"Gli autobus sono sempre complessi. Bisogna tenere in considerazione molte cose", riassume una alta fonte diplomatica nei corridoi della rotonda Schuman. Sul tavolo dei Ventisette continua uno dei principali riflessi della riforma della regolamentazione digitale comunitaria. Questo venerdì, un nuovo fascicolo di riforma del Regolamento Generale sulla Protezione dei Dati (RGPD) sarà sottoposto all'esame delle capitali con l'obiettivo di fornire maggiore sicurezza giuridica all'uso dei dati personali nei processi di sviluppo e addestramento dei sistemi di intelligenza artificiale.
Il team negoziale della Presidenza irlandese del Consiglio dell'Unione Europea arriva alla riunione sostenendo che la proposta che sarà discussa mira, precisamente, a fornire chiarezza giuridica al trattamento dei dati personali nel contesto dello sviluppo dell'IA, senza alterare il quadro generale di protezione stabilito dal RGPD.
Secondo quanto appreso da DEMÓCRATA, l'idea che l'Irlanda porterà in sala è che gli obblighi del Regolamento Generale sulla Protezione dei Dati rimangono, incluso uno dei suoi elementi centrali e più discussi: l'articolo 6, che stabilisce le basi giuridiche che consentono di trattare i dati personali in modo lecito.
Gli Stati membri hanno ricevuto l'ultimo progetto della proposta questo stesso lunedì e "si sta ancora studiando", spiegano fonti dell'Esecutivo spagnolo. Dublino sostiene che attualmente il RGPD non contiene una disposizione specifica sullo sviluppo di sistemi di intelligenza artificiale né su come affrontare giuridicamente determinate operazioni di trattamento dei dati legate a queste tecnologie.
L'Irlanda cerca di chiarire l'incertezza giuridica
La Presidenza irlandese non intende proporre, secondo la sua interpretazione della proposta, un allontanamento dagli obblighi e dalle salvaguardie previste per gli utenti. L'obiettivo dichiarato è introdurre un riferimento giuridico specifico che consenta di determinare in quali condizioni può essere utilizzata l'informazione personale durante il ciclo di sviluppo dei sistemi di IA.
Il testo permetterebbe il trattamento di dati personali per lo sviluppo e l'addestramento di questi sistemi "quando esiste un interesse legittimo", anche se questa possibilità sarebbe soggetta al resto dei requisiti stabiliti dal RGPD. La questione centrale passa, quindi, per determinare cosa significa esattamente quel "interesse legittimo" e fino a dove può essere utilizzato come base giuridica per alimentare sistemi di intelligenza artificiale.
Irlanda spiega che la proposta che ora si discute non modifica l'obbligo del responsabile del trattamento di selezionare una base giuridica appropriata per ogni operazione di trattamento conforme al RGPD. Quella base potrebbe essere, per esempio, il consenso dell'interessato, ma anche altre di quelle previste nel Regolamento, tra cui l'interesse legittimo.
Il team incaricato di elaborare la proposta sostiene che le misure appropriate, le salvaguardie e le protezioni dei diritti e delle libertà degli interessati continuerebbero ad essere applicabili. Il cambiamento cerca, quindi, di precisare come incastrare determinate operazioni legate all'IA all'interno del quadro giuridico esistente.
La Spagna mantiene una posizione più flessibile
La Spagna mantiene in questi dibattiti una posizione che le voci consultate definiscono come "più flessibile di altri Stati membri", anche se non si è ancora verificato un tentativo di elevare il documento al livello degli ambasciatori permanenti.
Fino ad ora, le discussioni si sono mantenute su una scala inferiore, all'interno del gruppo di lavoro corrispondente del Consiglio. Di fronte alle domande di DEMÓCRATA, il Governo ha evitato di valutare per il momento il contenuto dell'ultimo testo di compromesso. Il processo avanza inoltre in parallelo alle negoziazioni del Parlamento Europeo, che sta anche lavorando alla costruzione della propria posizione sulla riforma.
Il adeguamento del quadro giuridico applicabile al trattamento di dati personali nei servizi di intelligenza artificiale risponde a una richiesta degli Stati membri derivante dal noto "omnibus digitale", la riforma di parte della legislazione digitale europea che è entrata in vigore a luglio.
Quella modifica ha aperto la porta a una revisione più specifica di determinate questioni legate all'uso dei dati per lo sviluppo di sistemi di IA. La richiesta delle capitali si è tradotta ora in un testo di compromesso elaborato dalla Presidenza irlandese.
Questo tipo di documenti costituisce uno strumento abituale delle presidenze rotatorie per tentare di sbloccare fascicoli legislativi. Il testo di impegno sintetizza le diverse posizioni nazionali e tenta di avvicinarle verso una formula suscettibile di riunire il consenso dei Ventisette, anche se non costituisce ancora il risultato definitivo della negoziazione.
Il legittimo interesse, al centro del dibattito
La bozza ora in discussione chiarisce che l'uso di dati personali in strumenti di intelligenza artificiale dovrà essere supportato da una base giuridica valida conforme al RGPD e accompagnato da salvaguardie specifiche. La principale novità introdotta dall'Irlanda si trova proprio nella concretizzazione del legittimo interesse come una delle vie che potrebbero essere utilizzate per lo sviluppo e l'addestramento di sistemi di IA.
La Presidenza propone che si possa ricorrere al legittimo interesse del titolare del trattamento o di un terzo purché non prevalgano i diritti e le libertà fondamentali dell'interessato. Il testo presta particolare attenzione ai casi in cui i dati appartengono a minori, per i quali sono previste garanzie rafforzate.
Il consenso costituisce un'altra delle basi giuridiche rilevanti. La Presidenza irlandese propone di mantenere la sua piena validità quando sia espressamente richiesto da altre norme dell'Unione Europea o dalla legislazione nazionale applicabile, così come quando lo stesso titolare del trattamento decida di richiederlo. La terza via contemplata è il pubblico interesse, che potrebbe risultare applicabile al trattamento effettuato da autorità e organismi pubblici nell'esercizio delle loro competenze.
L'architettura proposta non elimina, quindi, le diverse basi giuridiche previste dal RGPD. Ciò che si intende è definire con maggiore precisione come possono operare in un ambiente tecnologico in cui il trattamento massivo di informazioni costituisce una parte essenziale dello sviluppo dei modelli di IA.
Minimizzazione, trasparenza e diritto di opposizione
Affinché un trattamento basato sul legittimo interesse possa essere considerato lecito durante il ciclo di vita di un sistema di IA, gli Stati membri discutono inoltre una serie di condizioni aggiuntive.
Una di esse passa per valutare se lo sviluppo del modello apporta benefici per gli utenti o per la società. Tra gli esempi che si gestiscono appaiono lo sviluppo di meccanismi destinati a rilevare ed eliminare bias discriminatori o il miglioramento della precisione e sicurezza dei risultati generati dai sistemi.
Le capitali studiano anche di rafforzare l'applicazione del principio di minimizzazione dei dati, in modo che questo venga preso in considerazione fin dalla fase di selezione delle fonti e durante le diverse fasi di addestramento e prova del modello.
La logica è che gli sviluppatori non possano trattare indiscriminatamente tutte le informazioni disponibili solo perché potrebbero risultare potenzialmente utili per addestrare un sistema. Il trattamento dovrà mantenere una relazione con l'obiettivo perseguito e rispettare le garanzie generali del RGPD.
A questo si aggiunge l'obbligo di fornire informazioni chiare agli interessati sull'uso dei loro dati personali per lo sviluppo di sistemi di IA. L'Irlanda ha inoltre proposto che gli utenti dispongano di una possibilità incondizionata di opporsi che i loro dati personali siano trattati per fini legati all'intelligenza artificiale.
Il testo propone inoltre che gli sviluppatori debbano rispettare le indicazioni e limitazioni tecniche incorporate in siti web o servizi per restringere l'uso di determinati dati da parte di terzi. Si tratta di introdurre nel processo di raccolta una considerazione specifica delle restrizioni che i titolari dei contenuti possono stabilire.
Il limite dei dati sensibili
Uno dei punti più delicati del fascicolo riguarda il trattamento di categorie speciali di dati personali, il cui utilizzo è soggetto a garanzie rafforzate dal quadro europeo di protezione dei dati. L'ultima proposta prevede che la presenza di questo tipo di informazioni in set di dati utilizzati per addestramento o validazione possa essere giustificata solo in modo eccezionale quando sia incidentale, non intenzionale e residuale.
Si tratta di informazioni particolarmente sensibili relative, tra le altre questioni, alla salute, alla religione, alle opinioni politiche o ai dati biometrici. Dublino propone che i responsabili del trattamento possano applicare tecniche destinate a evitare la raccolta di questo tipo di informazioni. Nel caso in cui, nonostante queste misure, vengano rilevati dati sensibili all'interno dei set utilizzati per lo sviluppo del sistema, il responsabile dovrà eliminarli senza indugi.
Novità in evidenza
Democratico entra nel dibattito del dilemma europeo sull'IA: regolare senza frenare l'innovazione
7 minuti
Il progetto prevede, tuttavia, una situazione particolarmente rilevante per gli sviluppatori: che l'eliminazione di queste informazioni risulti tecnicamente impossibile o richieda uno sforzo sproporzionato.
In tale ipotesi, non si imporrebbe necessariamente la distruzione del modello completo. Al suo posto, il responsabile dovrebbe bloccare e proteggere efficacemente i dati interessati per impedire che possano essere nuovamente trattati, utilizzati per inferire risultati o rivelati a terzi.
Questa questione risulta particolarmente rilevante perché introduce una distinzione tra il dato personale concreto e il proprio modello di IA. L'obiettivo è evitare che l'apparizione incidentale di informazioni sensibili obblighi automaticamente a scartare l'intero sistema sviluppato, purché esistano meccanismi efficaci per impedire che questi dati continuino a produrre effetti.
Un testo ancora aperto prima di arrivare a Coreper
Irlanda arriverà alla riunione del gruppo di lavoro di venerdì con questa proposta sotto braccio, dopo aver consultato precedentemente lo stato d'animo delle diverse capitali.
Gli Stati membri hanno ancora margine per opporsi a determinati elementi del testo o proporre nuove emendamenti. Il passo successivo dipenderà precisamente da quanto la Presidenza ritenga che esista una base sufficiente per elevare la discussione. Solo se si percepisce un elevato livello di consenso il fascicolo potrebbe avanzare verso il tavolo dei rappresentanti permanenti dei Ventisette, il noto Coreper, per poi continuare la sua trattazione a livello ministeriale.
Novità in evidenza
Europa si prepara per un riarmo regolatorio del digitale: la nuova frontiera del potere è negli algoritmi
8 minuti
Fonti diplomatiche consultate da DEMÓCRATA indicano, tuttavia, che il documento potrebbe arrivare agli ambasciatori anche con "uno o due articoli in sospeso di consenso", in modo che siano i rappresentanti permanenti stessi a cercare di chiudere queste questioni.
Il fascicolo si trova, pertanto, ancora in una fase aperta. La discussione di venerdì non determinerà necessariamente il testo definitivo, ma permetterà di verificare fino a che punto le capitali sono disposte ad accettare una formula che cerca di introdurre maggiore sicurezza giuridica per lo sviluppo dell'IA senza alterare l'architettura generale del RGPD.
"Non si sa ancora se il testo sarà maturo per il Coreper", segnala un'altra fonte presente nei negoziati al Consiglio. Questa sarà precisamente una delle principali incognite che dovrà chiarire la riunione del gruppo di lavoro.