I dipendenti possono inserire i dati dei clienti in uno strumento di IA?

I dati dei clienti negli strumenti di IA possono essere utilizzati, ma non così, senza più

Inserire i dati dei clienti in uno strumento di IA non è vietato a priori, ma è comunque un trattamento di dati personali soggetto alle stesse regole di qualsiasi altro sistema. Prima di inviare i dati in quella direzione, è rilevante stabilire quale sia la base giuridica, se vengono trattati più dati del necessario per lo scopo, e — spesso il punto più critico — cosa fa il fornitore dello strumento di IA con i dati inseriti. Molti strumenti di IA generici utilizzano gli input inseriti per addestrare o migliorare il proprio modello, con o senza il consenso, e questo è uno scopo diverso da quello per il quale il cliente ha fornito i dati in origine.

Quest'ultimo aspetto riguarda immediatamente il principio di limitazione della finalità e la minimizzazione dei dati secondo il GDPR: i dati raccolti per il contatto con il cliente non sono automaticamente idonei a essere inseriti in uno strumento di IA arbitrario. Se lo strumento tratta i dati per conto dell'organizzazione, il fornitore è un responsabile del trattamento, e deve esservi un contratto di responsabile del trattamento che stabilisca cosa può e non può accadere ai dati, dove si trovano, e se vengono utilizzati per scopi di addestramento. Non è quindi una semplice domanda sì o no sulla "IA", ma una questione che varia a seconda dello strumento, delle impostazioni e del tipo di dato del cliente — alcuni strumenti di IA offrono varianti aziendali in cui l'addestramento sui dati inseriti è esplicitamente disabilitato, altri no.

Da cui questo deriva: articoli 5 e 6 GDPR

Il fatto che sia necessaria una base giuridica per ogni trattamento deriva dall'articolo 6 del GDPR, e il fatto che i dati non possono essere utilizzati al di là dello scopo per il quale sono stati raccolti, e non più del necessario, deriva dai principi di limitazione della finalità e minimizzazione dei dati di cui all'articolo 5 del GDPR. Il Consiglio Europeo per la Protezione dei Dati pubblica linee guida che affrontano specificamente il trattamento dei dati personali nei sistemi di IA, e forniscono chiarimenti ulteriori su questioni come l'addestramento sui dati inseriti e il ruolo del fornitore come responsabile del trattamento.