una Mappa, un Forum, un Report e un’Academy. Se ti interessano i progetti di Legal Tech Italy e desideri ricevere aggiornamenti sulle sue iniziative presenti e future, iscriviti alla newsletter e non perderti nessuna novità.