AI e privacy: usare l’intelligenza artificiale rispettando il GDPR

Di cosa parla questa guida

Un assistente che riassume le email dei clienti tratta dati personali. Un modello che classifica i curriculum tratta dati personali. Uno strumento che lavora sulle note di una riunione in cui compaiono nomi tratta dati personali. Appena nell’uso dell’AI entra un’informazione su una persona identificata o identificabile, il GDPR si applica, e si applica per intero.

La guida spiega perché l’AI alza la posta su tre fronti. La quantità: gli strumenti invogliano a dare più contesto di quanto serva, e questo confligge con la minimizzazione. L’opacità: spiegare perché un modello ha prodotto un certo esito è difficile, e la trasparenza lo richiede. La dispersione: i dati escono dal tuo perimetro ed entrano in quello del fornitore, a volte fuori dall’Unione.

Un equivoco viene sciolto subito: davanti alle persone e all’autorità risponde chi usa l’AI per le proprie finalità, non lo strumento. Il testo è divulgativo e non sostituisce una consulenza legale, ma dà un metodo per decidere prima di partire, quando le scelte costano poco.

Tre idee dalla guida

Identificabile non vuol dire facile

“Ho tolto il nome, quindi è anonimo” è una delle convinzioni più pericolose. Conta la ragionevole possibilità di risalire alla persona, anche con un po’ di lavoro e incrociando fonti diverse: un codice cliente, una targa, la posizione di un dispositivo a una certa ora tornano a essere dati personali per chi possiede la tabella di corrispondenza. Prima di considerare sicuro un insieme di dati privo di nomi, chiediti quante persone al mondo corrispondono a quella precisa combinazione di attributi. Se la risposta è una, non hai un dato anonimo: hai un dato personale travestito.

La domanda sull’addestramento si fa prima, non dopo

I dati che dai a uno strumento finiscono nell’addestramento dei suoi modelli? Se la risposta è sì, quei dati non sono più semplicemente conservati: diventano parte di qualcosa da cui estrarli o cancellarli è tecnicamente arduo, a volte impraticabile. La verifica va fatta prima di adottare lo strumento, non quando un interessato chiede la cancellazione o revoca il consenso. Molti fornitori seri permettono di escludere l’uso dei dati per addestramento, spesso con una impostazione da attivare: trovarla e attivarla separa un uso governato da uno che si scopre ingovernabile troppo tardi.

La parola che decide: unicamente

Il GDPR riconosce il diritto a non essere sottoposti a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o incida in modo rilevante sulla persona. Il punto delicato è proprio quella parola: mettere qualcuno a fare da timbro su decisioni già prese dalla macchina non basta. Il controllo umano deve essere reale, con competenza e autorità per ribaltare l’esito. Ne discende un criterio di scelta degli strumenti: un sistema così opaco che nemmeno chi lo usa sa spiegare perché ha deciso così non potrà mai onorare il diritto alla spiegazione.