La tutela della privacy e la garanzia della trasparenza ai tempi dell’intelligenza artificiale

Il 13 marzo 2024 è stato approvato dal Parlamento europeo l’AI Act, la prima legge mondiale sull’intelligenza artificiale. Principio cardine dell’AI Act è l’imprescindibilità del rigoroso rispetto dei diritti fondamentali dell’individuo. Conseguentemente, l’AI Act, la legge europea che regola il mondo dell’intelligenza artificiale, classifica l’AI in base al rischio per la sicurezza e i diritti delle persone in quattro tipologie: inaccettabile, alto, limitato e minimo.

Gli obblighi e le sanzioni variano a seconda del grado di rischio per i diritti e la volontà delle persone.

L’AI act vieta o comunque limita fortemente i sistemi di AI con rischio inaccettabile.

Per esemplificare, sono vietati i sistemi di intelligenza artificiale che intercettano e manipolano la volontà degli individui. Pensiamo allo scoring sociale che le autorità politiche possono attivare sulla cittadinanza.

All’interno dell’area di rischio accettabile, il regolamento europeo alza il livello di guardia per i sistemi di AI con rischio elevato e impone ai fornitori obblighi rigorosissimi e agli utenti requisiti restrittivi.  Per capire, si parla del considerevole rischio di incidere negativamente sui diritti fondamentali o sulla sicurezza delle persone, come per esempio lo possono essere i sistemi di selezione per l’accesso all’erogazione dei servizi sociali o i sistemi che sorvegliano la sicurezza delle infrastrutture.

Definita l’area di rischio accettabile, la sfida più grande è garantire in concreto il rispetto dei principi sanciti dal GDPR, il regolamento generale europeo sulla protezione dei dati.

È la problematica relativa al diritto alla trasparenza definito dal GDPR, che in caso di intelligenza artificiale si concretizza nel diritto dell’utente di essere messo a conoscenza in modo trasparente di come il processo automatizzato elabori i suoi dati e perché prenda determinate decisioni.

Con riferimento alla tutela dei dati, che è l’ambito specifico di interesse dal punto di vista normativo, Il problema di difficile soluzione sta nel fatto che l’interessato il più delle volte non è in grado di capire la logica con la quale l’algoritmo del sistema di intelligenza artificiale processa i dati.

La maggior parte delle volte gli utenti non hanno le competenze né le capacità, neanche se gli venisse spiegato, per capire in che modo la logica che sta dietro l’algoritmo porterà al processamento dei dati e all’assunzione di una decisione che impatterà sui loro diritti, situazione questa che è in conflitto con i principi fondamentali della tutela dei dati del GDPR.

La stessa preoccupazione suscita la protezione dellaprivacy che i sistemi di IA sono chiamati a garantire. Come può l’individuo in concreto controllare il trattamento delle proprie informazioni e dei propri dati una volta inglobati in un sistema di intelligenza artificiale?

Inoltre, come definire con chiarezza le responsabilità dei singoli attori, così come richiede il GDPR? Il disegno che complessivamente emerge dall’architettura del regolamento sull’intelligenza artificiale colloca la responsabilità a carico degli operatori, però il punto che manca e che va sviluppato è la reale incisività delle informazioni che devono essere date agli interessati. Perché è chiaro che un’informazione di natura tecnica fornita tramite formula matematica su come l’algoritmo di base processa i dati non può realmente declinare la responsabilità di chi opera, se l’interessato non ha di fatto alcun tipo di consapevolezza di questi temi e di questi argomenti.

Bisogna lavorare seriamente per garantire all’individuo una visione di insieme rapida e chiara, quindi non tecnica ma sostanziale, sul modo di funzionamento degli algoritmi. Se così non fosse, la persona non sarebbe messa realmente in grado di conoscere e quindi di tutelarsi.