Intelligenza Artificiale, privacy e regolamentazione

ROMA\ aise\ - Quando parliamo di Intelligenza Artificiale, inseriamo nella stessa “scatola” alcune tecnologie, come LLMs (Large Language Models) o ChatGPT (chatbot, cioè robot che conversano con intelligenza artificiale), bot, machine learning e altre. Indipendentemente dal tipo di intelligenza artificiale di cui stiamo parlando, tutte utilizzano, o possono utilizzare, informazioni personali, sia nelle fasi di apprendimento, in un prompt o anche in risposta a una domanda. Questi usi e le potenziali applicazioni dell’innovazione, nella vita di tutti i giorni, hanno un impatto sulla privacy e, pertanto, qualsiasi discussione sull’intelligenza artificiale deve, necessariamente, coinvolgere riflessioni sulla protezione dei dati personali.
In Brasile, per esempio, attualmente, esiste la Lei Geral de Proteção de Dados (Legge generale sulla protezione dei dati, LGPD), un insieme di regole che offre un maggiore controllo agli individui sulle proprie informazioni, compreso l’intero ciclo dell’IA.
I dati personali sono dati che identificano l’individuo o lo rendono identificabile, ma in uno scenario in cui l’intelligenza artificiale è sempre più in grado di creare connessioni, vedere modelli che un essere umano non vedrebbe e fare inferenze, informazioni che in precedenza non sarebbero state considerate personali, possono rendere la persona identificabile.
La definizione di dato personale acquista particolare importanza nella valutazione di strumenti basati sul LLM (Large Language Model). Questo tipo di innovazione attinge dalla base di enormi quantità di informazioni, tra cui database pubblicamente disponibili su Internet (scrapping), articoli, foto, articoli di giornale, tra gli altri. E poiché tutta questa conoscenza è creata o fornita dalle persone, la base di apprendimento dell’IA potrebbe già essere distorta.
In questo scenario, l’IA si scontra con il principio di non discriminazione, previsto delle leggi sulla protezione dei dati, e può avere impatti negativi. Si pensi, ad esempio, ai processi di selezione, dove la persona si candida e il Curriculum Vitae viene automaticamente escluso. La decisione potrebbe essere stata presa sulla base di parole chiave che non apparivano nel curriculum, della mancanza di qualifiche effettive, del luogo in cui risiede il candidato, o altre ragioni che potrebbero non essere etiche e richiedere un approccio più umanizzato per evitare tali situazioni.
Oltre alla possibilità di rivedere la decisione automatizzata, garantita dalle leggi sulla protezione dei dati e dai disegni di legge che mirano a regolamentare l’IA, è necessario agire già alla fonte del problema per garantire che l’innovazione non perpetui misure e azioni discriminatrici, offrendo trasparenza e possibilità di accesso alla contestazione.
Dal punto di vista di un operatore, la risposta potrebbe risiedere nel limitare i database utilizzati come fonte di accesso, evitando, ad esempio, siti che notoriamente contengono discorsi di incitamento all'odio. O, per chi utilizza strumenti di terze parti, ridurre al minimo i dati richiesti nelle registrazioni dei lavori, potrebbe essere una soluzione.
Privacy by design e by default sono, quindi, i concetti più rilevanti delle leggi sulla protezione dei dati, per evitare impatti finanziari, reputazionali e costi di rielaborazione. Questi principi prevedono che prodotti, soluzioni e organizzazioni debbano essere progettati, fin dall’inizio, tenendo conto della privacy e della protezione dei dati come preoccupazione per sviluppatori, progettisti, avvocati e altri membri del gruppo. Inoltre, le impostazioni predefinite dovrebbero favorire la privacy dell’utente.
Un esempio pratico: i modelli linguistici visitano siti e spazi che contengono un'enorme quantità di dati personali e anche così, una volta che il modello ha imparato qualcosa, le informazioni fornite non vengono salvate. Questa azione riduce al minimo l'uso delle informazioni personali, elimina i dati quando non sono più necessari e garantisce, inoltre, trasparenza all'utente. È la privacy integrata nello strumento stesso. Con la privacy, fin dalla progettazione e per impostazione predefinita, l’azienda garantisce che il team esaminerà l’intero ciclo di vita dell’intelligenza artificiale, dalla modellazione all’utilizzo, tenendo conto dei principi delle leggi sulla protezione dei dati: minimizzazione, necessità, scopo e altri.
Alcuni consigli pratici prima di utilizzare l’AI sono: verificare la necessità di includere dati personali nel prompt; effettuare un doppio controllo dei dati/fatti della risposta inviata dallo strumento; effettuare una DPIA (Data Protection Impact Assessment) prima di iniziare, per valutare l’impatto dell’attività sui dati personali che verranno utilizzati, garantendo la verificabilità del processo; prestare particolare attenzione quando si tratta di pubblicità personalizzata utilizzando l’intelligenza artificiale, poiché i dati utilizzati per costruire questi modelli spesso non vengono ottenuti per questo scopo.
La sensibilizzazione costante dei gruppi di lavoro è essenziale affinché l’utilizzo dell’intelligenza artificiale avvenga nel rispetto delle regole già esistenti. La regolamentazione non dovrebbe essere vista come un ostacolo all’innovazione e all’adozione di nuove tecnologie, ma piuttosto come un’opportunità per la conformità e la dimostrazione di buone pratiche. Le leggi sulla protezione dei dati esistono per rendere più sicuro l’uso dell’intelligenza artificiale e non come giustificazione per non sfruttare i vantaggi della tecnologia che promette di rivoluzionare la nostra vita quotidiana. (edoardo pacelli/aise)