Oltre al GDPR, esiste una seconda legge europea che si applica progressivamente: il Regolamento sull'intelligenza artificiale, noto anche come AI Act. Questa legge non regola la privacy stessa, ma l'uso dell'intelligenza artificiale, e tocca quindi proprio gli strumenti che molte piccole e medie imprese utilizzano quotidianamente: un chatbot per il contatto con i clienti, uno scanner di CV nel reclutamento, o software che analizza immagini da telecamere. Per le aziende che utilizzano tali strumenti, quest'anno e negli anni a venire si aggiungeranno progressivamente nuovi obblighi, oltre a quelli già richiesti dal GDPR.
Se questo è rilevante per la vostra azienda dipende da cosa fa esattamente l'applicazione di intelligenza artificiale e con quali dati opera. Se utilizzate l'intelligenza artificiale solo per redigere testi o pianificare agende, probabilmente per voi poco cambierà. Se utilizzate l'intelligenza artificiale per supportare decisioni su persone — selezionare candidati, valutare dipendenti, classificare clienti in categorie di rischio — è più probabile che le nuove regole vi riguardino, e che guardino insieme al GDPR alla stessa elaborazione dei dati personali.
Cosa cambia quest'anno
Il Regolamento sull'intelligenza artificiale non è entrato in vigore in una sola volta. La legge prevede diverse date in cui le sue parti entrano in vigore, distribuite su più anni. Così ci sono regole più rigorose per i sistemi di intelligenza artificiale classificati come rischiosi, e obblighi separati per i fornitori di modelli di intelligenza artificiale di tipo generale. Quale data si applica esattamente a quale parte è specificato nel regolamento stesso; poiché si tratta di un percorso graduale, vi consigliamo di consultare il testo ufficiale per le date esatte applicabili alla vostra situazione, invece di fare affidamento su un riassunto.
Ciò che è certo è la direzione: quanto più un'applicazione di intelligenza artificiale influisce sulle persone — nel reclutamento, nella valutazione, nell'accesso ai servizi — tanto più rigorose diventano le esigenze. Questo è coerente con il modo in cui il GDPR da tempo guarda al processo decisionale automatizzato, ma il Regolamento sull'intelligenza artificiale aggiunge propri obblighi, come requisiti di documentazione, trasparenza nei confronti dell'interessato e, in determinati casi, una valutazione obbligatoria prima che il sistema sia messo in uso.
Per chi comporta questo cambiamento
Il regolamento distingue i ruoli: chi sviluppa o commercializza un sistema di intelligenza artificiale ha obblighi diversi rispetto a chi lo utilizza semplicemente come azienda. La maggior parte delle piccole e medie imprese rientra in questa seconda categoria, come utenti di uno strumento costruito da un fornitore di software. Anche in questo caso si applicano obblighi, anche se generalmente meno severi di quelli per chi costruisce il sistema. Si pensi all'informazione ai dipendenti o ai clienti che viene utilizzata l'intelligenza artificiale, e alla valutazione se l'uso rientra nei limiti della legge.
I dipartimenti risorse umane che utilizzano l'intelligenza artificiale nel reclutamento o nella valutazione, e le aziende che fanno analizzare immagini da telecamere da software, farebbero bene a inventariare fin da ora quali strumenti sono esattamente e cosa fanno con i dati. Si tratta dello stesso inventario che il GDPR già richiede per il registro delle attività di trattamento, e questi due filoni — GDPR e Regolamento sull'intelligenza artificiale — nella pratica spesso procedono insieme.
Cosa significa questo oltre al GDPR
Il Regolamento sull'intelligenza artificiale non sostituisce il GDPR e non lo rende nemmeno superfluo. Se uno strumento di intelligenza artificiale elabora dati personali, il GDPR continua ad applicarsi a tale elaborazione, compreso il requisito di una base giuridica, l'obbligo di informazione nei confronti dell'interessato e, dove pertinente, un contratto di trattamento dei dati con il fornitore dello strumento. Il Regolamento sull'intelligenza artificiale si aggiunge in determinati casi, con propri requisiti che riguardano specificamente il sistema di intelligenza artificiale, indipendentemente dalla questione se siano coinvolti dati personali.
Se qualcosa va male con i dati personali nell'uso di uno strumento di intelligenza artificiale — un chatbot che condivide accidentalmente i dati dei clienti con la persona sbagliata, o un sistema che archivia i dati senza protezione — l'obbligo di segnalazione del GDPR rimane pienamente in vigore. Se dubitate se un incidente con uno strumento di intelligenza artificiale rientra in tale obbligo di segnalazione, potete mostrare in poche domande se si tratta di una notifica obbligatoria di violazione dei dati.
Quello che potete già fare ora
Senza aspettare ogni singola data, potete già mappare quali strumenti di intelligenza artificiale vengono utilizzati all'interno della vostra azienda, per quale scopo, e se vengono elaborati dati personali. Questo inventario è anche la base del registro delle attività di trattamento che il GDPR richiede già, e questi due obiettivi — registro GDPR e panoramica dell'IA — potete raggiungerli in un'unica operazione. Gdpria.eu monitora nella banca dati di conoscenza per argomento cosa sta succedendo intorno all'IA e alla privacy, con il riferimento al testo ufficiale, in modo che possiate verificare cosa si applica alla vostra situazione.
Se avete domande su come l'uso dell'IA si relaziona agli obblighi GDPR esistenti, troverete una serie di risposte in domande frequenti. Per la questione di come otteniamo le nostre informazioni e perché rimangono consapevolmente presso la fonte, leggete questo sulla pagina da dove proviene l'informazione.
Se e come queste regole si applicano esattamente alla vostra azienda è qualcosa che fareste meglio a farvi valutare da un avvocato o, in caso di dubbio sul lato GDPR, potete chiedere all'Autorità garante per la protezione dei dati personali. Se volete prima farvi un'idea della vostra situazione, potete eseguire gratuitamente la scansione rapida gratuita o leggere gli argomenti della banca dati di conoscenza.