Intelligenza Artificiale e GDPR

Come impatteranno i nuovi sistemi di Intelligenza Artificiale sulle nostre vite e sul diritto alla privacy?

 

Il contesto degli ultimi anni in tema di innovazione e intelligenza artificiale

È il 18 Dicembre 2018 il giorno in cui un gruppo di cinquantadue esperti (il c.d. “High-level expert group on Artificial Intelligence”) pubblica, su incarico della Commissione Europea, la prima bozza delle Linee guida etiche per lo sviluppo e l’uso dell’Intelligenza Artificiale[1]. Il documento, che è stato definitivamente pubblicato nella versione finale a marzo 2019, si presenta sostanzialmente come un vero e proprio Codice etico; esso, dopo aver esplicitamente sottolineato l’importanza della tutela del ruolo e della dignità dell’essere umano, afferma che l’intelligenza artificiale non dovrà mai danneggiare l’umanità bensì tutelare la sicurezza dell’uomo ed operare in favore della realizzazione dell’autonomia di quest’ultimo.

Alla luce di tale premessa e sulla base di una generale consapevolezza secondo cui l’intelligenza artificiale costituisce, ormai da tempo, uno dei più grandi temi tecnologici oggetto di costanti e spinosi dibattiti nonché una delle più importanti sfide future per la nostra società, obiettivo del presente lavoro è descrivere i principali rapporti tra l’intelligenza artificiale (di seguito “IA”) e la spinosa questione della privacy[2], soprattutto alla luce del nuovo Regolamento europeo n. 679/2016 (comunemente noto come “GDPR”).

 

Uso pratico dell’intelligenza artificiale

Nonostante l’IA compia progressi importanti ogni giorno in diversi settori (dal retail ai trasporti, dal settore medico al finanziario, dalle ricerche su internet agli assistenti personali come Alexa e Siri), ancora oggi il termine “Intelligenza Artificiale” è polisenso al punto che non esiste una definizione univoca dello stesso.

Nata come disciplina scientifica nel 1956 (anno in cui si tenne al Dartmouth College nel New Hampshire il primo convengo dedicato allo sviluppo di macchine intelligenti[3]), l’IA è quella disciplina che racchiude le teorie e le tecniche pratiche per lo sviluppo di algoritmi che consentono alle macchine (in particolare ai ‘calcolatori’) di mostrare attività intelligente in specifici domini e ambiti applicativi.

In sostanza, con una serie combinata di algoritmi che vengono applicati alle c.d. “macchine intelligenti” e che ripetono attraverso loop e iterazioni un’azione più volte, apprendendo dagli errori e imparando sempre di più a compiere una determinata azione, l’IA cerca di riprodurre in modo artificiale l’intelligenza tipica dell’essere umano. Per tale ragione, e al di là dei dibattiti che dividono gli studiosi sul tema, l’IA può essere considerata come l’“automazione di comportamenti intelligenti”. Pertanto, si deduce facilmente come, alla base delle logiche dell’IA, ci sia la raccolta automatica o manuale di un enorme quantitativo di informazioni nonché di dati (personali e non), e ciò può essere fonte di molte preoccupazioni sia da parte di chi li possiede, sia di chi li fornisce. È proprio all’interno di questa cornice che si inserisce il GDPR, il nuovo Regolamento Europeo in tema di privacy, che alimenta l’attenzione su queste preoccupazioni e sulla necessità di garantire una giusta riservatezza nonché protezione dei dati trattati.

 

Problematiche

In realtà, il rischio di confondere l’IA con la robotica è proprio dietro l’angolo[4]. Ormai da quasi settant’anni ognuno di noi, in modo più o meno cosciente, vive in una società che fa un uso costante e sfrenato di macchine automatizzate. Ma la vera innovazione non è certamente l’automazione, tutt’altro. Con l’IA la vera innovazione risiede proprio nell’incrocio di macchine programmate che utilizzano un enorme quantitativo di dati (personali e non) e che assumono costantemente informazioni sulle persone. Grazie a tali informazioni, si possono trarre delle conseguenze in ordine alle modalità con cui la macchina può essere programmata per essere funzionale ed offrire pertanto servizi alle persone stesse.

È su questo punto che l’IA si incontra con il grande tema della protezione dei dati: quando dentro a tali processi vi è la raccolta/utilizzo di dati personali finalizzati a istruire macchine o a fare attività di “data analysis” per definire comportamenti che possono incidere sulle persone stesse. Il legislatore europeo del 2016, al momento della stesura del GDPR, ha compreso pienamente il potenziale dell’IA tanto da prevedere un intero articolo, ovvero l’art. 22, dedicato pienamente al processo decisionale automatizzato. Il primo paragrafo della disposizione in commento enuncia come principio generale il divieto di prendere decisioni completamente automatizzate che possano produrre effetti giuridici sugli interessati o, comunque, che in modo analogo possano incidere significativamente su di loro.

Mentre il secondo paragrafo elenca le tre eccezioni, e dunque il divieto sopramenzionato non si applica se:

• la decisione automatizzata è necessaria per concludere/eseguire un contratto,
• se è stata autorizzata dal diritto dell’UE o da uno Stato membro o
• quando vi è il consenso esplicito dell’interessato.

 

Ma vi è di più. Il legislatore europeo, in presenza di trattamenti automatizzati, prevede altresì un rafforzamento di quel generale principio del “right to be informed”, ovvero del diritto dell’interessato di ricevere un’informativa dettagliata.

L’articolo 13, par. 2, lett. f) del GDPR chiarisce che, per garantire un trattamento corretto e trasparente, il Titolare del trattamento, oltre ai contenuti essenziali dell’informativa, deve mettere a conoscenza l’interessato dell’esistenza di un processo decisionale automatizzato, compresa la profilazione, e fornire allo stesso informazioni sulla logica utilizzata nonché sull’importanza e sulle conseguenze previste.

 

Il delicato equilibrio tra privacy e IA

Negli ultimi due decenni la nostra società digitale ha sviluppato strumenti e macchine intelligenti che promettono alle imprese, detentrici di un’enorme quantità di dati, un salto di qualità nella gestione del proprio business. I

noltre, secondo delle recenti statistiche si stima che entro la fine del 2020 il mercato dell’IA supererà i 40 miliardi di dollari[5]. Ovviamente la strada da percorrere è ancora tanta e faticosa, soprattutto lato privacy; basti pensare al fatto che il GDPR è un Regolamento fondamentalmente giovane diventato pienamente applicabile da soli due anni e che, se relazionato con il grande tema dell’IA, fa sorgere alcune domande. Cosa succede, infatti, in caso di errore da parte delle macchine intelligenti? Come viene regolamentata la responsabilità?

Queste ovviamente sono tutte domande aperte che testimoniano le grandi falle del sistema e che rappresentano l’emblema di una società che possiede più interrogativi che risposte. Solo a titolo esemplificativo, nell’agosto 2018 in Germania un cliente che aveva acquistato da Amazon il recente smart speaker Alexa ha contatto l’omonima società per poter disporre di tutti i suoi dati, ma ciò che si è visto recapitare sono stati 1700 file di un altro utente anch’egli in attesa delle sue registrazioni. Un errore accidentale o una scarsa attenzione alla predisposizione di sistemi i quali, come ci insegna il GDPR, dovrebbero essere improntati fin dalla progettazione ai principi della “privacy by design” e “privacy by default” nonché a tutte le misure di sicurezza necessarie?

In una società dove i cittadini hanno una scarsa consapevolezza del valore economico dei dati, definiti da alcuni come “il petrolio della nuova economia digitale[6]”, e in cui vi è da parte degli stessi una fornitura felice ed inconsapevole delle proprie informazioni, proteggere la legittimità dei trattamenti dei dati diventa la prima barriera ai dati stessi. È proprio su quest’ultimo punto che l’IA dovrà lavorare, pur sempre rispettando i principi in materia di privacy (quali ad esempio quello di accountability e security) che il GDPR ha appositamente disegnato in un’ottica di armoniosa convivenza in tutti i settori della futura società “intelligente”.