Intelligenza artificiale, big data e blockchain

La LPD è tecnologicamente neutra: è considerata trattamento qualsiasi operazione relativa a dati personali, «indipendentemente dai mezzi e dalle procedure impiegati» (art. 5 lett. d). Le nuove tecnologie non necessitano quindi di una propria legge sulla protezione dei dati – le regole esistenti si applicano anche a esse.

Intelligenza artificiale

L’IFPDT ha precisato che la LPD è direttamente applicabile ai trattamenti di dati basati sull’IA. Ne consegue tra l’altro:

Trasparenza: i fornitori devono rendere noto per quale scopo trattano i suoi dati (art. 19) – anche se i suoi input vengono utilizzati per l’addestramento.
Decisioni automatizzate: se un’IA decide da sola su di Lei, ha i diritti di cui all’art. 21 (informazione, presa di posizione, riesame da parte di una persona).
Valutazione d’impatto: proprio con l’impiego di nuove tecnologie può sussistere un rischio elevato che richiede una valutazione d’impatto sulla protezione dei dati (art. 22 cpv. 2).
Esattezza: anche le informazioni che un’IA genera su di Lei devono essere esatte; può chiederne la rettifica (art. 6 cpv. 5, art. 32).

Consiglio: non inserisca nei chatbot dati sulla salute, password o documenti confidenziali e verifichi nelle impostazioni se i suoi input possono essere utilizzati per l’addestramento.

Big data

Nelle grandi analisi di dati vengono spesso creati profili per prevedere comportamenti o preferenze (profilazione, art. 5 lett. f). Qui sono importanti:

Vincolo dello scopo: i dati non possono essere riutilizzati a piacimento per scopi nuovi e non riconoscibili (art. 6 cpv. 3).
Anonimizzazione: i dati veramente anonimi non rientrano nella LPD. Se però una persona può essere nuovamente identificata mediante combinazione, si tratta ancora di dati personali.
Ricerca e statistica: per scopi non riferiti alle persone valgono agevolazioni, a condizione che i dati siano anonimizzati e i risultati pubblicati in una forma che non consenta di identificare le persone interessate (art. 31 cpv. 2 lett. e).

Blockchain

Anche indirizzi di wallet pseudonimi possono essere dati personali, se possono essere attribuiti a una persona. Poiché le iscrizioni in una blockchain difficilmente possono essere modificate o cancellate, si crea una tensione con gli obblighi di rettificare o cancellare i dati inesatti o non più necessari. Le applicazioni conformi alla protezione dei dati evitano quindi per quanto possibile di salvare dati personali direttamente sulla blockchain. Nelle reti decentralizzate può inoltre essere difficile stabilire chi sia il titolare del trattamento.

Al testo di legge: art. 21 LPD – decisioni individuali automatizzate.