Lo sviluppo delle soluzioni di AI impone valutazioni privacy già nella fase di progettazione e addestramento. Dataset, basi giuridiche, governance dei dati, AI Act e indicazioni dell’EDPB diventano centrali per evitare non conformità che possono propagarsi all’uso finale dei sistemi.
Un approccio completo al ciclo di vita degli algoritmi di AI
La crescente diffusione dell’intelligenza artificiale e delle norme che la riguardano impone a chi decide di sviluppare soluzioni di AI (sistemi o modelli di AI) di soffermarsi sull’intera fase del ciclo di vita della soluzione. È necessario svolgere le valutazioni rilevanti anche ai fini della protezione dei dati personali. Le valutazioni normative non devono coincidere soltanto con la fase di utilizzo da parte dell’utente finale, ma devono essere anticipate, collocate sin dalla fase di sviluppo.
In questa fase, le scelte relative alla selezione, alla raccolta e all’elaborazione dei dataset diventano fondamentali, soprattutto poiché possono includere testi, immagini o documenti, molti dei quali possono contenere informazioni di persone fisiche identificate o identificabili. Questo li rende classificabili come dati personali.
Se i dati utilizzati nello sviluppo e nell’addestramento della soluzione sono riconducibili a persone identificate o identificabili, allora il loro trattamento rientra sotto la disciplina del Regolamento (UE) 2016/679, noto come GDPR. I trattamenti dovranno quindi rispettare i principi di liceità, accountability e conformità previsti da questa norma.
La governance dei dati nei modelli di AI
L’insieme delle attività di sviluppo e addestramento dei modelli di AI rende cruciale la gestione dei dati. Questa diventa centrale quando i dati utilizzati sono di natura personale. Per questo, è fondamentale tenere in considerazione sia il GDPR che il Regolamento (UE) 2024/1689 sull’AI Act.
Il GDPR richiede la presenza di una base giuridica legittima per ogni trattamento. L’art. 6 GDPR introduce una lista chiara di condizioni di liceità, da individuare in relazione alla finalità specifica perseguita. Questa valutazione è estremamente complessa negli scenari di AI, specie quando i dataset sono di grandi dimensioni o provenienti da molteplici fonti non controllate.
Il ruolo strategico dell’AI Act
Oltre al GDPR, bisogna tener conto anche dell’AI Act, introducendo una disciplina specifica sui sistemi di intelligenza artificiale, con un focus sull’approccio al rischio. Il Regolamento europeo sull’AI Act e il GDPR devono essere considerati complementari: il primo disciplina il software, il secondo continua a essere applicabile quando il trattamento coinvolge dati personali.
Articolo 10 dell’AI Act si concentra sui sistemi ad alto rischio e richiama l’importanza della gestione dei dati, in particolare la qualità dei dataset di formazione, validazione e test. L’articolato richiede che si adottino misure per prevenire errori, bias e distorsioni. In questa prospettiva, la gestione corretta dei dati non è solo un obbligo regolatorio, ma ha un impatto diretto sull’affidabilità tecnica e sulla coerenza dei risultati prodotti dai modelli AI.
I chiarimenti del Digital Omnibus
Il pacchetto legislativo Digital Omnibus mira a razionalizzare e semplificare le normative digitali europee, rientrando anche nel contesto dell’AI Act. Sono previsti ulteriori chiarimenti, semplificazioni e limitazioni. Per esempio, alcuni obblighi previsti nell’AI Act sono stati differiti, mentre ne sono state introdotte di nuove per i sistemi di AI che generano pornografia infantile o immagini generative di persone senza loro consenso.
Questi interventi non riducono l’importanza della protezione dei dati personali in AI; anzi, ribadiscono l’esigenza di un modello di governance documentato, trasversale e coerente, specialmente negli scenari di dataset complessi e sistemi ad alto rischio.
Conformità tra base giuridica e protezione dei dati
L’applicazione coordinata delle norme GDPR e AI Act implica mettere a sistema alcuni fondamentali principi di protezione dei dati. Si parla di liceità, trasparenza, minimizzazione e accountability. Questi devono diventare criteri applicabili anche nella fase di sviluppo e addestramento dei modelli.
Nel contesto privato assume rilievo l’utilizzo del legittimo interesse ai sensi dell’art. 6 par. 1 lett. f) GDPR. Tuttavia, l’applicazione di questa base non è automatica. Deve svolgersi una valutazione documentata e puntuale, considerando l’effettività dell’interesse perseguito, la necessità del trattamento rispetto all’obiettivo e il bilanciamento con i diritti della persona.
Le indicazioni dell’EDPB
L’European Data Protection Board ha fornito un'opinione importante sull’applicazione del GDPR al contesto dell’IA, in particolare attraverso l’Opinion 28/2024 sui principali aspetti della protezione dati applicabili ai modelli di AI.
- Anonimizzazione dei modelli AI. L’EDPB chiarisce che un modello addestrato con dati personali non può essere considerato anonimo automaticamente: ogni caso richiede un’analisi specifica.
- Legittimo interesse come base giuridica. Il ricorso al legittimo interesse richiede una valutazione chiara su interesse, necessità e bilanciamento con i diritti.
- Conseguenze di trattamenti illeciti. Un trattamento illegittimo nella fase di sviluppo può compromettere l’utilizzabilità e la legalità successiva del modello.
I criteri di valutazione per base giuridica
Secondo l’EDPB, l’applicazione del “legittimo interesse” richiede un processo articolato, che include:
- Identificazione di un interesse concreto, legittimo e attuale;
- Verifica della necessità del trattamento rispetto a tale interesse;
- Bilanciamento con i diritti della persona interessata.
L’obiettività di questa valutazione dipende da fattori chiave: natura dei dati, contesto originale di raccolta, aspettative ragionevoli degli interessati e adozione di strumenti correttivi.
Conclusioni sull’etica tecnologica
In sintesi, lo sviluppo di modelli di AI richiederà una governance integrata, anticipata e trasparente, con particolare attenzione alla protezione dei dati personali. Il rispetto del GDPR e dell’AI Act non è solo una questione di conformità regolamentare, ma un elemento fondante per garantire l’equità, l’accuratezza e la trasparenza tecnologica.