L’Autorità Garante per la protezione dei dati personali ha adottato un importante provvedimento nei confronti della piattaforma di IA generativa Character.AI, individuando numerose violazioni del GDPR che rappresentano indicazioni preziose anche per chi utilizza strumenti di Intelligenza Artificiale negli enti pubblici.
I punti più rilevanti
L’informativa privacy deve essere realmente comprensibile.
Non basta pubblicare una privacy policy: deve essere chiara, completa, disponibile nella lingua degli utenti e spiegare in modo preciso:
- quali dati vengono trattati;
- per quali finalità;
- su quale base giuridica;
- per quanto tempo vengono conservati;
- se vengono trasferiti fuori dall’Unione Europea.
Un’informativa generica o poco comprensibile non rispetta il principio di trasparenza previsto dal GDPR.
L’IA non può utilizzare dati personali senza adeguata trasparenza.
Il Garante ha contestato l’assenza di un’informativa specifica sull’utilizzo dei dati personali nelle attività di addestramento dei modelli di Intelligenza Artificiale. Anche quando i dati provengono da fonti pubbliche, il titolare deve rispettare gli obblighi informativi previsti dal GDPR.
I minori richiedono una tutela rafforzata.
Le misure adottate per verificare l’età degli utenti sono state ritenute inizialmente insufficienti. Il principio è molto chiaro: quando un servizio può essere utilizzato da minori, il titolare deve adottare misure tecniche e organizzative adeguate fin dalla progettazione (“privacy by design” e “privacy by default”).
La DPIA non è un adempimento da fare dopo.
Il Garante ha contestato la predisposizione tardiva della Valutazione d’Impatto sulla Protezione dei Dati (DPIA). La valutazione deve precedere l’avvio di trattamenti che presentano rischi elevati, soprattutto quando vengono impiegati sistemi di Intelligenza Artificiale.
L’accountability non è solo documentazione.
Il titolare deve poter dimostrare concretamente di aver valutato i rischi, adottato misure adeguate e rispettato i principi del GDPR sin dalla progettazione del servizio.
Cosa significa per le Pubbliche Amministrazioni?
Ogni ente che utilizza strumenti di IA generativa (ChatGPT, Copilot, Gemini, Claude e analoghi) deve ricordare che la conformità normativa non riguarda soltanto il fornitore della piattaforma.
Occorre verificare:
✔ la liceità del trattamento;
✔ le informazioni fornite agli interessati;
✔ la presenza di una DPIA quando necessaria;
✔ la protezione dei dati personali inseriti nei sistemi di IA;
✔ la tutela dei soggetti vulnerabili;
✔ la corretta governance dell’utilizzo dell’Intelligenza Artificiale all’interno dell’ente.
L’Intelligenza Artificiale rappresenta una grande opportunità per la Pubblica Amministrazione, ma solo se accompagnata da un utilizzo consapevole, documentato e conforme ai principi del GDPR.
#Privacy #GDPR #IntelligenzaArtificiale #AIAct #PubblicaAmministrazione #DPO #DataProtection #CyberSecurity #InnovazioneDigitale
Lascia un commento