Dal 2 agosto entra in una nuova fase l’applicazione del regolamento europeo sull’intelligenza artificiale, con l’attribuzione di poteri sanzionatori all’AI Office e alle autorità nazionali competenti. Per le aziende non sarà più sufficiente affrontare separatamente la gestione dei cookie, gli adempimenti previsti dal Gdpr e l’impiego di software basati sull’intelligenza artificiale. Il cambiamento più rilevante riguarda proprio il superamento della tradizionale organizzazione “a silos” della conformità digitale. I dati raccolti attraverso siti web, piattaforme, moduli, chatbot e strumenti di tracciamento possono infatti essere utilizzati anche per alimentare sistemi di profilazione, modelli predittivi o applicazioni automatizzate. Di conseguenza, la governance della privacy e quella dell’intelligenza artificiale devono diventare parti di un unico sistema. A richiamare l’attenzione sulle nuove responsabilità è il team legale di Iubenda, ecosistema europeo dedicato alla conformità digitale, fondato a Milano nel 2011, che evidenzia la necessità di integrare gli obblighi dell’AI Act con quelli già previsti dal Gdpr e dalla disciplina ePrivacy.
AI Act e Gdpr, perché le aziende non possono più lavorare per compartimenti stagni
Per anni molte organizzazioni hanno affidato la gestione dei cookie e dei pixel di tracciamento a un reparto, le informative e i moduli di consenso a un altro, mentre l’introduzione di software di intelligenza artificiale è spesso rimasta nelle mani dei team informatici. In alcuni casi, questi strumenti vengono adottati senza un pieno coinvolgimento degli uffici legali e delle funzioni incaricate della protezione dei dati. Una situazione che può favorire la diffusione della cosiddetta Shadow AI, vale a dire l’utilizzo di sistemi di intelligenza artificiale all’interno delle aziende senza una mappatura centralizzata, senza procedure condivise e talvolta senza che i responsabili legali o della compliance ne siano pienamente informati. “Fino ad oggi, troppe aziende hanno trattato la protezione dei dati come compartimenti stagni: i cookie e i pixel di tracciamento da una parte (ePrivacy), i moduli di consenso e le informative dall’altra (Gdpr), e l’adozione di software basati su intelligenza artificiale gestita dai team it, spesso all’insaputa del dipartimento legale (Shadow AI). L’Ai Act frantuma queste barriere. Non esiste AI senza dati, e non esiste governance dei dati che possa prescindere dall’uso che gli algoritmi ne fanno. Pensare di mappare i sistemi di tracciamento web ignorando come quei dati alimentino modelli predittivi o di profilazione automatizzata significa esporsi a sanzioni senza precedenti: dal 2 agosto l’AI office e le autorità nazionali acquisiscono il potere di sanzionare. La compliance deve diventare un ecosistema fluido”. Il punto centrale è rappresentato dal legame ormai strutturale tra raccolta dei dati, finalità del trattamento e utilizzo dei sistemi algoritmici. Un’azienda può avere correttamente censito i cookie presenti su un sito, ma potrebbe comunque trovarsi esposta se non è in grado di ricostruire il percorso successivo delle informazioni raccolte e l’eventuale utilizzo all’interno di strumenti di AI.
Lo stesso dato può essere sottoposto a regole differenti
L’entrata in applicazione delle nuove disposizioni non sostituisce il Gdpr e non elimina gli obblighi già esistenti in materia di privacy. L’AI Act e il regolamento europeo sulla protezione dei dati operano su piani diversi, pur incontrandosi quando un sistema di intelligenza artificiale utilizza dati personali. L’AI Act concentra l’attenzione sulle caratteristiche e sulle funzioni del sistema. Diventano quindi rilevanti aspetti come l’interazione con le persone, la generazione di contenuti, la profilazione automatizzata e le modalità con cui vengono prodotte decisioni o risultati. Il Gdpr, invece, continua a disciplinare le finalità per cui i dati vengono raccolti, la base giuridica utilizzata, la trasparenza nei confronti dell’interessato e la compatibilità tra il trattamento originario e gli eventuali utilizzi successivi.
Secondo Iubenda “lo stesso dato oggi risponde a due domande diverse. L’AI Act chiede cosa fa il vostro sistema: se interagisce con le persone o genera contenuti, dovete dirlo. Il Gdpr chiede cosa fate voi con quei dati: se un consenso raccolto per un tracciamento lineare finisce ad alimentare profilazione predittiva, la finalità originaria non copre più il trattamento. Sono due regimi distinti, e non si soddisfano con lo stesso adempimento. Le aziende dovranno essere in grado di spiegare non solo quali dati raccolgono, ma anche quando un sistema di intelligenza artificiale è coinvolto e con quali logiche elabora quei dati”. Il consenso acquisito per un determinato utilizzo, dunque, non può essere automaticamente esteso a qualsiasi successiva elaborazione. Se un’informazione raccolta per finalità di analisi lineare viene impiegata per sviluppare previsioni sul comportamento degli utenti o per creare profili automatizzati, l’azienda deve verificare se la finalità iniziale sia ancora adeguata e se le informative descrivano correttamente il trattamento.
Dal 2 agosto nuovi poteri di controllo e rischio sanzioni
La data del 2 agosto assume un’importanza particolare perché segna l’avvio di una fase in cui l’AI Office e le autorità nazionali potranno intervenire anche sul piano sanzionatorio. Le imprese sono quindi chiamate a verificare non soltanto l’esistenza di informative, registri e procedure, ma anche la loro effettiva corrispondenza con gli strumenti utilizzati quotidianamente. Il rischio non riguarda esclusivamente le grandi piattaforme tecnologiche o le aziende che sviluppano direttamente modelli di intelligenza artificiale. Anche organizzazioni di dimensioni più contenute possono utilizzare chatbot per l’assistenza clienti, programmi di produttività dotati di funzioni generative, software di selezione del personale, strumenti di marketing automatizzato o applicazioni capaci di classificare e analizzare gli utenti. La diffusione dell’intelligenza artificiale all’interno dei normali strumenti di lavoro rende più difficile distinguere tra software tradizionali e sistemi sottoposti agli obblighi della nuova normativa. Per questo motivo, la prima esigenza è conoscere con precisione quali tecnologie siano effettivamente presenti nell’organizzazione.
Trasparenza e privacy-by-design nei servizi digitali
L’integrazione tra AI Act e Gdpr passa anche attraverso il principio della privacy-by-design, che impone di considerare la protezione dei dati fin dalla progettazione di un servizio o di un prodotto digitale. Ogni punto di contatto con l’utente, dal sito web ai moduli online, dai chatbot alle piattaforme di assistenza, dovrebbe essere progettato rendendo comprensibile l’eventuale coinvolgimento di un sistema di intelligenza artificiale. La trasparenza non deve quindi limitarsi alla presenza di un’informativa, ma deve tradursi in comunicazioni chiare sulle modalità di utilizzo dei dati e sulle logiche generali dell’elaborazione. Un sistema costruito secondo questi principi può ridurre il rischio di contestazioni e limitare l’utilizzo di dark pattern, cioè interfacce o percorsi digitali concepiti per orientare in modo poco trasparente le scelte degli utenti. La possibilità di esercitare un controllo consapevole sui propri dati può inoltre rafforzare il valore del consenso. Quando l’utente comprende perché un dato viene richiesto, come verrà utilizzato e se sarà elaborato da un sistema automatizzato, aumenta la qualità della relazione digitale e diminuisce il rischio che il consenso venga considerato incompleto o non sufficientemente informato.
Il rinvio degli obblighi sui sistemi ad alto rischio
Nel percorso di applicazione dell’AI Act, alcuni obblighi relativi ai sistemi classificati come ad alto rischio sono stati rinviati. Si tratta degli adempimenti più complessi e onerosi, che richiedono procedure strutturate di gestione del rischio, documentazione tecnica, controlli e sistemi di monitoraggio. Il rinvio concede quindi più tempo alle aziende interessate da queste categorie, ma non elimina la scadenza del 2 agosto per gli obblighi che possono coinvolgere una platea molto più ampia di operatori economici. Secondo gli esperti “il rinvio degli obblighi sull’alto rischio dà respiro su ciò che è più oneroso da implementare, ma non sposta la scadenza che riguarda la maggior parte delle aziende. Il conto alla rovescia verso il 2 agosto non deve spaventare. Le regole europee non nascono per soffocare l’innovazione, ma per renderla sostenibile e scalabile nel tempo. Abbandonare la logica dei ‘silos’ per abbracciare una compliance integrata e continua è la chiave per costruire una fiducia digitale autentica con i propri utenti. E nel mercato di oggi, la fiducia è il vantaggio competitivo più grande che un’azienda possa desiderare”.
Dalla conformità formale a una gestione integrata dei dati
L’applicazione dell’AI Act segna quindi il passaggio da una conformità basata su documenti separati a una gestione integrata dell’intero ciclo di vita dei dati. Cookie, pixel, consensi, informative, chatbot, programmi generativi e sistemi predittivi non possono più essere considerati elementi indipendenti. Per le aziende diventa essenziale conoscere gli strumenti utilizzati, individuare i flussi informativi e verificare in che modo i dati personali entrino nei processi automatizzati. L’attenzione dovrà concentrarsi anche sui software adottati quotidianamente dai dipendenti, perché proprio gli strumenti apparentemente più comuni possono includere funzioni di intelligenza artificiale non ancora censite. La sfida non riguarda soltanto la prevenzione delle sanzioni. Una governance trasparente e aggiornata può diventare un elemento di affidabilità nei rapporti con clienti, utenti e partner commerciali. Nel nuovo quadro europeo, la fiducia digitale assume così un valore strategico, trasformando la conformità normativa da obbligo formale a componente della competitività aziendale.
Vuoi ricevere le notifiche sulle nostre notizie più importanti?