La Commissione Europea ha presentato una proposta di modifica al Regolamento Generale sulla Protezione dei Dati (RGPD) che potrebbe rivoluzionare il modo in cui le aziende utilizzano i dati personali per l'addestramento di modelli di intelligenza artificiale. La modifica, basata sul concetto di "interesse legittimo", permetterebbe alle aziende di operare senza dover richiedere il consenso esplicito di ogni singolo utente.

La proposta del Coreper

Il 21 ottobre, il Comitato dei Rappresentanti Permanenti (Coreper), che riunisce gli ambasciatori degli Stati membri dell'UE, ha concordato la posizione con cui il Consiglio Europeo negozierà con il Parlamento Europeo il pacchetto di semplificazione delle norme digitali, noto come Digital Omnibus. Il Consiglio ha pubblicato un documento di 179 pagine che include modifiche al RGPD, alla direttiva ePrivacy, al Regolamento sui Dati e alla direttiva sulla cibersecurity NIS2.

Uno degli obiettivi principali di queste modifiche è quello di facilitare l'addestramento dei modelli di intelligenza artificiale, permettendo alle aziende di utilizzare dati personali basandosi su un interesse legittimo. Questo cambiamento è visto come essenziale per mantenere la competitività dell'Europa nel settore tecnologico e geopolitico.

Il contesto attuale

Attualmente, il RGPD non menziona esplicitamente l'intelligenza artificiale, ma offre basi legali per il trattamento dei dati personali senza consenso, tra cui l'"interesse legittimo". Questo principio permette alle aziende di utilizzare dati personali se hanno un interesse giustificato e se i diritti della persona non prevalgono. Tuttavia, questa valutazione caso per caso è spesso fonte di conflitto tra le aziende di IA e i difensori della privacy.

I dati personali sono informazioni su una persona identificata o identificabile, e il RGPD vieta il trattamento di dati sensibili (come salute o origine etnica) salvo alcune eccezioni. Gli utenti possono opporsi al trattamento basato su interesse legittimo, e ci sono casi specifici, come la ricerca scientifica, in cui il riutilizzo dei dati è considerato compatibile con la finalità originale di protezione dei diritti dell'utente.

Le modifiche proposte

Se la proposta del Consiglio Europeo dovesse essere approvata, le aziende potrebbero sviluppare e operare modelli di IA utilizzando dati personali basandosi su un interesse legittimo, senza dover richiedere il consenso degli utenti. Questa modifica non rappresenta un cambiamento radicale, poiché il RGPD attuale già permette il trattamento dei dati senza consenso se c'è un interesse legittimo. Tuttavia, la novità sta nel fatto che questa possibilità sarebbe esplicitamente scritta per l'IA (nuovo articolo 88 bis) e verrebbero ridotti alcuni limiti.

Tra le modifiche proposte, vi è la rimozione di alcune salvaguardie aggiunte dalla Commissione, come il diritto di opposizione incondizionato e l'eccezione esplicita per i minori e per le leggi che richiedono il consenso. Inoltre, una nuova eccezione permetterebbe il trattamento incidentale e residuo di dati sensibili durante lo sviluppo e il funzionamento tecnico del sistema, a condizione che l'azienda non li abbia raccolti intenzionalmente.

Implicazioni e prossimi passi

Nonostante alcuni messaggi su Twitter abbiano interpretato questa proposta come una modifica immediata della legge, è importante sottolineare che si tratta solo di una proposta. Rimangono ancora molte negoziazioni tra il Consiglio Europeo, la Commissione Europea e il Parlamento Europeo, che non ha ancora una posizione definitiva. Il Consiglio Europeo ha chiesto di chiudere tutti i dossier pendenti entro la fine dell'anno, il che significa che il tempo a disposizione è limitato.

È fondamentale non confondere questa riforma con il AI Act, la legge europea sull'intelligenza artificiale, che segue un percorso diverso. La proposta attuale mira a facilitare l'innovazione tecnologica in Europa, riducendo i costi di conformità e migliorando la competitività, ma dovrà affrontare numerose sfide e dibattiti prima di diventare legge.