Il punto d’incontro tra IA e protezione dei dati personali
La maggior parte dei progetti di intelligenza artificiale in azienda coinvolge, a un certo punto, dati personali: dati dei clienti per i modelli di segmentazione, dati dei dipendenti per i sistemi HR, dati dei pazienti per la diagnosi assistita o dati comportamentali per la personalizzazione. Ne consegue che qualsiasi progetto di IA in un’azienda europea deve rispettare contemporaneamente il Regolamento generale sulla protezione dei dati (GDPR) e, dal 2025, il regolamento europeo sull’IA (AI Act).
Per le aziende questo doppio obbligo non è un ostacolo insormontabile, ma richiede un approccio strutturato che integri la privacy fin dalla progettazione e non come un’aggiunta a fine progetto.
Il GDPR applicato ai progetti di IA: i punti critici
Base giuridica del trattamento: prima di addestrare qualsiasi modello con dati personali occorre individuare la base giuridica che legittima il trattamento (consenso, legittimo interesse, contratto, obbligo legale). Il legittimo interesse è la base più comune nei progetti di analisi, ma richiede una valutazione comparativa (balancing test) documentata.
Minimizzazione dei dati: il GDPR impone di usare solo i dati strettamente necessari alla finalità dichiarata. Nei progetti di ML questo significa valutare se sia possibile addestrare modelli altrettanto efficaci con dati anonimizzati o pseudonimizzati, oppure con un sottoinsieme ridotto di variabili.
Valutazione d’impatto sulla protezione dei dati (DPIA): è obbligatoria quando il trattamento comporta una valutazione sistematica delle persone, il trattamento su larga scala di dati sensibili o la sorveglianza sistematica di zone accessibili al pubblico. La maggior parte dei modelli di scoring, di previsione dei comportamenti o di classificazione delle persone richiede una DPIA prima della messa in produzione.
Decisioni automatizzate: l’articolo 22 del GDPR vieta, salvo eccezioni, le decisioni basate unicamente su un trattamento automatizzato che producono effetti significativi sulle persone. Se un modello di IA decide su credito, assunzioni o prezzi senza supervisione umana, occorre garantire il diritto all’intervento umano e alla spiegazione.
Trasferimenti internazionali: molti fornitori cloud e di IA trattano dati al di fuori dello SEE. Prima di sottoscrivere servizi di IA che trattano dati personali di cittadini europei occorre verificare i meccanismi di trasferimento (clausole contrattuali tipo, decisioni di adeguatezza).
AI Act: che cosa devono sapere le aziende
L’AI Act classifica i sistemi di IA in base al rischio. Per la maggior parte delle aziende, i punti più rilevanti sono:
Sistemi ad alto rischio: comprendono l’IA usata nel credito, nell’occupazione, nell’istruzione, nelle infrastrutture critiche e nei servizi sociali. Questi sistemi richiedono valutazione della conformità, registrazione, documentazione tecnica, gestione dei rischi e sorveglianza umana documentata.
Sistemi a rischio limitato: chatbot e sistemi di raccomandazione sono soggetti a obblighi di trasparenza (gli utenti devono sapere che stanno interagendo con un’IA).
IA per finalità generali (GPAI): i grandi modelli linguistici usati nelle applicazioni aziendali hanno obblighi propri in materia di trasparenza e diritto d’autore.
Pratiche vietate: da febbraio 2025 sono vietati i sistemi di punteggio sociale (social scoring), la manipolazione subliminale e alcuni usi del riconoscimento facciale negli spazi pubblici.
Una roadmap di conformità per le aziende
Una roadmap pratica per la privacy nei progetti di IA comprende: l’inventario dei sistemi di IA esistenti e la valutazione della loro classe di rischio secondo l’AI Act, la revisione delle DPIA in sospeso per i progetti che trattano dati personali, l’applicazione della privacy by design nei nuovi progetti, la definizione di procedure per la gestione dei diritti degli interessati e la revisione dei contratti con i fornitori di IA in qualità di responsabili del trattamento.
Uniamo competenze tecniche sull’IA e una conoscenza approfondita del quadro normativo europeo per affiancare le aziende in questo percorso, evitando sia il rischio di non conformità sia l’eccesso di adempimenti che paralizza l’innovazione.
Domande frequenti
I dati anonimizzati sono esclusi dall’ambito del GDPR? Sì, se l’anonimizzazione è effettiva e irreversibile. La pseudonimizzazione, che è ciò che fa la maggior parte dei progetti, non esclude invece i dati dal GDPR. Un’anonimizzazione reale, in grado di superare un test di reidentificazione, è tecnicamente impegnativa e spesso riduce l’utilità dei dati per l’addestramento dei modelli.
L’AI Act si applica a tutte le aziende o solo a quelle che sviluppano IA? Si applica sia ai fornitori (chi sviluppa o immette sul mercato sistemi di IA) sia ai deployer (chi utilizza sistemi di IA nella propria attività). Un’azienda che acquista un sistema di credit scoring basato sull’IA ha obblighi come deployer, anche se non ha sviluppato il modello.
Che cosa succede se abbiamo già in produzione modelli che non rispettavano queste norme? L’AI Act prevede periodi transitori per i sistemi preesistenti. Tuttavia, le autorità di protezione dei dati dell’UE, coordinate dal Comitato europeo per la protezione dei dati (EDPB), vigilano già sull’uso dell’IA ai sensi del GDPR. La strada più prudente è svolgere un audit dei sistemi esistenti, dare priorità a quelli a rischio più alto e definire un piano di adeguamento documentato.