Il GDPR si applica se la vostra azienda utilizza ChatGPT o altri strumenti di IA?
Sì, ma non perché utilizzate uno strumento di intelligenza artificiale in sé. La GDPR si applica non appena elaborate dati personali, e questo può accadere altrettanto facilmente in un elaboratore di testi quanto in un chatbot. Non si tratta quindi dello strumento che utilizzate, ma di quello che vi inserite e di ciò che lo strumento ne fa.
Se utilizzate l'intelligenza artificiale soltanto per testi generali, riassunti di informazioni pubbliche o supporto alla programmazione senza nomi, indirizzi di posta elettronica o altri dati identificabili, allora la GDPR non tocca quell'azione specifica. Se invece inserite dati di clienti, candidati o dipendenti, ad esempio per far redigere un'e-mail sulla base di una cartella cliente, allora elaborate dati personali e si applicano le normali regole.
Dov'è esattamente la differenza
La distinzione ruota attorno al contenuto di ciò che inserite, non all'etichetta "intelligenza artificiale". Un'azienda di installazione che fa riscrivere una descrizione di preventivo senza il nome del cliente opera diversamente da un responsabile delle risorse umane che fa riassumere una lettera di candidatura con nome, indirizzo e note del colloquio. Nel primo caso non c'è nulla di identificabile verso una persona. Nel secondo caso sì, e allora l'inserimento conta come un'elaborazione.
Lo stesso vale per il risultato. Uno strumento di intelligenza artificiale che genera un profilo o un consiglio sulla base di dati clienti inseriti elabora ulteriormente quei dati. Ciò è rilevante perché la GDPR non guarda solo all'archiviazione dei dati, ma a ogni azione: raccolta, inserimento, elaborazione da parte di una terza parte e utilizzo del risultato.
Chi è allora il responsabile del trattamento
La maggior parte degli strumenti di intelligenza artificiale che le aziende utilizzano girano su server di un fornitore esterno. Se inserite dati personali lì, quel fornitore è nella pratica spesso un responsabile del trattamento: una parte che elabora i dati su incarico della vostra azienda. È la stessa figura che in un pacchetto contabile o in un sistema CRM, solo che con gli strumenti di intelligenza artificiale è meno visibile perché l'inserimento sembra testo libero invece di un file di dati strutturato.
L'EDPB e l'Autorità per la protezione dei dati dedicano attenzione a questo perché per gli utenti è spesso poco chiaro se e per quanto tempo i dati inseriti rimangono archiviati e se vengono utilizzati per addestrare il modello sottostante. Queste sono domande che troverete nelle condizioni del fornitore e che determinano se è necessario un contratto di responsabile del trattamento. Se dubitate che un contratto che avete già sottoscritto copra questo tipo di utilizzo, potete farlo verificare nella banca dati sulla base del testo GDPR.
Quando non vi riguarda
Se la vostra azienda utilizza l'intelligenza artificiale esclusivamente per compiti senza dati identificabili, come la generazione di testi di marketing generali, la traduzione di informazioni pubbliche sui prodotti o il riassunto di processi interni propri senza nomi, allora per quell'applicazione specifica non c'è elaborazione di dati personali e quindi neppure alcun obbligo aggiuntivo derivante dalla GDPR. Ciò non significa che l'utilizzo di intelligenza artificiale in generale sia escluso; significa che dovete esaminare per ogni applicazione quali dati vengono effettivamente inseriti.
Cosa questo significa nella pratica per la vostra registrazione
Non appena uno strumento di intelligenza artificiale elabora dati personali, quell'elaborazione appartiene al registro delle elaborazioni esattamente come qualsiasi altra: quale scopo, quali dati, quale periodo di conservazione e quale parte fornisce lo strumento. Molte aziende dimenticano questo perché l'utilizzo di intelligenza artificiale spesso sorge in modo ad hoc, tramite un account separato di un dipendente, senza che sia considerato un "sistema". Tuttavia conta allo stesso modo di un CRM o di un sistema di gestione dei salari.
Se la vostra azienda abbia effettivamente a che fare con questo dipende da come l'IA viene utilizzata all'interno della vostra organizzazione e da chi la utilizza. Un direttore che occasionalmente fa controllare un testo senza dati dei clienti si trova in una situazione diversa da un ufficio HR che fa riassumere dati di candidature. In caso di dubbio, non è un passo superfluo discuterne con un legale o con l'Autorità per la protezione dei dati, soprattutto quando sono in gioco dati sensibili come informazioni sanitarie o finanziarie.
Volete acquisire rapidamente chiarezza sul fatto che l'utilizzo dell'IA all'interno della vostra azienda rientri nel GDPR e cosa comporti? Eseguite la scansione gratuita quick-scan con poche domande e un'indicazione diretta, consultate come sono strutturate le fonti sottostanti tramite una spiegazione su dove provengono le informazioni, o leggete le domande frequenti se prima volete vedere come altri imprenditori affrontano questa questione.