AI e GDPR: il rapporto della DPC

Il rapporto pubblicato dalla Data Protection Commission (DPC) irlandese, ripreso da un commento di Matheson pubblicato su Legal 500, riferisce che, tra il 2021 e il 2025, le interlocuzioni di supervisione relative all’intelligenza artificiale con grandi titolari tecnologici sono aumentate di dieci volte. La DPC riferisce di aver esaminato lo sviluppo, il lancio o l’impiego di circa 180 prodotti e servizi AI, tra cui modelli linguistici, sistemi di raccomandazione, riconoscimento facciale e agenti AI.

Secondo il rapporto, la funzione di supervisione opera separatamente dalle attività relative a reclami e indagini e non certifica la conformità al GDPR. Può tuttavia formulare raccomandazioni, chiedere il rinvio volontario del trattamento o, nei casi urgenti, ricorrere ai poteri previsti dalla legge irlandese sulla protezione dei dati del 2018.

Le questioni ricorrenti riguardano trasparenza, base giuridica, minimizzazione, dati dei minori, diritto di opposizione e decisioni automatizzate. Il rapporto indica che gli interessi legittimi possono costituire una base giuridica per l’addestramento AI soltanto in determinate circostanze e previa valutazione di necessità, bilanciamento e ragionevoli aspettative degli interessati. Sottolinea inoltre la necessità di meccanismi di opposizione accessibili prima dell’inizio del trattamento, documentazione dettagliata, rivalutazioni successive al lancio e misure quali pseudonimizzazione, anonimizzazione e deduplicazione. Si tratta di osservazioni sulla prassi di supervisione, non di una nuova legge o di un’approvazione generale dei prodotti esaminati; l’articolo segnala inoltre indagini ancora in corso nei confronti di due imprese tecnologiche internazionali.