Innovazione AI sicura e conforme: il ruolo di Crowe Bompani Advisory tra privacy e normativa europea
L’avvicinamento tra Intelligenza Artificiale (AI) e la normativa europea sulla privacy – in particolare il Regolamento Generale sulla Protezione dei Dati (meglio conosciuto con l’acronimo di GDPR) e l'imminente AI Act (Regolamento UE 2024/1689 sull'intelligenza artificiale) – crea un panorama ricco di opportunità e sfide per le aziende.
L'AI, con la sua capacità di elaborare enormivolumi di dati, inclusi quelli personali, è un motore di innovazione. Tuttavia, questa forte capacità elaborativa solleva interrogativi cruciali in merito allatutela della privacy, rendendo la conformità normativa non solo un obbligo legale, ma anche un fattorechiave per costruirefiducia e competitività.
In questo scenario problematico, Crowe Bompani Advisory si proponecome partner strategico per aiutare le aziende a orientarsi nella complessa relazione tra AI e normativa.
Il GDPR – con i suoi principi di liceità, trasparenza, minimizzazione dei dati, limitazione della finalità, esattezza, limitazione della conservazione, integrità e riservatezza – rappresenta la milestone della protezione dei dati personali in Europa. L'AI, che spesso si basa sull'apprendimento automatico di voluminosi set di dati contenenti informazioni personali, deve essere progettata e implementata in modo da poter rispettare appieno questi principi.
L'AI Act classifica i sistemi AI in base al loro livello di rischio, imponendo obblighi più stringenti per le applicazioni considerate ad "alto rischio", ovvero quelle che potrebbero avere un impatto importante sui diritti fondamentali delle persone, inclusa la stessa privacy.
Il Punto di incontro tra AI e normativa europea sulla privacy non è privo di complessità.
Alcuni degli aspetti più critici includono:
- Trasparenza e spiegabilità (Explainable AI - XAI): il GDPR richiede che il trattamento dei dati sia trasparente e, in caso di decisioni automatizzate, che l'interessato abbia il diritto di ottenere spiegazioni significative sulla logica utilizzata. Questo può essere particolarmente sfidante con algoritmi di AI complessi, le cui decisioni sono spesso difficili da comprendere ("black box").
- Minimizzazione dei dati e Privacy by Design: i sistemi AI dovrebbero essere progettati per trattare solo i dati personali strettamente necessari per le finalità dichiarate (data minimization) e per incorporare la protezione dei dati fin dalla fase di progettazione (privacy by design).
- Sicurezza dei dati: la vastità dei dati trattati dai sistemi AI aumenta inevitabilmente il rischio di violazioni. Sono quindi necessarie misure di sicurezza tecniche e di carattere organizzativo costantemente aggiornate per proteggere i dati personali da accessi non autorizzati, perdite o divulgazioni.
- Responsabilità e governance: avere chiaro chi è responsabile in caso di errore o discriminazione generata da un sistema AI è una questione complessa. Sia il GDPR che l'AI Act cercano di affrontarla, pur senza offrire soluzioni univoche.
Crowe Bompani Advisory supporta il cliente nelle seguenti attività fondamentali per garantire la conformità normativa:
- Valutazione dell'Impatto sulla Protezione dei Dati (DPIA) e AI Act Risk Assessment: effettuare una DPIA specifica per i sistemi AI è fondamentale per identificare e mitigare i rischi per la privacy. Crowe Bompani Advisory supporta le aziende nell’intero processo di valutazione, tenendo conto anche dei requisiti di valutazione del rischio previsti dall'AI Act per i sistemi ad "alto rischio". Questo approccio consente di garantire la piena conformità normativa prima del rilascio dell’applicazione.
- Consulenza su Privacy by Design e Privacy by Default nell'AI: implementare i principi di "privacy by design" e "privacy by default" nella progettazione e sviluppo di sistemi AI risulta quindi essenziale. Crowe Bompani Advisory assiste le aziende nell'integrazione di queste metodologie fin dalle prime fasi di un progetto AI, assicurando che la minimizzazione dei dati e la protezione predefinita sia applicata in maniera adeguata.
- Definizione di modelli di governance e policy interne: aiutiamo a redigere policy e procedure interne chiare per l'uso etico e conforme dell'AI, definendo chiaramente ruoli e responsabilità, processi per la gestione dei diritti degli interessati e protocolli per la gestione degli incidenti di sicurezza.
- Supporto nell'implementazione di misure di sicurezza: Crowe Bompani Advisory fornisce consulenza sull'adozione delle migliori pratiche e tecnologie di sicurezza per la protezione dei dati utilizzati dai sistemi AI, in linea con gli obblighi del GDPR e delle raccomandazioni per i sistemi AI ad alto rischio.
- Formazione e sensibilizzazione: per garantire una cultura aziendale orientata alla privacy, Crowe Bompani – con la sua Academy – offre formazione specialistica sul GDPR e sull'AI Act, promuovendo la consapevolezza sui rischi e le responsabilità correlate.
- Assistenza nella redazione di documentazione e contrattualistica: supportiamo le aziende nel redigere informative privacy chiare e conformi, nell’ottenere consensi validi per il trattamento dei dati nell'AI e nel definire accordi di trattamento dati con fornitori terzi di soluzioni AI.
In conclusione, l'integrazione dell'AI con la privacy non è un'opzione, ma una necessità imprescindibile per le aziende che operano in Europa.
Crowe Bompani Advisory, con la sua expertise multidisciplinare in ambito privacy, sicurezza e governance aziendale, si propone come il partner ideale per supportare le imprese nell'affrontare le sfide poste dal binomio AI e normativa europea, trasformando gli obblighi normativi in opportunità di crescita sostenibile.