Come si realizza una DPIA su un sistema di Intelligenza Artificiale? La guida dell’ICO
Lo scorso 19 giugno l’Information Commissioner’s Office (“ICO”), Autorità Garante inglese per la protezione dei dati, ha pubblicato la decisione sul caso “My AI”, il chatbot sviluppato da Snap Inc. per gli utenti di Snapchat.
Dal provvedimento dell’ICO si ricavano le aspettative delle Autorità di controllo in merito alla realizzazione di una Valutazione d’impatto sulla protezione dei dati (DPIA) conforme alla normativa inglese in materia di data protection (simile al GDPR), ma soprattutto indicazioni di dettaglio per lo sviluppo di DPIA relative a sistemi di Intelligenza Artificiale.
Le caratteristiche di My AI
My AI è un bot conversazionale (chatbot) alimentato dalla tecnologia c.d. “generative pre-trained transformer” (“GPT”) di OpenAI. La tecnologia GPT costituisce un insieme di sistemi algoritmici in grado di riconoscere, riassumere, tradurre, prevedere e generare contenuti utilizzando insiemi di dati molto grandi.
Il chatbot My AI, implementato per tutti gli utenti della piattaforma Snapchat dal 19 aprile 2023, consente di raccogliere informazioni personali, fra cui i dati biografici, la fascia d’età dell’utente, i dati di localizzazione, i metadati, i dati di interazione, le parole chiave estratte dalle query per mostrare gli annunci e i ricordi delle interazioni.
L’istruttoria dell’Autorità
Proprio in considerazione delle features incluse in My AI, del ricorso a sistemi di Intelligenza Artificiale generativa, dei molteplici ed eterogenei dati raccolti, della larga scala di soggetti coinvolti (fra cui minori di età compresa fra i 13 e i 17 anni), nonché del rischio per i diritti e le libertà degli utenti, la Commissione inglese per la protezione dei dati provvedeva, sin dalle prime interlocuzioni con Snap Inc., a richiedere alla stessa la condivisione della DPIA effettuata. Mediante un avviso di esecuzione preliminare (“Preliminary Enforcement Notice”) l’ICO rilevava alcune non conformità relative al mancato rispetto dell’articolo 35 del Regolamento generale sulla protezione dei dati del Regno Unito (assimilabile all’articolo 35 del GDPR europeo) in relazione al contenuto della DPIA, oltre alla violazione dell’articolo 36 dell’UK GDPR (assimilabile all’articolo 36 del GDPR europeo) per non aver consultato l’Autorità nonostante la rilevazione di un rischio elevato per le persone fisiche coinvolte.
In risposta all’avviso di esecuzione preliminare, il 3 novembre 2023 Snap Inc. presentava all’ICO le proprie osservazioni, poi integrate in data 11 dicembre 2023 e seguite da un’audizione orale il 14 dicembre 2023. Terminato lo scambio di informazioni con l’Autorità, la società californiana condivideva la DPIA, ormai giunta alla quinta revisione.
Una decisione significativa
In seguito all’analisi della quinta revisione della DPIA, l’ICO rilevava la complessiva conformità del documento, in quanto rivisto in modo tale da recepire le indicazioni dell’Autorità ed i requisiti normativi.
La decisione finale dell’ICO, recentemente pubblicata e disponibile qui, risulta particolarmente interessante proprio per via delle indicazioni e dei commenti dell’Autorità relativi agli step da seguire per la conduzione di una DPIA e alle informazioni di dettaglio da includere nella valutazione di impatto.
L’ICO, oltre a definire i requisiti di base per realizzare una DPIA conforme, ha manifestato alcune preoccupazioni relative ai trattamenti che coinvolgono l’uso di sistemi di Intelligenza Artificiale generativa ed utenti minori di età. Per prevenire forme di abuso digitale e tutelare gli interessati, l’Autorità ha ritenuto opportuno chiarire i requisiti minimi obbligatori per la realizzazione di DPIA relative ai sistemi di Intelligenza Artificiale.
I requisiti generali per una DPIA conforme
In merito ai requisiti di base richiesti per una DPIA conforme, l’ICO ha valutato, in particolare, l’applicazione dei criteri inclusi nell’allegato 2 alle linee guida del WP29 (wp248 rev.01) e dei sette step operativi elencati all’interno della pagina informativa intitolata “How do we do a DPIA?”, disponibile sul sito web dell’Autorità.
STEP 1: How do we decide whether to do a DPIA?
STEP 2: How do we describe the processing?
STEP 3: Do we need to consult individuals?
STEP 4: Do we need to consult anyone else?
STEP 5: How do we assess necessity and proportionality?
STEP 6: How do we identify and assess risks?
STEP 7: How do we identifying mitigating measures?
STEP 8: How do we conclude our DPIA?
Partendo da tali step, l’Autorità ha formulato osservazioni di dettaglio per la realizzazione di una DPIA relativa ai sistemi di Intelligenza Artificiale.
Requisiti specifici per realizzare una DPIA sull’IA
La quinta revisione della DPIA di Snap Inc. è stata giudicata conforme in quanto ha soddisfatto tutte le aspettative richieste dall’ICO.
In particolare, in merito alle operazioni di trattamento svolte, la DPIA revisionata:
- conteneva una ripartizione significativamente più dettagliata delle operazioni di trattamento condotte da Snap Inc.;
- suddivideva il trattamento in varie fasi ed elencava le categorie di dati personali trattati per ciascuna di queste;
- elencava tutti i soggetti che avevano accesso ai dati, sia esterni (per My AI, OpenAI e Microsoft), che interni, con una spiegazione di come sono stati decisi e gestiti i vari profili di accesso ai dati;
- includeva i periodi di conservazione dei dati per ciascuna categoria di dati trattati, oltre ai periodi stabiliti mediante i contratti con i responsabili del trattamento nominati;
- indicava chiaramente le statistiche dettagliate con il numero di utenti medi giornalieri e mensili nel Regno Unito, nell’UE e a livello globale;
- specificava tutte le categorie di interessati coinvolti;
- includeva le riflessioni più significative da prendere in considerazione sulle preoccupazioni che il sistema generava sull’opinione pubblica, tratte da approfondimenti, articoli di cronaca e altre risorse. Dall’analisi di tali riflessioni Snap Inc. ha rilevato come gli interessati si mostrassero più cauti nella condivisione di dati sensibili con My AI rispetto a quando si trovavano ad utilizzare sistemi come chat tradizionali o strumenti di ricerca.
In merito alla necessità e proporzionalità delle operazioni di trattamento rispetto alle finalità, la DPIA revisionata:
- includeva una comparazione fra My AI e gli strumenti utilizzati da Snap Inc. in precedenza per scopi simili. La comparazione valutava l’impatto del passaggio dalle tradizionali funzionalità di ricerca e di interrogazione online all’uso dell’Intelligenza Artificiale.
In merito alla liceità dei trattamenti, Snap Inc. ha fatto riferimento a molteplici basi giuridiche (consenso, necessità contrattuale e interessi legittimi). In questo caso l’ICO non si è espressa nel merito ma ha solo rilevato la presenza di tale indicazione nella DPIA.
A riguardo si segnala che, nel mese di maggio 2024, l’EDPB ha pubblicato il report realizzato in seguito alle investigazioni condotte dalla c.d. “Taskforce ChatGPT”. Il Comitato ha chiarito che la base giuridica va determinata in relazione alle diverse fasi di trattamento (dalla raccolta dei dati per l’addestramento dei sistemi di IA, alla generazione di uno specifico output) e che il ricorso all’interesse legittimo, ex art. 6 par. 1 lett. f) del GDPR, è possibile solo se in presenza di un accurato test di bilanciamento, il cui esito, però, può variare da caso a caso. Il dibattito sul tema è ancora in corso, con varie Autorità di controllo che stanno affrontando la questione (se ti interessa restare informato, clicca qui).
In merito alla valutazione dei rischi, la DPIA revisionata:
- conteneva una valutazione del rischio sufficientemente ampia da ricomprendere tutti i principali rischi rilevati (ad esempio, i rischi derivanti da risposte dell’AI basate su pregiudizi; da violazioni della sicurezza in caso di breach di dati particolari; dall’uso non autorizzato dei contenuti; dal fatto che i ragazzi tra i 13 e i 17 anni si possano sentire isolati o soli a causa dell’eccessivo affidamento all’Intelligenza Artificiale per il supporto emotivo; dalla preoccupazione degli utenti che l’Intelligenza Artificiale generica sia attiva quando in realtà non lo è; dalla sicurezza nel contesto dell’utilizzo dei dati di localizzazione; dal trattamento effettuato da terze parti; etc.);
- non si limitava ad abbinare ad uno specifico rischio la probabilità che lo stesso si verificasse, la gravità ed il punteggio finale, ma includeva un’analisi dettagliata degli elementi considerati e delle risultanze derivanti, con le azioni da porre in essere. Ad esempio, in relazione ai rischi derivanti dalla targhettizzazione pubblicitaria nei confronti dei giovani di età compresa tra i 13 e i 17 anni, Snap Inc. ha deciso di esibire, tramite My AI, esclusivamente annunci contestuali e non mirati.
In merito alle misure di mitigazione dei rischi rilevati, la DPIA revisionata:
- identificava chiaramente misure di mitigazione pertinenti al rischio identificato (senza basarsi su risposte standardizzate);
- includeva spiegazioni su come e in che misura sarebbero state efficaci;
- si focalizzava sulle azioni specifiche per mitigare i trattamenti relativi a dati di minori e prevedeva misure quali filtri per i contenuti in base all’età, avvisi “just-in-time” adattati a questa fascia d’età, controllo e sorveglianza da parte dei genitori sull’uso di My AI da parte degli adolescenti, oltre ad altre misure di mitigazione contro l’uso di My AI per lo svolgimento dei compiti a casa e per la stesura di saggi;
prevedeva l’introduzione di avvisi per gli utenti volti a sensibilizzare rispetto all’uso di My AI (in particolare, un avviso “just-in-time” che avvertiva gli utenti che la tecnologia era nuova e che non dovevano fornire informazioni riservate o sensibili).
Come si realizza una DPIA sull’IA?
Realizzare una DPIA relativa a sistemi di Intelligenza Artificiale può risultare un processo particolarmente complesso. Da un lato la difficoltà di spiegare il contesto, le logiche dietro gli algoritmi, la presenza di sistemi interconnessi e di molteplici stakeholder coinvolti nelle varie fasi; dall’altro lato la necessità di valutare i rischi per gli utenti interessati, che possono costituire una larga scala di soggetti, talvolta anche minori, e di introdurre misure di mitigazione pertinenti.
Per questo, in considerazione delle peculiarità che caratterizzano tutti i trattamenti svolti mediante sistemi di IA, è essenziale:
- seguire i rilievi e le indicazioni fornite dall’Autorità inglese mediante la decisione esaminata ed attraverso la pagina informativa sopra citata (“How do we do a DPIA”);
- seguire i criteri di cui alle linee guida del WP29 (wp248 rev.01);
- evitare l’utilizzo di modelli standardizzati di DPIA;
- differenziare la realizzazione delle DPIA più semplici da quelle che richiedono più tempo, in quanto devono soddisfare requisiti più esigenti;
- comprendere quali figure è opportuno coinvolgere;
- assicurarsi di spiegare la logica, le modalità di realizzazione ed i vari passaggi della valutazione del rischio condotta;
- evitare di fare riferimenti incrociati ad altre fonti senza chiare spiegazioni. Citare per intero i passaggi tratti dalle specifiche fonti esterne e/o dalle altre policy interne;
- assicurarsi di inserire, nella valutazione dei rischi le principali aree di preoccupazione e di impatto sugli interessati.
Se la tua azienda utilizza sistemi di Intelligenza Artificiale o ha intenzione di implementare processi basati sull’IA, scrivici. Il nostro Team interdisciplinare ti fornirà supporto nella valutazione degli adempimenti necessari e nella realizzazione di una DPIA conforme alle norme.
