Valutazione d'impatto per un progetto AI: quando serve e che cosa ci va dentro

La valutazione d'impatto sulla protezione dei dati e' il documento di cui tutti parlano e che quasi nessuno ha. Prima di scriverla conviene stabilire se vi serve davvero: non e' obbligatoria per ogni progetto, ed e' obbligatoria per alcuni che non ve lo aspettate.

Quando e' obbligatoria

La regola generale del GDPR e' che serve quando il trattamento presenta un rischio elevato per i diritti delle persone. I casi tipici nei progetti di AI:

• Valutazione sistematica di aspetti personali con effetti significativi: selezione, merito creditizio, valutazione delle prestazioni.
• Trattamento su larga scala di categorie particolari: dati sanitari, biometrici, giudiziari.
• Monitoraggio sistematico, compreso quello sul luogo di lavoro.
• Uso innovativo di tecnologie combinato con uno dei punti precedenti.

Le autorita' nazionali pubblicano inoltre elenchi di trattamenti che la richiedono sempre: vanno consultati, perche' sono piu' specifici della regola generale.

Quando non serve (e dirlo e' importante)

Un sistema che riassume documenti aziendali senza dati personali, un assistente che risponde su orari e procedure, la generazione di descrizioni di prodotto: qui non c'e' rischio elevato e la valutazione non e' dovuta. Vale comunque la pena scrivere due righe che documentino la decisione: in caso di controllo, aver valutato e concluso che non serviva e' una posizione molto piu' solida che non essersi posti il problema.

Che cosa ci va dentro

1. Descrizione del trattamento: che dati, di chi, da dove arrivano, dove vanno, chi vi accede, per quanto tempo restano.
2. Finalita' e base giuridica, per ciascuna finalita' separatamente. E' la sezione in cui si scoprono i problemi: spesso la base giuridica regge per la finalita' originaria e non per quella nuova.
3. Necessita' e proporzionalita': perche' servono quei dati e non meno.
4. Rischi per le persone: non per l'azienda. Discriminazione, decisioni sbagliate, perdita di controllo sui propri dati, effetti sulla dignita'.
5. Misure di mitigazione, con chi le attua e quando.
6. Supervisione umana: chi, con quale potere effettivo di dissentire, in quanto tempo.
7. Coinvolgimento del responsabile della protezione dei dati, dove nominato, e degli interessati o dei loro rappresentanti dove appropriato.

Le tre sezioni specifiche dei progetti di AI

• Origine e qualita' dei dati usati, e se sono rappresentativi della popolazione su cui il sistema verra' applicato. E' qui che nascono gli effetti discriminatori.
• Comportamento in caso di errore: che cosa succede a una persona se il sistema sbaglia, e come se ne accorge qualcuno.
• Spiegabilita': potete giustificare un singolo esito a chi lo contesta? Se non potete, il sistema non e' utilizzabile per quella decisione, indipendentemente da quanto sia accurato.

Il rapporto con l'AI Act

Sono due cose diverse che si sovrappongono. La valutazione GDPR guarda al trattamento dei dati personali; il regolamento sull'AI prevede, per gli utilizzatori di sistemi ad alto rischio in certi ambiti, una valutazione d'impatto sui diritti fondamentali, con un perimetro piu' ampio. Nella pratica conviene costruire un documento unico che soddisfi entrambe: la sovrapposizione e' larga, e tenerne due separati garantisce solo che uno dei due resti indietro.

L'errore da evitare

Scriverla alla fine, per mettere a posto le carte. La valutazione serve prima, perche' il suo unico scopo utile e' cambiare il progetto: ridurre i dati raccolti, aggiungere un controllo umano, escludere una variabile. Fatta dopo, e' un documento che descrive una cosa che non si puo' piu' modificare.