Diritto di accesso ai dati IA: c”è un problema che sta emergendo con sempre maggiore evidenza nel rapporto tra intelligenza artificiale e protezione dei dati personali. E non riguarda le allucinazioni dei modelli linguistici o i bias algoritmici, temi di cui si parla molto. Riguarda qualcosa di più basilare: la capacità degli utenti di esercitare concretamente i propri diritti sui dati che queste piattaforme trattano.

Chi lavora nel settore IT o si occupa di compliance sa che il GDPR attribuisce agli interessati una serie di diritti fondamentali, primo fra tutti quello di accesso previsto dall’articolo 15. Un diritto che, sulla carta, dovrebbe consentire a chiunque di sapere quali dati personali vengono trattati, per quali finalità, con quale logica e per quanto tempo.

La domanda è: nell’era dei chatbot e dei modelli di linguaggio, questo diritto di accesso funziona davvero?

Il diritto di accesso: cosa prevede la norma

Partiamo dalle basi. L’articolo 15 del GDPR stabilisce che l’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano. E in caso affermativo, ha diritto di accedere a una serie di informazioni specifiche.

Non si tratta solo di ricevere una copia dei propri dati. Il regolamento richiede che vengano comunicate le finalità del trattamento, le categorie di dati coinvolte, i destinatari a cui i dati sono stati o saranno comunicati, il periodo di conservazione previsto, l’esistenza di processi decisionali automatizzati e la logica utilizzata.

Questo ultimo punto è particolarmente rilevante quando parliamo di intelligenza artificiale. Se un sistema automatizzato prende decisioni che mi riguardano — o elabora i miei dati per produrre output che influenzano la mia esperienza — ho diritto di capire come funziona quel processo. Non nel dettaglio tecnico dell’architettura neurale, ma nei principi e nella logica che guidano il trattamento.

Il Garante per la protezione dei dati personali ha chiarito più volte che la risposta fornita all’interessato deve essere “concisa, trasparente e facilmente accessibile”, utilizzando “un linguaggio semplice e chiaro”. Non basta consegnare dati grezzi: serve renderli comprensibili.

Quando la risposta c’è ma non dice nulla

Quello che sta emergendo da diverse esperienze documentate in merito al diritto di accesso è un pattern ricorrente. Le grandi piattaforme di intelligenza artificiale rispondono alle richieste di accesso nei termini previsti dalla legge — entro 30 giorni, in formato elettronico, con file scaricabili. Sul piano formale, tutto in regola.

Il problema è il contenuto di quelle risposte.

Immaginate di chiedere a un’azienda quali dati personali possiede su di voi e di ricevere in risposta un archivio di centinaia di megabyte contenente log grezzi, stringhe di testo decontestualizzate, metadati incomprensibili. Nessuna spiegazione su come quei dati vengono utilizzati. Nessuna indicazione sulla logica del trattamento. Nessun criterio che permetta di capire cosa viene conservato e perché.

È come chiedere il conto al ristorante e ricevere in risposta l’elenco di tutti gli ingredienti presenti in cucina, senza sapere cosa avete effettivamente mangiato.

Il risultato è una conformità che esiste solo sulla carta. Il titolare può dimostrare di aver risposto nei tempi e nei modi previsti. Ma l’interessato non è in grado di comprendere, verificare o contestare nulla di significativo sul trattamento dei propri dati.

Il nodo della supervisione umana

C’è un altro aspetto che merita attenzione sul tema del diritto di accesso. Le procedure di gestione delle richieste GDPR presso le grandi piattaforme di IA sembrano essere largamente automatizzate. L’utente compila un form, il sistema elabora la richiesta, genera un pacchetto di dati, lo invia. Tutto senza che intervenga mai un operatore umano in grado di valutare la specificità della richiesta o di fornire chiarimenti.

Questo solleva interrogativi seri rispetto a due disposizioni del regolamento. L’articolo 12 impone al titolare di “agevolare l’esercizio dei diritti dell’interessato”. L’articolo 25 richiede che la protezione dei dati sia integrata fin dalla progettazione dei sistemi e dei processi.

Una gestione completamente automatizzata delle richieste di accesso può rispettare questi principi? Quando la risposta è standardizzata e non c’è possibilità di dialogo, di approfondimento, di revisione, il diritto viene realmente agevolato o viene di fatto neutralizzato?

La questione diventa ancora più delicata quando la richiesta riguarda categorie particolari di dati ai sensi dell’articolo 9 — dati che rivelano opinioni politiche, convinzioni religiose, orientamento sessuale, condizioni di salute. Per questi dati il GDPR prevede garanzie rafforzate e limiti stringenti al trattamento. Ma come si fa a verificare che tali garanzie siano rispettate se il riscontro ricevuto non consente alcuna verifica sostanziale?

Diritto di accesso: un problema strutturale, non episodico

Sarebbe facile liquidare questi casi come malfunzionamenti isolati o come conseguenze di una normativa non ancora adeguata alle nuove tecnologie. Ma il problema è più profondo.

Quello che emerge è un modello di compliance che privilegia la forma sulla sostanza. Le piattaforme investono in sistemi che garantiscono il rispetto formale delle tempistiche e delle modalità previste dal regolamento. Ma non investono — o non sono strutturalmente in grado di investire — in processi che rendano le risposte realmente significative per l’interessato.

È un problema di governance, non di tecnologia. I modelli di linguaggio sono in grado di elaborare miliardi di parametri e generare risposte articolate su qualsiasi argomento. Ma quando si tratta di spiegare agli utenti cosa fanno con i loro dati, la risposta è un dump illeggibile.

Per chi si occupa di protezione dei dati in azienda o nella Pubblica Amministrazione, questo scenario dovrebbe far riflettere. Da un lato, perché rappresenta un rischio reputazionale per qualsiasi organizzazione che adotti strumenti di IA senza una governance adeguata. Dall’altro, perché solleva interrogativi sulla reale possibilità di controllare fornitori che operano secondo queste logiche.

Cosa significa per aziende e PA

Se la vostra organizzazione utilizza strumenti di intelligenza artificiale che trattano dati personali — e ormai quasi tutte lo fanno, in forma più o meno consapevole — ci sono alcune domande che dovreste porvi in termini di diritto di accesso.

La prima: siete in grado di rispondere in modo sostanziale alle richieste di accesso dei vostri utenti, clienti o dipendenti? Non con un export automatico di dati grezzi, ma con informazioni comprensibili su finalità, logica del trattamento, periodo di conservazione?

La seconda: i fornitori di soluzioni di IA che utilizzate sono in grado di darvi le informazioni necessarie per rispondere a quelle richieste? Sapete cosa fanno con i dati che inserite nelle loro piattaforme? Potete dimostrarlo?

La terza: avete integrato la gestione dei diritti degli interessati nella vostra governance dell’intelligenza artificiale? Esiste un processo che preveda supervisione umana, non solo risposte automatizzate?

Queste non sono domande teoriche sul diritto di accesso. Sono questioni che possono emergere in un audit, in un reclamo al Garante, in un contenzioso. E la risposta “abbiamo risposto nei tempi previsti” potrebbe non essere sufficiente se il contenuto di quella risposta era sostanzialmente inutile.

Il rischio della neutralizzazione del diritto di accesso

C’è una riflessione più ampia che merita di essere fatta. Il GDPR è stato pensato per dare ai cittadini europei il controllo sui propri dati personali. È un impianto normativo solido, che ha fatto scuola a livello mondiale. Ma la sua efficacia dipende dalla possibilità di esercitare concretamente i diritti che prevede.

Se le risposte alle richieste di accesso diventano rituali formali privi di contenuto informativo, se non esiste un interlocutore umano con cui dialogare, se la complessità tecnica viene usata come scudo per evitare la trasparenza, allora i diritti esistono solo nominalmente.

Non serve modificare la legge. Serve che chi la applica — titolari del trattamento, responsabili, DPO — si ponga il problema della sostanza, non solo della forma. E serve che le autorità di controllo inizino a valutare non solo se le risposte vengono date, ma se quelle risposte permettono effettivamente all’interessato di comprendere e controllare il trattamento dei propri dati.

Per le organizzazioni che vogliono distinguersi, questa è anche un’opportunità. Essere trasparenti davvero, non solo formalmente, costruisce fiducia. E la fiducia, nell’economia dei dati, è un asset strategico.

P.I. Computers supporta aziende e Pubbliche Amministrazioni nell’adeguamento GDPR e nella governance dell’intelligenza artificiale, con servizi di consulenza privacy, supporto DPO e formazione specialistica, anche sul diritto di accesso. Scopri i nostri servizi →