L’uso dei Big Data e dell’Intelligenza artificiale: vengono tutelate privacy e sicurezza?

Una domanda fondamentale da porsi è: “Perché è così importante analizzare i Big Data? E poi, quali sono le tutele giuridiche che vi si applicano per tutelare la privacy e la sicurezza dei dati? 

In questo articolo che abbiamo selezionato per i lettori del blog di Faire Hub, proviamo a rispondere ai tanti quesiti legati a questo tema. Vi riportiamo un estratto di questa pubblicazione per offrirvi alcuni chiarimenti relativi al contesto e alle terminologie legate all’uso dei Big Data. Nei paragri finali proponiamo uno sguardo attento alle normative per la protezione dei dati personali.

Il contesto

L’enorme vantaggio offerto dai Big Data e dalla loro capacità di estrarre significato da masse di dati anche non strutturati è destinato a consolidarsi. Così come il crescente potere di autoapprendimento delle macchine.

Governare questi processi non è certamente un compito semplice. La capacità di estrarre dai dati le informazioni che abbiano un significato e siano funzionali, richiede lo sviluppo di sofisticate tecnologie e di competenze interdisciplinari. 

Inoltre, l’utilizzo di queste tecnologie e degli scopi perseguiti possono mettere in discussione paradigmi consolidati del diritto ed espongono le persone a nuovi rischi.

Poiché́ i dati rappresentano la proiezione digitale degli utenti, le Autorità Europee in materia di protezione dei dati hanno più volte sottolineato il bisogno di accompagnare questi fenomeni attraverso un più rigoroso approccio etico e di generale responsabilità. 

In particolare, è necessario che le organizzazioni (pubbliche e private) adottino misure di garanzia per la trasparenza dei processi basati su tali tecnologie. L’attenzione punta anche sulla progressiva difficoltà a mantenere un effettivo controllo sui dati. Questa è derivata dall’opacità delle modalità di raccolta, dai luoghi di conservazione, dai criteri di selezione e di analisi. 

Inoltre, è necessario che sia effettuata una valutazione del potenziale discriminatorio che deriva dal loro utilizzo. Per effetto di profilazioni sempre più puntuali ed analitiche si può arrivare ad annullare l’unicità̀ della persona, il suo valore, la sua eccezionalità.

Elementi di fiducia

Per analizzare i Big Data, le organizzazioni utilizzano sempre più tecniche di analisi avanzate, predittive e prescrittive. Queste,  utilizzano spesso l’intelligenza artificiale e il Machine Learning (ML). In particolare, per comprendere e raccomandare azioni basate sull’analisi di elevati volumi di dati da più fonti, interne o esterne. 

Un quadro per un uso responsabile e affidabile delle soluzioni BD&IA potrebbe essere basato su una serie di elementi fondamentali, quali:

• Etica: lo sviluppo, la diffusione e l’uso di qualsiasi soluzione di IA dovrebbe aderire ad alcuni principi etici fondamentali. Questi possono essere integrati fin dall’inizio in qualsiasi progetto AI, in una sorta di approccio “etico by design“. Anche il business case presentato all’inizio di un progetto di IA può includere un’analisi della conformità ai principi etici e rifiutare soluzioni non rispondenti.

• Spiegabilità e interpretabilità: un modello di analisi è spiegabile quando il suo comportamento interno può essere compreso direttamente dall’uomo (interpretabilità) o quando possono essere fornite spiegazioni (giustificazioni) per i principali fattori che hanno portato alla sua produzione. 

• Equità ed eliminazione di fattori di discriminazione: un altro aspetto importante di un modello IA affidabile è la sua correttezza. Il principio di correttezza richiede che il modello garantisca la protezione dei gruppi di persone contro fattori di discriminazione (diretta o indiretta). 

• Tracciabilità e verificabilità: l’uso di soluzioni di tracciabilità aiuta a monitorare tutte le fasi, i criteri e le scelte effettuate durante tutto il processo. 

• Protezione dei dati personali: i dati devono essere adeguatamente protetti con un sistema BD&IA affidabile e conforme alla vigente normativa sulla protezione dei dati.  

• Sicurezza: l’utilizzo di nuove tecnologiche introducono anche nuove tecniche di attacco che sfruttano le vulnerabilità dei sistemi. È importante mantenere un controllo tecnico sugli ultimi attacchi alla sicurezza delle informazioni e sulle relative tecniche di difesa. È necessario poi garantire che la governance, la supervisione e l’infrastruttura tecnica siano in atto per un’efficace gestione del rischio ICT.

• Protezione dei consumatori: un sistema BD&IA affidabile dovrebbe rispettare i diritti dei consumatori e proteggere i loro interessi. I consumatori hanno il diritto di presentare un reclamo e ricevere una risposta in un linguaggio chiaro che può essere chiaramente compreso. Il principio di spiegabilità è la chiave per far fronte a questo obbligo.

Protezione dei dati personali

L’utilizzo di sistemi di BD&IA è da considerarsi in crescita. Questo grazie al fatto che la tecnologia e il processo decisionale basato sui dati sono considerati fonti di soluzioni sempre più accettate. 

Al riguardo, la Commissione europea riconosce il potenziale delle tecnologie e dei servizi basati sui dati. Riconosce inoltre i Big Data, quali catalizzatori di crescita economica, innovazione e digitalizzazione nell’UE.

Sicurezza delle Informazioni

La sicurezza delle informazioni è definita come la protezione delle informazioni e dei sistemi da accesso, uso, divulgazione, interruzione, modifica o distruzione non autorizzati al fine di garantire la riservatezza, l’integrità e la disponibilità. 

Nel contesto BD&IA, la sicurezza dei dati e la sicurezza dei modelli sono di particolare importanza: entrambi sono aspetti della sicurezza delle informazioni, essenziali per il corretto funzionamento degli algoritmi di BD&IA. 

La sicurezza dei dati si concentra sulla protezione della riservatezza, integrità e della loro disponibilità. La sicurezza dei modelli invece indirizza gli attacchi e le corrispondenti misure di protezione specifiche dei modelli IA.

Quadro normativo di riferimento

L’Unione Europea ha istituito un quadro giuridico rigoroso. Gli obiettivi sono quelli di garantire la tutela dei consumatori, far fronte alle pratiche commerciali sleali e proteggere i dati personali e la privacy dei cittadini. 

Esiste un vasto corpus di norme vigenti dell’UE in materia di sicurezza dei prodotti e di responsabilità per danno da prodotti difettosi, comprendente norme settoriali ed integrate dalle legislazioni nazionali. Tale corpus di norme è pertinente e potenzialmente applicabile a una serie di applicazioni di BD&IA emergenti.

Norme sull’Intelligenza Artificiale

La definizione del quadro normativo per l’utilizzo di tecnologie AI è rappresentata dallo sviluppo di un percorso teso a realizzare una legislazione europea in materia. Tale percorso è stato iniziato ad aprile 2019, quando la Commissione europea ha pubblicato, in allegato alla sua Comunicazione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle Regioni dal titolo “Creare fiducia nell’intelligenza artificiale antropocentrica”, le linee guida etiche per un’intelligenza artificiale affidabile redatte da un gruppo di esperti di alto livello da essa istituito [1]. Lo stesso gruppo di esperti fece seguire nel giugno 2019 le sue raccomandazioni politiche e di investimento per un’intelligenza affidabile.

Nel Febbraio del 2020 è stato realizzato un primo passo verso la realizzazione di una legislazione europea, attraverso la pubblicazione del c.d. Libro Bianco sull’IA [4]. I libri bianchi della Commissione (in inglese white paper) “sono documenti che contengono proposte di azione dell’UE in un settore specifico. Essi costituiscono, talvolta, il prolungamento dei libri verdi, il cui scopo è invece quello di avviare un processo di consultazione a livello dell’UE. Lo scopo dei libri bianchi è di avviare una discussione con il pubblico, le parti interessate, il Parlamento europeo e il Consiglio per raggiungere il consenso politico.

Il Libro Bianco ribadisce la necessità di un approccio comune europeo all’IA per raggiungere dimensioni sufficienti ed evitare la frammentazione del mercato unico.

Norme sui Big Data

I Big Data, secondo la “Risoluzione del Parlamento europeo del 14 marzo 2017 sulle implicazioni dei Big Data per i diritti fondamentali”, si riferiscono alla raccolta, all’analisi e all’accumulo ricorrente di ingenti quantità di dati, compresi i dati personali, provenienti da una serie di fonti diverse.

Queste fonti sono oggetto di un trattamento automatizzato mediante algoritmi informatici e tecniche avanzate di trattamento dei dati, che usano sia informazioni memorizzate sia in streaming, al fine di individuare determinate correlazioni, tendenze e modelli (analisi dei Big Data).

L’enorme disponibilità di ogni sorta di informazione è una prospettiva allettante e apre innumerevoli scenari di ricerca. Il progetto 4cE, descritto dal DG dell’Oms Tedros Adhanom, spiega per esempio come i big data e le soluzioni IA possano trasformate i dati informatici per salvare la vita ai malati Covid.

Pur avendo benefici incontestabili, però, si presenta la possibilità di risalire alle fonti di questa conoscenza e ai dati delle persone fisiche, minacciando i loro diritti sulla protezione dei dati che li riguardano.

Infatti, è molto comune che un data set includa, nella sua forma originale, informazioni che sono riconducibili a specifici individui – un nome, una data di nascita, un indirizzo IP.

Ciò diventa potenzialmente pericoloso nel momento in cui si dispone di una chiave per collegare dati su uno stesso individuo provenienti da fonti diverse. Le informazioni sanitarie, le preferenze e le opinioni espresse sui social network, dati collegati alle spese online e ai metodi di pagamento possono risalire ad una persona.

Regolamento UE 2016/679 

Pertanto, il rispetto degli obblighi previsti dal Regolamento UE 2016/679 in materia di protezione dei dati risulta come logica conseguenza. Ciò nonostante, sono molte diverse le difficoltà di applicazione delle disposizioni del Regolamento a questa tipologia di trattamento. 

Alcune di esse fanno riferimento all’oggetto della tutela. 

Nei Big Data il trattamento riguarda dati personali e anche dati non personali. Tuttavia, a causa dell’ingente quantità e varietà di algoritmi che possono essere ad essi applicati, in alcuni casi, distinguere i dati personali da quelli non personali diventa estremamente difficile.

La natura dei dati da analizzare, in effetti, sarà definibile solo a seguito dell’elaborazione. Per cui un dato non personale potrà condurre ad un dato personale, ed un dato anonimo, invece, potrà, a seguito dell’analisi, condurre all’identificazione dell’interessato. 

La natura propria dei Big Data e questa difficoltà di distinzione dei dati personali dai dati non personali, genera ulteriori criticità. A volte è complessa l’applicazione di alcuni principi previsti nel Regolamento e ritenuti essenziali per il raggiungimento dell’accountability del titolare del trattamento.

Per un approfondimento, nella lettura completa presente a questo link, potrete trovare le direttive specifiche e le norme attualmente in vigore.