AI e protezione dei dati

Il GDPR si applica pienamente

Quando un sistema di AI tratta dati personali — nei dati di addestramento, nei prompt, negli output o nei log — si applicano tutti i principi del GDPR. Il parere 28/2024 del Comitato europeo per la protezione dei dati ha confermato che il legittimo interesse può sostenere lo sviluppo e l’impiego di modelli di AI solo dopo una verifica documentata in tre fasi, e che un modello addestrato su dati personali non è automaticamente anonimo. Limitazione della finalità, minimizzazione, esattezza e trasparenza richiedono particolare attenzione, perché i modelli possono memorizzare e riprodurre dati e generare informazioni inesatte sulle persone.

Che cosa verifica il RPD

• Base giuridica e finalità di ogni uso dell’AI, compreso qualsiasi riutilizzo dei dati per l’addestramento.
• Una DPIA quando l’uso dell’AI può presentare un rischio elevato: nuove tecnologie, profilazione e monitoraggio dei dipendenti sono fattori frequenti.
• Le condizioni del fornitore: se prompt e output sono conservati, usati per addestrare modelli o trasferiti fuori dallo SEE.
• Trasparenza e diritti: informare le persone dell’uso dell’AI e gestire le richieste di accesso, rettifica e opposizione relative agli output.
• Le garanzie dell’articolo 22 quando le decisioni sono unicamente automatizzate e significative.

Il ruolo dell’AI Act

L’AI Act disciplina i sistemi di AI in base al rischio e al ruolo. I fornitori immettono i sistemi sul mercato; i deployer li utilizzano sotto la propria autorità. Alcune pratiche sono vietate dal 2 febbraio 2025, tra cui il riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione (con eccezioni limitate) e il social scoring. Gli obblighi di trasparenza dell’articolo 50 si applicano dal 2 agosto 2026, e quelli per i sistemi ad alto rischio seguono secondo il calendario modificato dall’Omnibus del 2026. Alcuni deployer di AI ad alto rischio devono svolgere una valutazione d’impatto sui diritti fondamentali, che può basarsi sulla DPIA. L’AI Act non sostituisce il GDPR: si applicano entrambi.