intelligenza artificiale

Scorza: “AI, è ora di difendere i nostri dati dalla raccolta massiva: ecco come”



Indirizzo copiato

La raccolta massiva di dati personali per l’addestramento degli algoritmi di intelligenza artificiale solleva gravi questioni etiche, giuridiche e geopolitiche. La trasformazione dei dati in asset commerciali arricchisce pochi, consolidando oligopoli di mercato e aumentando la dipendenza geopolitica. È urgente un dibattito per trovare soluzioni sostenibili eque e legittime

Pubblicato il 28 giu 2024

Guido Scorza

Autorità Garante Privacy



algoritmi big data

Nella celeberrima tragedia dei beni comuni, risorse comuni formano oggetto di sfruttamento egoistico e sproporzionato da parte di taluno con conseguenze gravissime per tutti in termini di sostenibilità economica e sociale.

Il sospetto è che, nell’indifferenza dei più, stia andando in scena una tragedia ancora più grave e dalle conseguenze più rovinose per l’intera società che si potrebbe definire tragedia dei beni privati o, forse, meglio dei beni personali, a cominciare proprio dai dati personali.

Pochi – e, anzi, forse, bisognerebbe dire pochissimi – ormai da qualche anno stanno pescando a strascico quantità enormi di dati personali di miliardi di persone per utilizzarli al fine di addestrare i propri algoritmi di intelligenza artificiale da porre a base di una serie di servizi da offrire poi in uso alla collettività nell’ambito dei più diversi modelli di business.

La conversione dei dati in asset commerciali: i rischi per il diritto alla privacy

Nella sostanza, dunque, quello che sta accadendo è che elementi rappresentativi di un diritto fondamentale come il diritto alla privacy, nelle grandi fabbriche globali di intelligenza artificiale, sono convertiti in asset commerciali e tecnologici che, almeno nel breve periodo, arricchiscono pochissimi in danno di moltissimi, consolidando oligopoli di mercato già divenuti difficilmente contendibili e ponendo i Paesi nei quali questi oligopoli sono stabiliti in una condizione di straordinaria potenza nella dimensione geopolitica e tutti gli altri in una posizione di egualmente straordinaria dipendenza geopolitica.

Vale la pena lasciare a economisti e studiosi di geopolitica l’analisi dell’impatto di questa nuova tragedia nelle dimensioni di loro competenza e, con particolare riferimento alle cose dell’economia, il tentativo di rispondere a una delle domande, forse, più importanti di tutte: quanto equamente saranno distribuite le innegabili opportunità e gli indiscutibili benefici che le soluzioni di intelligenza artificiale in questione offrono e offriranno alla società e, soprattutto, quanto è probabile che ciascun singolo, spogliato di un bene tanto prezioso, che gli appartiene, come i propri dati personali – e, peraltro, non pacificamente considerato un bene giuridico-economico suscettibile di stare sul mercato – abbia un ritorno pari al sacrificio sofferto?

La sostenibilità giuridica dell’attuale modello di addestramento dell’IA

Qui, invece, si può forse provare, in maniera meno ambiziosa, a limitarsi a valutare la sostenibilità giuridica di quanto sta accadendo e esplorare se e cosa si possa fare per governare il fenomeno.

Il punto di partenza credo debba essere questo: la circostanza che i dati personali di miliardi di persone siano pubblicati online e, quindi, tecnologicamente accessibili a chiunque non ne modifica la natura, non li sottrae all’ambito di applicazione della disciplina in materia di privacy e non li rende, quindi, indiscriminatamente utilizzabili da chiunque per qualunque finalità.

Il web non può essere un “alla you can eat” di dati personali

Il web, insomma – a dispetto di ciò che la dimensione esclusivamente tecnologica potrebbe suggerire – non è, e forse non dovremmo lasciare diventi, un ristorante all you can eat di dati personali nel quale pochi avventori danarosi e tecnologicamente capaci possono gratuitamente fare indigestione di dati personali per soddisfare appetiti, almeno in prima battuta, egoistici.

Pubblicazione e controllo dei dati personali

I dati personali sono sempre pubblicati online per finalità specifiche e limitate, talvolta anche nella dimensione temporale, sempre e comunque – al netto di patologie – sotto il controllo degli interessati che, sui loro dati personali possono esercitare tutti i diritti loro riconosciuti dalla legge nei confronti dei titolari del trattamento che quei dati pubblicano.

Difficile descrivere in maniera puntuale questo scenario che, tuttavia, può essere tratteggiato attraverso pochi esempi: le pubbliche amministrazioni pubblicano quantità importanti di dati personali per esigenze, ad esempio, di trasparenza o di pubblicità-notizia, spesso per intervalli limitati di tempo espressamente previsti dalla legge, i giornali fanno altrettanto esercitando il diritto di cronaca che, in presenza di un interesse pubblico, comprime il diritto alla privacy del singolo – peraltro, anche in questo caso, non senza che il tempo abbia un suo peso nella durata legittima della pubblicazione o, almeno, nella determinazione delle condizioni di accessibilità del contenuto in ossequi al diritto all’oblio – e siti di annunci e socialnetwork pubblicano dati personali su richiesta degli stessi interessati o di terzi che, tuttavia, restano sempre liberi di cambiare idea e rivedere la loro scelta di condividere questa o quell’informazione che li riguardi.

I dati personali non sono beni liberamente sfruttabili nel web

Ma, naturalmente, il contesto è molto più complesso.

E, tuttavia, mai i dati personali possono considerarsi abbandonati alla deriva nella dimensione digitale e ridotti allo stato di res nullius o di bene comune liberamente sfruttabile da chiunque per qualsiasi finalità addirittura laddove la forma di sfruttamento prescelta rischi di compromettere un controllo effettivo dell’interessato sui propri dati personali e l’esercitabilità da parte di quest’ultimo dei diritti che, a tutela propria privacy e, quindi, della propria dignità, la legge, almeno in Europa, le o gli riconosce.

Questa regola generale soffre alcune limitate eccezioni, comunque disciplinate dalla legge, laddove il legislatore definisca, di pubblico interesse, un trattamento e, come tale, al ricorrere di certe condizioni e con taluni limiti, ne consideri lo svolgimento lecito a prescindere e, talvolta, persino contro, il diritto e la volontà del singolo cui i dati personali si riferiscono.

Tanto, tuttavia, non è avvenuto in relazione al fenomeno del quale ci stiamo occupando.

Perché si è scelto di non disciplinare la raccolta di dati per il training AI

Né il legislatore europeo nell’AI actche sarà pubblicato sulla Gazzetta Ufficiale dell’Unione europea il 12 luglio – né quello italiano, né, a quanto mi consta, quello di nessun altro Paese europeo, sin qui, ha proceduto in tal senso.

È circostanza, inutile girarci attorno, che lascia perplessi perché è difficile pensare che si possa disciplinare la progettazione, lo sviluppo e l’uso di soluzioni di intelligenza artificiale in un contesto nel quale, almeno, sussistono dubbi circa la fase di approvvigionamento delle “materie prime”.

È un po’ come se si fosse deciso di disciplinare la raffinazione e la distribuzione di petrolio, ignorando, tuttavia, la fase di perforazione e estrazione del greggio e omettendo di disciplinarla.

Eppure, non vi è dubbio alcuno – e, sul punto occorrerà tornare – che è pressoché impossibile sviluppare talune soluzioni di intelligenza artificiale in assenza di una raccolta massiccia di dati anche personali.

E, quindi, l’unica spiegazione della scelta di non disciplinare tale profilo – al netto dell’eventualità che la scelta sia dipesa dall’impossibilità di identificare una soluzione condivisa nei tempi serrati nei quali si è inteso intervenire a disciplinare la materia – è che si sia ritenuta la disciplina sulla protezione dei dati personali sufficiente a governare il fenomeno.

Personalmente ho qualche dubbio al riguardo ma su questo torno più avanti.

Le basi giuridiche teoricamente utili

In questa prospettiva, almeno osservando la fattispecie dalla prospettiva della disciplina europea, le basi giuridiche utili a consentire a chicchessia un trattamento di dati personali quale quello di cui si discute – raccolta massiva online di qualsiasi tipo di dato personale per qualsiasi finalità e da chiunque pubblicato – sembrano, almeno astrattamente, solo tre: la legge, il consenso e il legittimo interesse.

La prima deve essere subito esclusa giacché, come si è detto, non ci sono, allo stato, leggi che autorizzino questo genere di operazione di trattamento.

Fuor di teoria, la concreta possibilità di ricorrere, alla seconda, ovvero al consenso almeno laddove i dati personali oggetto di raccolta massiva a mezzo webscraping appartengono a una congerie indistinta e sconosciuta di interessati – come avviene quando si pesca a strascico nell’intero web – sembra da escludere perché, evidentemente, non si può chiedere un consenso a soggetti indeterminati e, almeno in una certa misura, indeterminabili.

Potrebbe essere diversa la questione – sulla quale, tuttavia, qui non mi soffermo – relativa all’eventualità, pure presente sul mercato, che taluno intenda trattare ai fini dell’addestramento degli algoritmi dati personali riconducibili a un numero chiuso di soggetti determinati perché, ad esempio, utenti di proprie properties digitali.

Il legittimo interesse come base giuridica per il webscraping strumentale all’addestramento degli algoritmi

L’unica base giuridica utile, almeno in astratto, a legittimare la raccolta massiva di dati personali dal web resta, dunque, il legittimo interesse.

E, qui, è, tuttavia, subito necessaria una precisazione non di poco conto.

Il legittimo interesse, infatti, come è noto non può in alcun caso rappresentare condizione legittimante il trattamento di dati personali di carattere particolare (salute, sesso, religione, politica ecc.).

Tanto più che, come è noto, l’articolo 9 del GDPR che, appunto, disciplina le basi giuridiche legittimanti il trattamento di dati particolari, identifica, al suo secondo comma, tali “basi giuridiche” quali eccezioni alla regola generale del primo comma, secondo la quale: “È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.”.

L’interpretazione della norma, qui, dunque, trattandosi di eccezione alla regola, deve necessariamente essere rigorosa e, anzi, restrittiva.

Non consta, tuttavia che, allo stato della tecnica, esistano soluzioni di webscraping selettivo, capaci cioè di limitare la raccolta ai soli dati personali comuni, escludendo ogni dato particolare.

In questo contesto è difficile ritenere che si possa considerare lecito un trattamento di dati personali anche particolari basato sul legittimo interesse.

E, però, a questo punto la domanda sorge spontanea: si può considerare utile allo svolgimento di un trattamento indistinto di dati personali comuni e particolari una base giuridica che non appare comunque idonea a legittimare almeno parte del trattamento?

Il precedente della decisione Costeja Gonzalez della Corte di Giustizia Ue

Lasciando la domanda, almeno per il momento, senza risposta sembra necessario ricordare che la Corte di Giustizia dell’Unione europea, nella famosa decisione Costeja Gonzalez, nel 2014, ritenne che l’analoga attività di webscraping posta in essere da Google ai fini dell’indicizzazione dei contenuti online potesse considerarsi lecita proprio sulla base del legittimo interesse ancorché, evidentemente, anche in quel caso, il gestore del motore di ricerca non distinguesse – come continua a non distinguere – i dati personali comuni e i dati particolari.

Insomma, pur non dedicando, neppure una riga alla questione, i Giudici della Corte di Giustizia, all’epoca, ammisero – salvo non pensare che non si posero affatto il problema – che implicitamente i dati particolari possono essere trattati sulla base del legittimo interesse.

Qui non è facile resistere alla tentazione di considerare almeno “affrettata” la decisione della Corte giacché, anche laddove i Giudici avessero effettivamente inteso pervenire a una conclusione di tale portata, verosimilmente, avrebbero affrontato in maniera esplicita la questione e avrebbero espressamente motivato la loro decisione.

Sebbene, dunque, quello del trattamento dei dati particolari appaia un ostacolo invalicabile all’idea che il legittimo interesse possa rappresentare una valida base giuridica per il webscraping finalizzato all’addestramento degli algoritmi, vale la pena proseguire il ragionamento e interrogarsi sulla possibilità che, almeno, possa esserlo in relazione ai dati comuni.

Norme e considerazioni lineari

Vale la pena partire dalle norme.

A venire in rilievo sono, come è noto, la lettera f) del comma 1 dell’art. 6 e il considerando 47 del GDPR.

La lettera f), dichiara lecito un trattamento quanto “è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.”

Il considerando 47, dal canto suo, prevede che “I legittimi interessi di un titolare del trattamento, compresi quelli di un titolare del trattamento a cui i dati personali possono essere comunicati, o di terzi possono costituire una base giuridica del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato, tenuto conto delle ragionevoli aspettative nutrite dall’interessato in base alla sua relazione con il titolare del trattamento. Ad esempio, potrebbero sussistere tali legittimi interessi quando esista una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l’interessato è un cliente o è alle dipendenze del titolare del trattamento. In ogni caso, l’esistenza di legittimi interessi richiede un’attenta valutazione anche in merito all’eventualità che l’interessato, al momento e nell’ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine. Gli interessi e i diritti fondamentali dell’interessato potrebbero in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un ulteriore trattamento dei dati personali.”.

Senza voler semplificare eccessivamente valutazioni che sono inesorabilmente complesse ci sono, tuttavia, alcune considerazioni più lineari che sembrano capaci di guidare la ricerca di una prima possibile conclusione.

La prima è che non sembra lecito dubitare che raccogliere quantità anche importanti di dati anche personali – non di dati particolari per quanto si è detto – corrisponda certamente a un interesse legittimo delle fabbriche di intelligenza artificiale che, allo stato della tecnica, diversamente, non potrebbero addestrare i loro algoritmi e esercitare la loro libertà di impresa e, forse, potrebbe anche aggiungersi, in questa valutazione, che nonostante l’imperfezione con la quale i benefici e le opportunità generati dall’intelligenza artificiale sono destinati a essere condivisi con la società, sussiste anche un interesse, egualmente legittimo, della società nel suo complesso a che l’innovazione nell’ambito dell’intelligenza artificiale non sia rallentata e, dunque, a che i trattamenti in questione abbiano luogo.

La valutazione comparativa

E, tuttavia, ai fini del ricorso alla base giuridica del legittimo interesse, la sussistenza, appunto, di un legittimo interesse del titolare e/o di terzi non è sufficiente.

Questo impone di passare a una seconda considerazione.

Il considerando 47 così come il Parere del Gruppo articolo 29, poi fatto proprio dall’EDPB in materia di legittimo interesse, stressano due aspetti più di tanti altri: la circostanza che l’interessato possa attendersi o prevedere il trattamento e la circostanza, spesso strumentale proprio a contribuire alla prevedibilità del trattamento che tra interessato e titolare del trattamento esista un qualche rapporto.

Nel caso del webscraping finalizzato all’addestramento degli algoritmi, per un verso non sussiste alcuna relazione – almeno normalmente e anche qui con l’eccezione delle ipotesi nelle quali a essere trattati sono i dati degli utenti di una specifica piattaforma da parte del gestore della piattaforma – tra fabbriche degli algoritmi, titolari del trattamento e interessati e, per altro verso – e, in parte, di conseguenza – una semplicissima survey rivelerebbe, verosimilmente, che la stragrande maggioranza degli interessati non si aspetta in alcun modo che tali fabbriche trattino i propri dati personali per addestrare gli algoritmi.

La consapevolezza degli interessati

Molti di noi, d’altra parte, hanno impiegato anni per capire – ma, forse, bisognerebbe dire per scoprire – che qualcuno stava raccogliendo i nostri dati personali per addestrare gli algoritmi che oggi rappresentano il motore dei più popolari servizi basati sull’intelligenza artificiale.

E la stragande maggioranza della popolazione europea – ma altrettanto potrebbe dirsi per quella mondiale – ne è ancora oggi completamente all’oscuro.

Ma non basta.

Come è noto, prima di decidere di iniziare un trattamento basandolo sul legittimo interesse un titolare deve compiere una valutazione comparativa tra il proprio interesse e il sacrificio che, perseguendolo, produrrebbe per gli interessati e, naturalmente, in questo genere di valutazione, i casi d’uso e le finalità che caratterizzano il trattamento risultano determinanti.

E, tuttavia, molto spesso, gli algoritmi sono addestrati senza che siano stati messi a fuoco – e, forse, che possano essere messi a fuoco – casi d’uso e finalità specifici e determinati.

Uno stesso algoritmo, infatti, è verosimilmente destinato a essere usato nel corso della propria esistenza, per una pluralità di finalità e in una pluralità di contesti diversi e tali circostanze incidono irrimediabilmente sul livello di rischio e/o di compressione dei diritti e delle libertà degli interessati, rendendo difficile se non impossibile procedere alla predetta valutazione comparativa.

Sin qui, pertanto, l’applicazione delle regole vigenti alla questione che si sta affrontando sembra condurre a una conclusione quasi obbligata: il legittimo interesse, nella più parte dei casi, non dovrebbe poter costituire una base giuridica legittimante il trattamento di dati personali strumentale all’addestramento degli algoritmi.

Ma c’è di più.

Obblighi di informativa e diritto di opposizione

Il ricorso al legittimo interesse quale base giuridica per il trattamento dei dati personali, infatti, come è noto non solleva il titolare del trattamento dall’obbligo di fornire agli interessati un’idonea informativa e, soprattutto, gli impone di riconoscere agli interessati medesimi il diritto di opposizione.

Anche a voler, per un istante, dunque, considerare lecito il ricorso al legittimo interesse, occorrere poi verificare se e in che misura, nel contesto del quale stiamo parlando, il titolare del trattamento sia effettivamente in grado di adempiere a tali obblighi o, meglio ancora, vi stia adempiendo, considerato che questo genere di trattamenti è già diffuso da tempo.

In questa prospettiva di indagine è evidente che, normalmente – e ancora una volta con la sola eccezione in cui il novero degli interessati sia noto al titolare del trattamento e da questi raggiungibile con una comunicazione ad personam il titolare del trattamento non sarà in grado di raggiungere tutti gli interessati i cui dati sono destinati a essere raccolti ai fini dell’addestramento degli algoritmi attraverso webscraping con un’informativa avente le caratteristiche degli articoli 12 e 14 del GDPR.

Misure appropriate per tutelare i diritti

Al riguardo, tuttavia, sembra, forse, potersi invocare quanto disposto dal comma 5 dell’art.14 alla lettera b) ai sensi del quale l’informativa può essere omessa quando “comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato”.

E, tuttavia, ai sensi della medesima disposizione “In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni”.

Con riserva di tornare più avanti ad approfondire quali possano essere tali “misure appropriate”, per il momento, sul punto, sembra potersi dire che gli obblighi di cui agli articoli 12 e 14 non sembrano ostare in senso assoluto al ricorso al legittimo interesse quale base giuridica del trattamento di raccolta dei dati personali ai fini dell’addestramento degli algoritmi.

Riconoscibilità agli interessati del diritto di opposizione

Più complesso, al contrario, sembra il discorso relativo alla riconoscibilità agli interessati del diritto di opposizione.

Tutte le principali fabbriche di algoritmi, allo stato, sembrano riconoscerlo almeno formalmente.

Tuttavia, tale diritto sembrerebbe esercitabile esclusivamente in forma limitata rispetto a quanto previsto nel GDPR che, vale la pena ricordarlo, al riguardo, all’art. 21, dispone che “L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1,lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.”

Limiti tecnologici

In particolare, allo stato, l’interessato può semplicemente chiedere al titolare del trattamento di sottrarre al webscraping finalizzato all’addestramento degli algoritmi – sempre che ne venga a conoscenza prima dell’avvio dell’attività – di escludere dalla raccolta taluni specifici dati personali che deve esso stesso indicare al titolare del trattamento (es: nome e cognome, copdice fiscale, indirizzo mail ecc.) fornendoglieli mentre non è posto in condizione di opporsi al trattamento di tutti i propri dati personali comunque e ovunque raccolti per la finalità di addestramento degli algoritmi come, al contrario, sembra suggerire la lettura dell’art. 21 del GDPR.

Anche qui sembra fare eccezione a questa regola la parzialmente diversa ipotesi nella quale i dati destinati a essere trattati per l’addestramento degli algoritmi siano “solo” quelli che l’interessato condivide all’interno di una specifica piattaforma digitale.

E non basta perché, benché l’articolo 21, chiarisca che il diritto è esercitabile “in qualsiasi momento”, l’interessato, allo stato, qualora non eserciti tale diritto prima dell’inizio della raccolta dei dati (il che peraltro è ormai impossibile in relazione alla più parte dei titolari che hanno posto in essere questo genere di trattamento) sembra costretto a doversi poi accontentare che il titolare del trattamento escluda i propri dati personali – sempre nei limiti di quelli specificamente indicatigli e fornitigli dall’interessato – da eventuali output del servizio, non potendo, invece, ambire a un’effettiva cessazione del trattamento di ogni proprio dato personale.

L’uno e l’altro appaiono limiti imposti dallo stato della tecnologia.

Anche sotto tale profilo, pertanto, in un contesto di applicazione delle regole sembra doversi considerare difficile se non impossibile – salva sempre una valutazione indispensabile da compiersi caso per caso – considerare il legittimo interesse come una base giuridica utilizzabile per i trattamenti strumentali all’addestramento degli algoritmi.

L’impossibilità tecnologica di addestrare gli algoritmi dicendo no al legittimo interesse

Tali prime conclusioni, tuttavia, si scontrano, inesorabilmente, con una questione che non può essere trascurata: è opinione comune e diffusa quella secondo la quale qualora si escludesse l’eventualità di ricorrere al legittimo interesse per l’addestramento degli algoritmi, si bloccherebbe, inesorabilmente, ogni possibilità di procedere a tale attività di addestramento con una serie importanti di conseguenze sia in termini di sviluppo tecnologico, sia in termini di rappresentatività dei dati e delle informazioni europee in algoritmi eventualmente addestrati attraverso il webscraping di dati – ammesso che questa operazione di geoperimetrazione risultasse tecnologicamente fattibile – provenienti da Paesi altri.

Il bivio, insomma, non è di poco conto.

La scelta tra regole e sviluppo tecnologico

Da una parte la strada che esige il puntuale rispetto delle regole europee sulla protezione dei dati personali con il rischio di produrre le conseguenze accennate e dall’altra quella che suggerisce una interpretazione prossima alla disapplicazione – che è almeno lecito dubitare rientri nella discrezionalità delle autorità di protezione dei dati personali europee – di talune disposizioni importanti della citata disciplina europea al fine di non determinare brusche frenate nel processo di addestramento degli algoritmi, frenate che, peraltro, potrebbero produrre conseguenze anche su quanto sviluppato sin qui, giacché sarebbe almeno lecito dubitare della legittimità di una prosecuzione del trattamento di dati che si dovessero accertare come illecitamente raccolti e trattati.

Che fare?

È il momento di tornare a una delle questioni lasciate aperte più sopra, quella relativa alla circostanza che il legislatore europeo prima e quello nazionale poi abbiano ritenuto di disciplinare la materia senza intervenire su questi profili, forse, confidando nell’autosufficienza della disciplina europea in materia di protezione dei dati personali.

Tale giudizio non sembra corretto.

Davanti al bivio che si è rappresentato, probabilmente, non dovrebbero essere le autorità di protezione dei dati personali europee a decidere la strada da prendere perché si tratta di una scelta che sottende una decisione che trascende i loro poteri e che ha carattere politico.

I nodi politici da sciogliere

L’applicazione – per quanto evoluta e evolutiva delle norme – appare insufficiente.

I nodi da sciogliere sono politici.

Vogliamo, dobbiamo e possiamo – anche in termini di sostenibilità umana e democratica – qualificare il trattamento di dati personali necessari all’addestramento degli algoritmi come un interesse pubblico e dunque legittimarlo a prescindere e eventualmente anche contro la volontà del singolo interessato?

E se si, a quali condizioni?

Perché sembra abbastanza evidente che non ci si possa limitare a autorizzare un numero piuttosto ristretto – nei fatti – di soggetti privati a appropriarsi di dati personali di miliardi di persone – centinaia di milioni solo in Europa – per rafforzare le proprie tecnologie e le proprie posizioni di mercato senza porre dei limiti e delle condizioni a tale eventuale autorizzazione, limiti e condizioni almeno idonei a garantire che opportunità e benefici generati da questo sfruttamento massiccio di diritti personalissimi siano poi equamente distribuiti nella società e sui mercati.

E appare egualmente politica la decisione relativa alla possibilità di considerare legittima una condotta figlia sì di limiti legati allo stato della tecnologia, ma di uno stato della tecnologia unilateralmente determinato dai soggetti che oggi lo eccepiscono come ragione per la quale non potrebbero rispettare la disciplina vigente.

In altre parole, non c’è sul tavolo nessuna prova scientifica che suggerisca che distribuendo diversamente gli investimenti non si sarebbe potuti arrivare dove si è oggi progettando e disegnando tecnologie capaci di offrire analoghe opportunità senza necessariamente travolgere tanto prepotentemente diritti e libertà anche fondamentali.

Decidere di “ratificare” o, forse, meglio “condonare” quanto accaduto in nome del progresso tecnologico sembra, in effetti, una questione, ancora una volta, di natura politica nella quale, probabilmente, Autorità chiamate semplicemente a applicare delle regole, non dovrebbero entrare.

Il difficile ruolo delle Autorità per la protezione dei dati personali europee

C’è il rischio, insomma, ancora una volta che le Autorità per la protezione dei dati personali europee si ritrovino a giocare un ruolo di supplenza nel tentativo di risolvere questioni che avrebbero potuto e forse dovuto essere risolte dai legislatori.

Alla ricerca di una soluzione comunque imperfetta, se si ritenesse toccare alle autorità di protezione dei dati personali europee intervenire per prime o, più semplicemente se, come appare probabile, si trovassero costrette a farlo dagli eventi, probabilmente, si dovrebbe da una parte lavorare su quelle “misure adeguate” che l’articolo 14 del GDPR impone al titolare del trattamento impossibilitato a fornire agli interessati una reale informativa di adottare e dall’altra sulla possibilità di “aumentare” il diritto di opposizione oggi riconosciuto ai singoli interessati.

Sotto il primo profilo, forse, si potrebbe immaginare che le fabbriche degli algoritmi pongano in essere, in epoca anteriore all’inizio della raccolta dei dati personali finalizzata all’addestramento o al ri-addestramento campagne di comunicazione di rilievo e costi proporzionati agli investimenti messi in campo per progettare, sviluppare e potenziare i propri servizi allo scopo di raggiungere il maggior numero di interessati possibile.

Sotto il secondo profilo, si potrebbe ipotizzare che gli stessi titolari del trattamento debbano porsi almeno in condizione di filtrare, tanto in sede di webscraping che in sede di output del servizio basato sull’intelligenza artificiale, un insieme di dati personali più ampio rispetto ai soli dati personali specificatamente individuati dall’interessato, un insieme di dati tendente alla totalità dei dati dell’interessato.

Il traguardo non sembra tecnologicamente impossibile e, probabilmente, è solo questione di rendere il suo raggiungimento una priorità non inferiore rispetto a quella di arrivare primi sul mercato con nuove funzionalità sempre più performanti.

Ma sono, naturalmente, solo suggestioni alla ricerca, appunto di una soluzione imperfetta.

E, in questo contesto, forse, il meglio che si può fare è aprire un dibattito tra gli addetti ai lavori, raccogliere pareri e opinioni sebbene nei limiti del tempo a disposizione per governare un fenomeno sul quale, innegabilmente, siamo già in ritardo.

Conclusioni

Ecco questo contributo, scritto a titolo assolutamente personale, vorrebbe stimolare proprio questo dibattito perché è difficile immaginare una scelta con un impatto più rilevante sulla vita delle persone e sul futuro della società e, quindi, una scelta per assumere la quale conoscere il pensiero di studiosi, addetti ai lavori e stakeholder diversi possa essere più prezioso.

Speciale PNRR

Tutti
Incentivi
Salute digitale
Formazione
Analisi
Sostenibilità
PA
Sostemibilità
Sicurezza
Digital Economy
CODICE STARTUP
Imprenditoria femminile: come attingere ai fondi per le donne che fanno impresa
DECRETI
PNRR e Fascicolo Sanitario Elettronico: investimenti per oltre 600 milioni
IL DOCUMENTO
Competenze digitali, ecco il nuovo piano operativo nazionale
STRUMENTI
Da Istat e RGS gli indicatori per misurare la sostenibilità nel PNRR
STRATEGIE
PNRR – Piano nazionale di Ripresa e Resilienza: cos’è e novità
FONDI
Pnrr, ok della Ue alla seconda rata da 21 miliardi: focus su 5G e banda ultralarga
GREEN ENERGY
Energia pulita: Banca Sella finanzia i progetti green incentivati dal PNRR
TECNOLOGIA SOLIDALE
Due buone notizie digitali: 500 milioni per gli ITS e l’inizio dell’intranet veloce in scuole e ospedali
INNOVAZIONE
Competenze digitali e InPA cruciali per raggiungere gli obiettivi del Pnrr
STRATEGIE
PA digitale 2026, come gestire i fondi PNRR in 5 fasi: ecco la proposta
ANALISI
Value-based healthcare: le esperienze in Italia e il ruolo del PNRR
Strategie
Accordi per l’innovazione, per le imprese altri 250 milioni
Strategie
PNRR, opportunità e sfide per le smart city
Strategie
Brevetti, il Mise mette sul piatto 8,5 milioni
Strategie
PNRR e opere pubbliche, la grande sfida per i Comuni e perché bisogna pensare digitale
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr
CODICE STARTUP
Imprenditoria femminile: come attingere ai fondi per le donne che fanno impresa
DECRETI
PNRR e Fascicolo Sanitario Elettronico: investimenti per oltre 600 milioni
IL DOCUMENTO
Competenze digitali, ecco il nuovo piano operativo nazionale
STRUMENTI
Da Istat e RGS gli indicatori per misurare la sostenibilità nel PNRR
STRATEGIE
PNRR – Piano nazionale di Ripresa e Resilienza: cos’è e novità
FONDI
Pnrr, ok della Ue alla seconda rata da 21 miliardi: focus su 5G e banda ultralarga
GREEN ENERGY
Energia pulita: Banca Sella finanzia i progetti green incentivati dal PNRR
TECNOLOGIA SOLIDALE
Due buone notizie digitali: 500 milioni per gli ITS e l’inizio dell’intranet veloce in scuole e ospedali
INNOVAZIONE
Competenze digitali e InPA cruciali per raggiungere gli obiettivi del Pnrr
STRATEGIE
PA digitale 2026, come gestire i fondi PNRR in 5 fasi: ecco la proposta
ANALISI
Value-based healthcare: le esperienze in Italia e il ruolo del PNRR
Strategie
Accordi per l’innovazione, per le imprese altri 250 milioni
Strategie
PNRR, opportunità e sfide per le smart city
Strategie
Brevetti, il Mise mette sul piatto 8,5 milioni
Strategie
PNRR e opere pubbliche, la grande sfida per i Comuni e perché bisogna pensare digitale
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr

Articoli correlati

Articolo 1 di 4