Nell’ambito del progetto SPE[1] – Support Pool of Experts – l’EDPB ha diffuso due documenti formativi dedicati al tema dell’intelligenza artificiale e della tutela dei dati personali, con l’obiettivo di contribuire a sviluppare le competenze necessarie e favorire un linguaggio comune trasversale tra le diverse categorie di esperti che dovranno interagire nell’implementazione, promuovendo così un contesto più favorevole all’attuazione del GDPR.
Indice degli argomenti
L’obiettivo strategico del progetto Edpb
Rafforzare una cultura comune per l’applicazione e l’efficacia della cooperazione rappresenta uno dei pilastri sui quali si fonda la strategia dell’EDPB per il periodo 2024-2027 strumentale all’esigenza di promuovere ed assicurare l’applicazione effettiva e coerente del GDPR in tutti i paesi dell’Unione.
Vediamo insieme i due Documenti che forniscono materiale formativo su intelligenza artificiale e tutela dei dati personali in maniera sinergica e strumentale all’uso dell’IA nel rispetto dei principi del GDPR. Il materiale è sicuramente utile e di interesse e fornisce strumenti utili all’impostazione di un corretto e coerente piano formativo all’interno di ogni organizzazione.
Law & Compliance in AI Security & Data Protection: il percorso giuridico per DPO ed esperti legali
Il primo documento, completato dall’esperto esterno Marco Almada a dicembre 2024 e prevalentemente rivolto a figure con un profilo giuridico, costituisce un supporto ai DPO e ai professionisti della protezione dei dati nell’approccio all’intelligenza artificiale. Offre una panoramica delle varie fasi del ciclo di vita delle applicazioni, identificando criticità e potenziali risposte con l’obiettivo di comprendere se e come l’organizzazione deve procedere nell’ implementare l’intelligenza artificiale in maniera sicura e in conformità con i requisiti in materia di protezione dei dati.
L’obiettivo è offrire una preparazione approfondita sugli aspetti normativi e di conformità legati alla sicurezza dell’intelligenza artificiale e alla protezione dei dati personali, attraverso l’analisi di casi pratici focalizzati principalmente sul GDPR, sull’AI Act, sul Data Act e su altre normative europee correlate.
Durata e struttura
Il corso (circa 15 ore di formazione) presuppone sicuramente la conoscenza dei principi e dei concetti fondamentali del GDPR (dati per scontati), ma non richiede esperienza relativamente agli aspetti tecnici. Vuole infatti fornirne la conoscenza (lasciando ai discenti la curiosità di approfondire) di quei concetti necessari per comprendere le diverse problematiche trattate e soprattutto fornire il linguaggio necessario per una comunicazione efficace con gli sviluppatori di software e altri esperti più tecnici.
È suddiviso in tre moduli:
- concetti di base dell’IA e questioni giuridiche associate alla protezione dei dati;
- rischi che si verificano nelle varie fasi del ciclo di vita di uno strumento basato sull’IA, dalla decisione iniziale di utilizzare tale tecnologia fino alla fine del suo funzionamento;
- trattamento approfondito di argomenti selezionati, fondamentali per le organizzazioni che intendono utilizzare sistemi di IA in conformità con i requisiti della normativa sulla protezione dei dati.
Il primo modulo
Distinto in tre parti, suddiviso in unità organicamente organizzate con una introduzione, tre sessioni e una conclusione per consentire una efficace comprensione dei concetti che termina con esercitazioni pratiche. La prima parte introduce ai concetti fondamentali dell’IA e alle problematiche che sollevano per la normativa sulla protezione dei dati. La seconda parte discute i rischi che si verificano nelle varie fasi del ciclo di vita di uno strumento basato sull’IA, dalla decisione iniziale di utilizzare tale tecnologia fino alla fine del suo funzionamento. Infine, la terza parte offre un approfondimento di argomenti selezionati che sono critici per le organizzazioni che intendono utilizzare sistemi di intelligenza artificiale in conformità con i requisiti della normativa sulla protezione dei dati.
Il secondo modulo
Anche l’AI Act, come il GDPR, richiede un processo continuo di valutazione e aggiornamento delle misure e dei sistemi. L’articolo 9 della legge sull’intelligenza artificiale impone ai fornitori di sistemi di intelligenza artificiale ad alto rischio di gestire i rischi durante l’intero ciclo di vita di un sistema di intelligenza artificiale, in particolare garantendo che il sistema mantenga livelli adeguati di accuratezza, sicurezza informatica e robustezza. Il secondo modulo, distinto in 4 unità, distingue le diverse fasi del ciclo di vita dell’IA ed identifica le specifiche problematiche e le decisioni tecniche ed organizzative che devono essere adottate in ogni fase per mitigare i rischi, anche in termini di sicurezza dei dati personali.
Il terzo modulo
Le cinque unità del modulo trattano questioni specifiche che si presentano con maggiore frequenza e che possano impattare su più di una fase del ciclo di vita, analizzandone la conformità rispetto alla normativa sulla protezione dei dati personali. Approfondisce temi quali la trasparenza, la responsabilità, la correttezza algoritmica, le metodologie di auditing, le valutazioni d’impatto e le misure per tutelare i diritti dei soggetti coinvolti.
Fundamentals of Secure AI Systems with Personal Data: approfondimenti su ai act e questioni trasversali
Il secondo documento, completato dall’esperto esterno dott. Enrico Glerean a dicembre 2024 (aggiornato ad aprile 2025), rappresenta un percorsodestinato a esperti già in possesso di un background tecnico-informatico, sviluppatori e operatori, per supportarli nella progettazione e realizzazione di sistemi avanzati basati sull’intelligenza artificiale e sull’uso dei dati, assicurando l’integrazione dei principi etici fondamentali e delle norme sulla protezione della privacy e dei dati personali. Oltre a migliorare le competenze tecniche si vuole favorire un linguaggio comune quale premessa per consentire alle diverse professionalità coinvolte (tecniche e giuridiche, ma non solo) di “lavorare insieme”, collaborare al fine di assicurare un corretto sviluppo dei sistemi di IA in un contesto di intersezione tra intelligenza artificiale, sicurezza informatica ed elaborazione dati conforme al GDPR.
Il percorso formativo è suddiviso in 5 moduli:
- terminologia di base dei sistemi di IA e del loro ciclo di vita;
- aspetti relativi alla privacy dei dati nel ciclo di vita dei sistemi di IA: raccolta dei dati, tecnologie per il miglioramento della privacy e, in generale, flussi di dati (personali) prima della messa in produzione del sistema;
- sviluppo del sistema di IA, tenendo conto delle buone pratiche di codifica, dei sandbox sicuri e dei test di sicurezza dei sistemi di IA in fase di sviluppo;
- implementazione di un sistema di IA, monitoraggio, sostenibilità e dismissione;
- liste di controllo (checklist) per l’auditing con una serie di casi d’uso e una panoramica più approfondita delle sfide tecnologiche, legali ed etiche nel settore.
L’EDPB, nel lanciare questi due progetti di formazione avviati su richiesta dell’Autorità ellenica, ha presentato una iniziativa innovativa che scaturisce proprio dalla vorticosa evoluzione dell’IA: i due Report, in collaborazione degli autori, saranno trasformati in una versione comunitaria modificabile per consentirne un loro aggiornamento e implementazione da parte di qualsiasi collaboratore esterno registrato. Il progetto pilota avrà la durata di un anno.
Con tali iniziative l’EDPB vuole affrontare “la grave carenza di competenze in materia di intelligenza artificiale e protezione dei dati”, considerata un ostacolo fondamentale all’utilizzo di un’intelligenza artificiale rispettosa della privacy nella convinzione che lo sviluppo di un’IA sicura nel rispetto dei dati personali vada oltre la conformità tecnica. Occorre un approccio multidisciplinare e uno sforzo collaborativo continuo che coinvolga sviluppatori, data scientist, team di sicurezza informatica, esperti legali e gli utenti finali di tali sistemi per ottenere sistemi di IA legali, ma soprattutto affidabili.
Note
[1] Il progetto SPE è stato sviluppato nell’ambito della strategia 2021-2023 dell’EDPB per aiutare le Autorità per la protezione dei dati ad aumentare la loro capacità di assicurare la conformità alle norme, sviluppando strumenti comuni e consentendo loro di accedere a un ampio bacino di esperti. Esperti selezionati dall’EDPB, con manifestazione di interesse suddivisi in aree di interesse (Support Pool of Experts), di cui si possono avvalere le autorità nazionali. I progetti sono coordinati dalle singole autorità di protezione dei dati o dal Comitato europeo per la protezione dei dati.
