Quattro anni di supervisione sull’intelligenza artificiale raccontati attraverso un unico documento: è quanto ha reso pubblico la DPC, la Data Protection Commission irlandese che vigila sul rispetto del GDPR per gran parte delle aziende tecnologiche con sede europea a Dublino. Il testo ripercorre il periodo che va dal 2021 al 2025 e mette in fila il numero crescente di interazioni che la DPC ha dovuto gestire con le imprese impegnate nello sviluppo di sistemi basati su modelli linguistici di grandi dimensioni.
Come la DPC valuta i prodotti IA prima del lancio
L’approccio descritto nel documento privilegia il confronto diretto tra la DPC e le aziende prima ancora che i loro prodotti arrivino sul mercato europeo.
Nella pratica, quando un’impresa comunica l’intenzione di lanciare un nuovo servizio basato su intelligenza artificiale, la DPC valuta preventivamente le modalità con cui verranno trattati i dati personali degli utenti e individua eventuali criticità prima che il prodotto diventi accessibile al pubblico. Questo meccanismo, secondo quanto riportato nel documento, ha permesso all’autorità di intervenire su più fronti contemporaneamente: dalle grandi piattaforme con base a Dublino fino ai fornitori di dimensioni più contenute che intendono operare sul mercato unico europeo. Il risultato è un rischio ridotto che violazioni sistemiche vengano scoperte soltanto a distribuzione già avvenuta.
Dalle raccomandazioni della DPC alle cause in tribunale
Quando le indicazioni iniziali non vengono seguite, la DPC ha dimostrato di poter ricorrere a strumenti più incisivi.
Il caso più citato nel documento è quello di X, che nel 2024 ha dovuto sospendere l’addestramento del proprio chatbot Grok sui contenuti pubblicati dagli utenti europei dopo che la DPC aveva presentato un’istanza all’Alta Corte irlandese: la società si è impegnata formalmente a interrompere quel trattamento e a cancellare i dati già raccolti per quello scopo specifico. Un percorso per certi versi analogo ha riguardato Meta, che ha rivisto le proprie modalità di utilizzo dei contenuti pubblici delle piattaforme Facebook e Instagram dopo un confronto prolungato con la DPC: la società ha introdotto strumenti più chiari per l’opposizione al trattamento e ha reso più accessibili le informazioni sulle finalità di utilizzo dei dati. La capacità sanzionatoria della DPC resta concreta anche fuori dall’ambito più strettamente legato all’IA, come dimostra la multa da 403 milioni di euro inflitta di recente a Google per violazioni della privacy sui dati di geolocalizzazione.
Il documento sottolinea che questi episodi non rappresentano eccezioni isolate, ma casi rappresentativi di un modello di intervento che la DPC intende applicare in modo costante man mano che nuovi prodotti arrivano sul mercato.
Trasparenza verso gli utenti e ruolo della DPC nel nuovo AI Act
Oltre alla liceità del trattamento, la DPC richiama con insistenza il tema della trasparenza, ovvero la necessità che le persone siano messe concretamente in condizione di sapere quando e come i propri dati vengono utilizzati per addestrare sistemi di intelligenza artificiale, un principio che l’autorità ha già portato all’attenzione dell’European Data Protection Board attraverso una richiesta di parere formale, conclusa alla fine del 2024 con l’adozione di criteri comuni che le autorità di protezione dati dei diversi Stati membri possono applicare nella valutazione dei modelli linguistici.
Il ruolo della DPC si inserisce ora anche nel quadro del nuovo Regolamento UE sull’intellige
