Nuove linee guida ICO per la conformità alla privacy dei dati di AI e PII

Come raccogliere legalmente dati AI

La guida dell'ICO riconosce che, sebbene l'utilizzo dell'IA abbia innegabili vantaggi, può anche mettere in pericolo le libertà e i diritti delle persone quando la protezione dei dati non viene presa sul serio. A tal fine, la loro guida fornisce un quadro utile su come le imprese dovrebbero valutare e mitigare questi rischi.

La guida copre otto elementi strategici che le aziende possono adottare per migliorare il modo in cui gestiscono l'intelligenza artificiale e i dati personali:

1. Utilizzare una procedura basata sul rischio durante la creazione e l'implementazione dell'IA

Quando si utilizza l'intelligenza artificiale, è necessario determinare se è necessario per la situazione. L'intelligenza artificiale è generalmente considerata una tecnologia ad alto rischio quando interagisce con le informazioni personali. Un'azienda richiede grandi quantità di dati per migliorare il corretto funzionamento dei propri sistemi e i nostri dati potrebbero essere rivenduti, senza sapere chi li sta ricevendo o come vengono utilizzati.

Pertanto, potrebbe esserci un sostituto più efficiente e che tuteli la privacy.

Come afferma l'ICO, è necessario valutare i rischi e mettere in atto le necessarie tutele organizzative e tecniche per ridurli. Realisticamente, è impossibile eliminare completamente tutti i rischi e le leggi sulla protezione dei dati non ti impongono di farlo, ma assicurati di:

• Impiegare una valutazione dell'impatto sulla protezione dei dati (DPIA) per determinare e ridurre il rischio di mancato rispetto delle leggi sulla protezione dei dati che l'uso dell'IA pone, oltre a prevenire danni alle persone
• Cerca input da molti gruppi su cui il tuo utilizzo dell'IA ha un potenziale impatto per comprendere meglio il pericolo

Quando un DPIA è legalmente richiesto, è necessario eseguirne uno prima di implementare un sistema di intelligenza artificiale e introdurre adeguate salvaguardie organizzative e tecniche che aiuteranno a ridurre o gestire i rischi che si riscontrano. Prima che avvenga qualsiasi elaborazione, sei legalmente tenuto a parlare con l'ICO se identifichi un rischio che non sei in grado di mitigare adeguatamente.

2. Considera come spiegherai le decisioni del tuo sistema di intelligenza artificiale a coloro che saranno interessati

Secondo l'ICO, può essere difficile spiegare in che modo l'IA genera determinate decisioni e risultati, specialmente quando si tratta di apprendimento automatico e algoritmi complicati, ma ciò non significa che non dovresti fornire spiegazioni alle persone.

Ecco cosa raccomanda l'ICO:

• Sii chiaro, aperto e trasparente con le persone su come e perché raccogli e utilizzi i loro dati personali
• Pensa a quale giustificazione è richiesta nell'ambiente in cui verrà utilizzato il tuo sistema di intelligenza artificiale
• Considera come è probabile che le persone percepiscano la tua spiegazione
• Analizza i probabili effetti delle scelte del tuo sistema di intelligenza artificiale per determinare quanto dovrebbe essere approfondita la tua giustificazione
• Considera come verranno gestite le richieste di diritti individuali

3. Raccogli solo le informazioni necessarie per creare il tuo sistema di intelligenza artificiale

L'ICO consiglia di limitare la raccolta dei dati quando possibile. Questo non vuol dire che i dati non possono essere raccolti, significa solo che i dati devono essere gestiti in modo da soddisfare gli standard GDPR.

Dovresti:

• Assicurati che le informazioni personali che utilizzi siano accurate, adeguate, pertinenti e limitate: ciò varierà a seconda del contesto in cui utilizzi l'IA
• Pensa a quali metodi di tutela della privacy sono adatti alla situazione in cui utilizzi l'intelligenza artificiale per elaborare i dati personali

Il principio di accuratezza per la protezione dei dati non richiede che un sistema di IA sia corretto al 100%. Invece, le organizzazioni dovrebbero garantire che siano in atto procedure per garantire l'equità e l'accuratezza complessiva dei risultati.

4. Etichetta i rischi di parzialità e discriminazione in una fase iniziale

Ci sono modi in cui un sistema di intelligenza artificiale può essere prevenuto o portare a discriminazioni. Ciò può creare set di dati imprecisi e squilibrati e affrontare questo problema in anticipo è un aspetto importante della conformità alla privacy dei dati.

L'ICO ti consiglia di:

• Determina se i dati che stai raccogliendo sono accurati, rappresentativi, affidabili, pertinenti e aggiornati per la comunità o per diversi gruppi di persone interessate dal sistema di intelligenza artificiale
• Determina se i giudizi espressi dal sistema di intelligenza artificiale sono accettabili mappando le potenziali implicazioni e i risultati per vari gruppi

5. Investire tempo e risorse nella corretta preparazione dei dati

Come già accennato, l'intelligenza artificiale è affidabile solo quanto i dati che raccoglie. Pertanto, le organizzazioni devono assicurarsi di dedicare risorse e tempo sufficienti alla raccolta dei dati necessari.

L'ICO raccomanda che:

• Quando si tratta di etichettare i dati che riguardano caratteristiche protette o dati di categorie speciali, dovrebbero essere definiti criteri e linee di responsabilità
• Per mantenere la coerenza e aiutare con situazioni insolite, dovresti coinvolgere più etichettatori umani

6. Assicurati che il tuo sistema di intelligenza artificiale sia sicuro

I sistemi di intelligenza artificiale hanno il potenziale per aumentare i rischi o introdurre nuove vulnerabilità di sicurezza.

Quando si tratta di misure di sicurezza, non esiste un approccio valido per tutti. Tuttavia, è necessario rispettare la legge e mettere in atto le adeguate garanzie organizzative e tecniche in modo da fornire un livello di sicurezza proporzionale ai rischi identificati.

L'ICO raccomanda alle imprese di:

• Eseguire una valutazione dei rischi per la sicurezza che includa un inventario aggiornato di tutti i sistemi di intelligenza artificiale in modo da poter avere un'idea generale di dove potrebbero verificarsi potenziali incidenti
• Eseguire il debug del modello, ovvero il processo di identificazione e risoluzione dei difetti nel modello, da parte di un revisore della sicurezza interno o di un revisore della sicurezza esterno
• Implementare un sistema di monitoraggio proattivo ed esaminare eventuali irregolarità

7. Le revisioni umane delle decisioni dell'IA dovrebbero essere significative

Dovrebbe essere determinato in anticipo se gli output vengono utilizzati per aiutare un decisore umano o se le decisioni sono completamente autonome, a seconda dell'obiettivo dell'IA.

L'ICO sottolinea che gli interessati hanno il diritto di sapere se le scelte che coinvolgono i loro dati sono state fatte interamente da sole o con l'aiuto dell'intelligenza artificiale. Le linee guida suggeriscono anche che dovrebbero essere valutate in modo significativo quando vengono utilizzate per assistere una persona.

Per assicurarsi che queste recensioni siano significative, i revisori dovrebbero essere:

• Abbastanza abile da valutare e mettere in discussione i risultati del sistema di intelligenza artificiale
• Capace di ribaltare un giudizio automatico
• Consapevole di fattori aggiuntivi che non si riflettevano nei dati di input

Quando una decisione ha un impatto legale o di altro tipo sostanziale, gli interessati hanno il diritto ai sensi del GDPR di non esserne soggetti. Hanno anche il diritto di aspettarsi informazioni significative sul ragionamento alla base della decisione.

Di conseguenza, anche se viene dichiarato come una raccomandazione, la revisione umana è comunque necessaria quando l'IA sta prendendo decisioni importanti.

8. Consultare un fornitore esterno per assicurarsi che l'uso dell'intelligenza artificiale sia appropriato

L'acquisto di un sistema di intelligenza artificiale da una terza parte non ti esonera dalla responsabilità di aderire alla legislazione sulla protezione dei dati. Nella maggior parte dei casi, sarai il responsabile del trattamento dei dati, decidendo come implementare il sistema di intelligenza artificiale.