Il nuovo capitolo del Digital Omnibus
Il 21 ottobre scorso il Consiglio dell’Unione europea ha approvato una bozza rivista del Digital Omnibus, il pacchetto legislativo che integra il Regolamento sull’intelligenza artificiale (AI Act) con altre norme sul digitale. Questa versione è destinata a diventare il punto di partenza del trilogo parlamentare‑consiliare‑Commissione, dove verrà discusso fino all’approvazione finale. L’obiettivo dichiarato è quello di creare un quadro normativo più flessibile per favorire l’innovazione, ma le scelte fatte sollevano preoccupazioni concrete sulla tutela della privacy.
Il punto più controverso è il ritorno al legittimo interesse come base giuridica per il trattamento dei dati personali nell’ambito dei sistemi di IA. Questa decisione contrasta con la tendenza europea verso una maggiore trasparenza e con le raccomandazioni dell’European Data Protection Board (EDPB) e dell’European Data Protection Supervisor (EDPS), che hanno più volte avvertito sui rischi di un’applicazione troppo ampia di questa motivazione.
Che cos’è il legittimo interesse?
- È una delle sei basi giuridiche previste dal GDPR per il trattamento dei dati personali.
- Consente il trattamento se il titolare può dimostrare che l’interesse perseguito è legittimo e non prevale sui diritti e le libertà dell’interessato.
- Richiede una valutazione di bilanciamento (balancing test) e, in molti casi, una comunicazione trasparente agli interessati.
Nel contesto dell’IA, il legittimo interesse è stato proposto per semplificare l’adozione di algoritmi di profilazione, analisi predittiva e automazione dei processi decisionali, ma la sua applicazione pratica è ancora poco chiara.
Le ambiguità dell’articolo 88‑bis
L’articolo 88‑bis del Digital Omnibus, introdotto nella bozza, stabilisce che i soggetti che sviluppano o utilizzano sistemi di IA possono avvalersi del legittimo interesse senza fornire ulteriori garanzie specifiche. La formulazione è volutamente generica: “Il trattamento dei dati personali è lecito se necessario per lo sviluppo, la sperimentazione o l’applicazione di sistemi di IA, a condizione che sia basato sul legittimo interesse del titolare”.
Questa formulazione presenta tre problemi principali:
- Ambiguità concettuale: non è chiaro quali siano i criteri per valutare la “necessità” del trattamento né quali soglie di rischio siano accettabili.
- Contrasto con le linee guida EDPB/EDPS: le autorità di protezione dei dati hanno più volte evidenziato che il legittimo interesse non può essere invocato per trattamenti ad alto rischio, come quelli che influiscono su diritti fondamentali (es. decisioni di assunzione, credito, assistenza sanitaria).
- Riduzione del diritto di opposizione: la bozza prevede che l’interessato possa opporsi solo in caso di “danno significativo”, una soglia difficile da dimostrare e che, di fatto, indebolisce il diritto di opposizione previsto dal GDPR.
Esempi pratici di rischio
Immaginiamo un’azienda di recruiting che utilizza un algoritmo di IA per filtrare i curriculum. Con il legittimo interesse, l’azienda potrebbe trattare dati sensibili (es. disabilità, stato di salute) senza ottenere il consenso esplicito, sostenendo che la selezione è “necessaria” per l’attività di assunzione. Se l’algoritmo è difettoso o contiene bias, la decisione di non assumere un candidato potrebbe sfuggire al controllo dell’interessato, che non avrebbe un’efficace via di ricorso.
Un altro caso riguarda le piattaforme di streaming che analizzano i gusti degli utenti per personalizzare le raccomandazioni. Anche se la personalizzazione è vantaggiosa, l’uso di dati di navigazione e di profilazione può rivelare interessi politici o religiosi, informazioni protette dal GDPR. Senza un obbligo di consenso esplicito, gli utenti potrebbero non essere consapevoli della portata della raccolta dati.
Le reazioni delle autorità di protezione dei dati
L’EDPB ha pubblicato una serie di raccomandazioni che sottolineano l’importanza di:
- Effettuare una valutazione d’impatto sulla protezione dei dati (DPIA) per tutti i sistemi di IA ad alto rischio.
- Garantire la trasparenza su come i dati vengono utilizzati, compresa la possibilità di accedere a informazioni dettagliate sull’algoritmo.
- Offrire un diritto di opposizione efficace, senza richiedere la prova di un “danno significativo”.
L’EDPS, dal canto suo, ha avvertito che il legittimo interesse non può sostituire il consenso informato nei casi in cui il trattamento riguarda categorie particolari di dati (articolo 9 GDPR). Ha inoltre richiesto al Consiglio di includere disposizioni più stringenti per la documentazione delle valutazioni di bilanciamento.
Possibili scenari di evoluzione normativa
Nel prossimo trilogo, i legislatori avranno diverse opzioni per colmare le lacune attuali:
- Introdurre una soglia di rischio minima: definire esplicitamente che il legittimo interesse è ammissibile solo per trattamenti a basso rischio, escludendo quelli che incidono su diritti fondamentali.
- Rendere obbligatoria la DPIA per tutti i sistemi di IA che utilizzano dati personali, anche se basati sul legittimo interesse.
- Rafforzare il diritto di opposizione prevedendo un meccanismo di opposizione semplice e gratuito, indipendente dalla dimostrazione di danni.
- Creare un registro europeo dei sistemi di IA ad alto rischio, dove le autorità di protezione possano monitorare l’applicazione del legittimo interesse.
Queste misure potrebbero conciliare la necessità di innovazione con la salvaguardia dei diritti dei cittadini, garantendo al contempo una maggiore coerenza con le linee guida europee sulla protezione dei dati.
Azioni consigliate per le imprese
Nel frattempo, le aziende che operano con sistemi di IA dovrebbero adottare una strategia proattiva per la privacy, anche in assenza di obblighi più severi:
- Condurre internamente una DPIA dettagliata per ogni progetto di IA, documentando i risultati e le misure di mitigazione.
- Implementare politiche di “privacy by design” e “privacy by default”, limitando la raccolta di dati al minimo necessario.
- Informare gli utenti in modo chiaro e comprensibile, offrendo loro la possibilità di scegliere il consenso quando possibile.
- Stabilire procedure di risposta rapida per le richieste di opposizione, garantendo tempi di risposta entro i 30 giorni previsti dal GDPR.
- Monitorare costantemente le evoluzioni normative e partecipare ai consultazioni pubbliche promosse dalla Commissione europea.
Queste pratiche non solo riducono il rischio di sanzioni, ma migliorano la fiducia dei consumatori, un fattore sempre più determinante nella competitività digitale.
Conclusioni
Il rilancio del legittimo interesse nel Digital Omnibus rappresenta una svolta importante per l’ecosistema dell’intelligenza artificiale in Europa, ma la sua attuazione rischia di compromettere la protezione della privacy se non accompagnata da adeguate salvaguardie. L’ambiguità dell’articolo 88‑bis, la mancanza di riferimenti alle linee guida dell’EDPB e dell’EDPS, e la limitazione del diritto di opposizione sono elementi che richiedono un intervento tempestivo da parte dei legislatori.
Solo attraverso un bilanciamento più trasparente tra innovazione e diritti fondamentali, con regole chiare e meccanismi di controllo efficaci, l’Europa potrà affermarsi come leader nella governance responsabile dell’IA, garantendo al contempo che la privacy dei cittadini rimanga un diritto inviolabile.