AI Act e GDPR: cosa sapere prima di usare un assistente in azienda

Due norme, due prospettive

Quando un’azienda introduce un assistente AI entrano in gioco due norme europee. Il GDPR si occupa dei dati personali: quali si possono trattare, per quali finalità, con quali garanzie. L’AI Act si occupa dei sistemi di intelligenza artificiale in quanto tali: come vengono classificati in base al rischio e quali obblighi ricadono su chi li sviluppa e su chi li utilizza.

Le due norme si sovrappongono solo in parte. Un assistente che risponde a domande su ordini e fatture tratta quasi sempre anche dati personali, per esempio i nomi dei referenti dei clienti, e quindi rientra nel GDPR. Allo stesso tempo l’azienda che lo usa è, nel linguaggio dell’AI Act, un utilizzatore del sistema, con responsabilità proprie che non si possono delegare interamente al fornitore.

GDPR

• Protegge i dati personali
• Finalità e base giuridica
• Diritti degli interessati

AI Act

• Regola i sistemi di AI
• Approccio basato sul rischio
• Obblighi per fornitori e utilizzatori

Classificare gli usi

L’AI Act non tratta tutti gli usi allo stesso modo. Alcune pratiche sono vietate, alcuni ambiti sono considerati ad alto rischio, come la selezione del personale o la valutazione dei lavoratori, altri comportano soprattutto obblighi di trasparenza. La maggior parte degli usi d’ufficio ricade nelle categorie con requisiti più leggeri, ma è una conclusione da verificare caso per caso, non da presumere.

Il primo lavoro pratico è quindi un inventario: per che cosa l’azienda usa, o intende usare, l’assistente. Rispondere a domande su clienti e documenti, redigere bozze o riassumere report sono usi molto diversi dal filtrare candidature o valutare le prestazioni delle persone. Se un caso d’uso tocca ambiti sensibili, va esaminato con particolare attenzione prima di attivarlo, meglio se con un consulente legale.

1. 01 Elencare i casi d’uso
2. 02 Indicare i dati coinvolti
3. 03 Valutare l’ambito di rischio
4. 04 Decidere e documentare

Gli obblighi di chi utilizza

Anche per gli usi a rischio contenuto alcune attenzioni valgono sempre. L’AI Act chiede a chi utilizza questi sistemi di curare un livello adeguato di alfabetizzazione delle persone coinvolte: sapere che cosa lo strumento fa, dove può sbagliare e come verificarne i risultati. Chi interagisce con un sistema di AI, o riceve contenuti generati, deve poterlo capire quando le circostanze lo richiedono.

Sul fronte del GDPR le domande sono quelle classiche, applicate a un nuovo strumento. Qual è la base giuridica del trattamento, quali dati servono davvero, chi agisce come responsabile del trattamento, dove vengono elaborati i dati e se escono dall’Unione europea. Per i trattamenti che possono presentare rischi elevati per le persone può essere necessaria una valutazione d’impatto.

Il fornitore del servizio di AI va trattato come qualsiasi altro fornitore che elabora dati personali per conto dell’azienda: contratto adeguato, garanzie documentate, verifica delle misure di sicurezza.

Prima di attivare

• Base giuridica individuata
• Dati limitati al necessario
• Contratto con il fornitore
• Luogo di elaborazione noto
• Persone formate

Tracciabilità e supervisione umana

Entrambe le norme premiano un principio semplice: poter dimostrare che cosa è successo. Un registro delle richieste, con utente, domanda, fonti consultate e operazioni eseguite, permette di rispondere a una richiesta di accesso di un interessato, di ricostruire un errore e di mostrare che le regole interne vengono applicate davvero.

La supervisione umana è l’altro pilastro. Un assistente che prepara e lascia decidere la persona è più facile da governare di un sistema che agisce da solo. Anche dove la legge non lo impone, scegliere la conferma esplicita per le operazioni che modificano dati o comunicano all’esterno riduce i rischi e semplifica ogni verifica successiva.

Le regole più utili sono quelle che si possono dimostrare, non solo dichiarare.

Un metodo sostenibile

Non serve trasformare ogni progetto in un dossier legale. Un documento breve che descrive gli usi autorizzati, i dati ammessi, i modelli impiegati e chi controlla il registro copre gran parte delle esigenze, e va aggiornato ogni volta che si aggiunge un caso d’uso. Il responsabile della protezione dei dati, dove presente, va coinvolto fin dall’inizio.

L’AI di Innovaq è progettata per sostenere questo metodo. L’assistente rispetta i permessi di ogni utente, cita le fonti, registra ogni richiesta, esegue operazioni solo dopo conferma e permette di scegliere tra modelli di mercato e modelli dedicati in base a dove devono restare i dati. La conformità resta una responsabilità dell’azienda, ma gli strumenti per esercitarla sono già al loro posto.