Il comitato europeo per la protezione dei dati (EDPB) ha adottato un parere sull’uso dei dati personali per lo sviluppo e la diffusione di modelli di IA. Il presente parere esamina quando e come i modelli di IA possono essere considerati anonimi, se e come l’interesse legittimo può essere utilizzato come base giuridica per lo sviluppo o l’utilizzo di modelli di IA e, infine, cosa succede se un modello di IA è sviluppato utilizzando dati personali trattati illecitamente. Considera anche l’uso di dati di prima e terza parte.
Il parere è stato richiesto dall’autorità irlandese per la protezione dei dati (DPA) al fine di conseguire un’armonizzazione normativa a livello europeo. Per raccogliere contributi per il presente parere, che tratta di tecnologie in rapida evoluzione che hanno un impatto importante sulla società, l’EDPB ha organizzato un evento per le parti interessate e ha avuto uno scambio con l’Ufficio dell’UE per l’IA.
Il presidente dell’EDPB Talus ha dichiarato: “Le tecnologie di IA possono offrire molte opportunità e vantaggi a diversi settori e ambiti della vita. Dobbiamo garantire che queste innovazioni siano fatte in modo etico, sicuro e in un modo che vada a beneficio di tutti. L’EDPB intende sostenere l’innovazione responsabile in materia di IA garantendo la protezione dei dati personali e nel pieno rispetto del regolamento generale sulla protezione dei dati (RGPD)“.
Per quanto riguarda l’anonimato, il parere afferma che l’incognita su un modello di IA dovrebbe essere valutato caso per caso dalle autorità di protezione dei dati. Affinché un modello sia anonimo, dovrebbe essere molto improbabile identificare direttamente o indirettamente le persone i cui dati sono stati utilizzati per creare il modello e estrarre tali dati personali dal modello attraverso query. Il parere fornisce un elenco non prescrittivo e non esaustivo di metodi per dimostrare l’anonimato.
Per quanto riguarda l’interesse legittimo, il parere fornisce considerazioni generali di cui le autorità di protezione dei dati dovrebbero tenere conto nel valutare se l’interesse legittimo sia una base giuridica adeguata per il trattamento dei dati personali ai fini dello sviluppo e della diffusione di modelli di IA.
Un test in tre fasi aiuta a valutare l’uso dell’interesse legittimo come base giuridica. L’EDPB fornisce gli esempi di un agente conversazionale per assistere gli utenti e l’uso dell’IA per migliorare la cibersicurezza. Questi servizi possono essere vantaggiosi per gli individui e possono fare affidamento sull’interesse legittimo come base giuridica, ma solo se il trattamento si dimostra strettamente necessario e viene rispettato il bilanciamento dei diritti.
Il parere include anche una serie di criteri per aiutare le autorità di protezione dei dati a valutare se le persone possono ragionevolmente aspettarsi determinati usi dei loro dati personali. Tali criteri comprendono: se i dati personali fossero o meno accessibili al pubblico, la natura del rapporto tra l’individuo e il responsabile del trattamento, la natura del servizio, il contesto in cui sono stati raccolti i dati personali, la fonte da cui sono stati raccolti i dati, i potenziali ulteriori usi del modello e se le persone siano effettivamente a conoscenza del fatto che i loro dati personali sono online.
Se il test comparativo dimostra che il trattamento non dovrebbe aver luogo a causa dell’impatto negativo sulle persone, le misure di attenuazione possono limitare tale impatto negativo. Il parere contiene un elenco non esaustivo di esempi di tali misure di attenuazione, che possono essere di natura tecnica o rendere più facile per le persone l’esercizio dei loro diritti o aumentare la trasparenza.
Infine, quando un modello di IA è stato sviluppato con dati personali trattati illecitamente, ciò potrebbe avere un impatto sulla liceità della sua diffusione, a meno che il modello non sia stato debitamente anonimizzato.
Considerando la portata della richiesta dell’autorità irlandese per la protezione dei dati, l’ampia diversità dei modelli di IA e la loro rapida evoluzione, il parere mira a fornire orientamenti su vari elementi che possono essere utilizzati per condurre un’analisi caso per caso. Inoltre, l’EDPB sta attualmente elaborando orientamenti riguardanti questioni più specifiche, come il web scraping.
