GDPR e IA: un regolamento scritto per un'altra epoca

Quando il GDPR è diventato applicabile nel Regno Unito e nell'Unione Europea, l'intelligenza artificiale come la conosciamo oggi a malapena esisteva negli strumenti aziendali mainstream. Il regolamento è stato scritto per governare il modo in cui le organizzazioni raccolgono, trattano e conservano i dati personali, con principi fondamentali come la limitazione delle finalità, la minimizzazione dei dati e il diritto alla cancellazione. Quei principi avevano senso in un mondo fatto di database e flussi di dati ben definiti.

L'IA, in particolare i sistemi generativi e di machine learning, non funziona così. I modelli vengono addestrati su dataset enormi che possono includere informazioni personali raccolte tramite scraping, concesse in licenza o provenienti da innumerevoli fonti. Una volta che quei dati sono incorporati nei pesi di un modello, diventa straordinariamente difficile isolare, correggere o cancellare le informazioni di una singola persona, qualcosa che il diritto alla cancellazione del GDPR presuppone sia possibile. Questo disallineamento tra il modo in cui la legge è stata concepita e il modo in cui i sistemi di IA funzionano realmente è al centro dell'analisi in corso del Security Think Tank di Computer Weekly, che ha esaminato come gli standard di protezione dei dati nel Regno Unito e in Europa stiano faticando a tenere il passo con il nuovo paradigma introdotto dall'IA.

Dove si vedono le crepe

La tensione non è solo teorica. Si manifesta in modi pratici e quotidiani per le organizzazioni che cercano di implementare l'IA in modo responsabile rimanendo conformi. La limitazione delle finalità, l'idea che i dati raccolti per un motivo non debbano essere riutilizzati senza consenso, diventa nebulosa quando i fornitori di IA riutilizzano i dati di addestramento su più prodotti o mettono a punto modelli su dati originariamente raccolti per tutt'altro scopo.

Anche gli obblighi di trasparenza vacillano di fronte alla complessità dell'IA. Il GDPR si aspetta che le organizzazioni spieghino come vengono trattati i dati personali e forniscano agli individui informazioni significative sul processo decisionale automatizzato che li riguarda. Ma molti sistemi di IA, specialmente i grandi modelli linguistici, funzionano come scatole nere persino per i loro stessi sviluppatori. Spiegare esattamente perché un modello ha prodotto un determinato output, o quali specifici punti dati lo hanno influenzato, spesso non è qualcosa a cui nemmeno il fornitore può rispondere pienamente. Come esplorato in un correlato articolo del Think Tank di Computer Weekly su come l'IA mette sotto pressione le regole fondamentali del GDPR, non si tratta di una nota tecnica di poco conto. Tocca il cuore di ciò che il GDPR è stato progettato per garantire: che le persone abbiano reale visibilità e controllo sui propri dati.

Queste lacune contano dal punto di vista della sicurezza tanto quanto da quello della conformità. Protezione dei dati e cybersicurezza sono sempre state intrecciate, e quando il quadro giuridico pensato per imporre una buona igiene dei dati non si mappa in modo pulito su come i sistemi di IA gestiscono effettivamente le informazioni, le organizzazioni possono ritrovarsi con punti ciechi. Dati sensibili potrebbero essere inglobati negli strumenti di IA senza un chiaro inventario di dove finiscano, chi vi possa accedere o per quanto tempo persistano, creando esattamente quel tipo di proliferazione incontrollata dei dati che i team di sicurezza passano anni a cercare di eliminare.

Ripensare la conformità nell'era dell'IA

L'analisi del Security Think Tank suggerisce che rattoppare il GDPR pezzo per pezzo potrebbe non bastare. Invece, sia le organizzazioni sia i regolatori devono ripensare cosa significhi conformità quando i dati non risiedono in un database statico ma fluiscono attraverso pipeline di addestramento, aggiornamenti dei modelli e piattaforme di IA di terze parti. Ciò significa una governance dei dati più solida prima che le informazioni raggiungano un sistema di IA: sapere quali dati personali esistono, classificarne la sensibilità e limitare ciò che viene immesso negli strumenti di IA fin dall'inizio.

Per i regolatori britannici ed europei, questo solleva anche questioni sull'applicazione. I principi del GDPR restano validi nello spirito, ma applicarli all'IA richiede nuove linee guida interpretative, e possibilmente nuove regole, per affrontare questioni come la provenienza dei dati di addestramento, il riaddestramento dei modelli dopo richieste di cancellazione e la responsabilità quando i fornitori di IA e i loro clienti condividono la responsabilità della conformità.

Cosa significa per te

Se la tua organizzazione utilizza strumenti di IA, che si tratti di un chatbot, di una piattaforma di analisi interna o di un servizio di terze parti basato su grandi modelli linguistici, la conformità a GDPR e IA non è qualcosa che puoi dare per scontato sia gestita automaticamente. Anche le imprese più piccole che usano prodotti di IA pronti all'uso possono essere esposte se i dati personali finiscono per essere trattati in modi che l'informativa sulla privacy del fornitore non spiega chiaramente.

Per gli individui, il messaggio è un promemoria del fatto che i dati condivisi con servizi basati sull'IA potrebbero non essere così facili da recuperare o cancellare come i dati conservati in un account tradizionale. Una volta che le informazioni vengono usate per addestrare o mettere a punto un modello, esercitare diritti come la cancellazione diventa in pratica molto più complicato di quanto la legge presupponga.

Azioni concrete da intraprendere

Prima di adottare o continuare a usare strumenti di IA che trattano dati personali, considera questi passaggi:

  • Chiedi direttamente ai fornitori se i tuoi dati vengono usati per l'addestramento dei modelli e se potranno essere completamente rimossi in seguito.
  • Mappa quali dati personali confluiscono in qualsiasi sistema di IA utilizzato dalla tua organizzazione, inclusi gli strumenti di terze parti.
  • Esamina le informative sulla privacy dei prodotti di IA con lo stesso rigore che applicheresti a qualsiasi altro responsabile del trattamento.
  • Resta informato sull'evoluzione delle linee guida, poiché le regole di conformità a GDPR e IA probabilmente continueranno a cambiare mentre i regolatori si adeguano.

Il divario tra GDPR e IA non si colmerà da solo. Finché la regolamentazione non si adeguerà, restare cauti e informati è la migliore protezione che individui e organizzazioni abbiano.