Computer Weekly Think Tank: L'IA mette a dura prova le regole fondamentali del GDPR

L'IA sta mettendo alla prova i limiti del GDPR

Quando il Regolamento Generale sulla Protezione dei Dati (GDPR) è entrato in vigore nel Regno Unito e nell'Unione Europea, è stato concepito per dare alle persone il controllo su come i loro dati personali vengono raccolti, trattati e conservati. Quasi un decennio dopo, l'intelligenza artificiale sta esercitando una pressione reale su questo quadro normativo. Un recente articolo del Security Think Tank pubblicato da Computer Weekly sostiene che l'IA non ha "rotto" il GDPR, ma ha piuttosto rivelato debolezze con cui autorità di regolamentazione e organizzazioni stavano già facendo i conti prima che l'IA generativa diventasse mainstream.

Il problema centrale è che il GDPR è stato scritto attorno a un modello di trattamento dei dati che presuppone scopi chiari e identificabili. Ci si aspettava che le organizzazioni sapessero quali dati raccoglievano, perché ne avevano bisogno e per quanto tempo li avrebbero conservati. I sistemi di IA, in particolare i modelli di machine learning su larga scala, spesso funzionano in modi che complicano ciascuna di queste assunzioni. I dati di addestramento vengono prelevati da fonti enormi e talvolta poco chiare. Gli output possono rivelare informazioni per le quali non è mai stato fornito un consenso esplicito. E la semplice scala del trattamento automatizzato rende più difficile per gli individui comprendere, figuriamoci contestare, come le loro informazioni vengono utilizzate.

Dove emergono le crepe

Secondo l'analisi del Security Think Tank, la tensione tra IA e GDPR non è del tutto nuova. I professionisti della protezione dei dati hanno da tempo lottato con questioni come la minimizzazione dei dati, la limitazione delle finalità e il consenso significativo, anche prima che l'IA entrasse in gioco. Ciò che l'IA ha fatto è accelerare e amplificare queste lacune esistenti, costringendo organizzazioni e autorità di regolamentazione nel Regno Unito e in Europa ad affrontarle con maggiore urgenza.

Si consideri il principio della limitazione delle finalità, ovvero l'idea che i dati personali debbano essere utilizzati solo per il motivo specifico per cui sono stati raccolti. I modelli di IA addestrati su grandi dataset spesso riutilizzano le informazioni in modi difficili da ricondurre a una finalità originale e ristretta. Anche i requisiti di trasparenza subiscono una tensione simile: il GDPR richiede che le organizzazioni spieghino come vengono trattati i dati personali, ma molti sistemi di IA operano come modelli complessi e stratificati che persino i loro sviluppatori possono avere difficoltà a spiegare pienamente a un'autorità di regolamentazione o a un singolo utente.

Non è solo un problema teorico. I rischi per la sicurezza legati all'infrastruttura dell'IA mostrano quanto rapidamente queste lacune possano trasformarsi in incidenti reali. Le campagne ransomware che sfruttano vulnerabilità nelle piattaforme di orchestrazione dell'IA, come si è visto negli attacchi ransomware Encforge ai server IA basati su Langflow, dimostrano che l'infrastruttura che supporta gli strumenti di IA può essa stessa diventare un punto di rottura per la protezione dei dati, non solo gli algoritmi che vi girano sopra. Quando gli attaccanti compromettono i sistemi che trattano dati personali per applicazioni di IA, gli obblighi di sicurezza del GDPR ai sensi dell'Articolo 32 entrano in diretto conflitto con le realtà operative di una distribuzione dell'IA in rapida evoluzione.

Le violazioni dei dati che coinvolgono servizi legati all'IA aggiungono un altro livello a questo quadro. L'aggiunta di oltre 55 milioni di account legati alla fuga di dati Suno al database Have I Been Pwned è un promemoria che le piattaforme IA che gestiscono dati degli utenti affrontano gli stessi rischi di violazione di qualsiasi altro servizio online, ma con una complessità aggiuntiva riguardo a quali dati siano stati utilizzati per l'addestramento rispetto alla gestione degli account. Nel frattempo, l'ondata di attacchi descritta nella copertura di compromissioni di Instagram, Spotify e password vault mostra che anche piattaforme consolidate senza forti componenti IA faticano a mantenere sicuri i dati personali, sottolineando che le sfide del GDPR non sono uniche dell'IA: sono semplicemente amplificate da essa.

Cosa significa per te

Per gli utenti comuni nel Regno Unito e nell'UE, queste tensioni normative non sono solo dibattiti politici astratti. Influiscono su quanta visibilità hai effettivamente su dove finiscono i tuoi dati una volta inseriti in un sistema di IA, che si tratti di un chatbot, di un motore di raccomandazione o di un'app basata sull'IA che usi quotidianamente.

Se un'azienda non riesce a spiegare chiaramente quali dati utilizza un modello di IA o perché, è un segnale a cui vale la pena prestare attenzione. Il GDPR tecnicamente richiede ancora quella spiegazione, anche se l'applicazione non ha pienamente raggiunto il modo in cui i sistemi di IA operano nella pratica. Leggere le politiche sulla privacy prima di adottare nuovi strumenti di IA, capire quali dati un'app raccoglie per scopi di addestramento ed essere cauti nell'inserire informazioni personali sensibili nei chatbot IA sono tutti passi pratici che riducono la tua esposizione mentre le autorità di regolamentazione affrontano queste questioni strutturali più difficili.

Andare avanti sotto pressione

Il GDPR non sarebbe mai stato un connubio perfetto per ogni tecnologia futura, e l'IA sta esponendo esattamente dove esistono quelle cuciture. La cornice del Security Think Tank è utile qui: non è una storia sull'IA che infrange la legge sulla protezione dei dati, è una storia sull'IA che rivela problemi che i professionisti della protezione dei dati sapevano già esistere. La limitazione delle finalità, la trasparenza e il consenso significativo erano imperfetti prima dell'arrivo dei modelli linguistici di grandi dimensioni, e l'IA ha semplicemente reso le imperfezioni più difficili da ignorare.

Per ora, il messaggio pratico per gli individui è di rimanere coinvolti su come i tuoi dati vengono utilizzati, fare domande quando gli strumenti di IA sembrano vaghi sulle loro pratiche relative ai dati e trattare qualsiasi servizio che gestisce le tue informazioni personali, basato sull'IA o meno, con lo stesso livello di scrutinio. Le autorità di regolamentazione nel Regno Unito e nell'UE stanno attivamente lavorando su come il GDPR si applichi all'IA, ma finché non emergeranno regole più chiare, la cautela informata rimane la tua migliore protezione.