Privacy e intelligenza artificiale

Privacy nell’era dell’AI

L’avvento dell’intelligenza artificiale generativa ha rivoluzionato il modo in cui interagiamo con la tecnologia, ma ha anche sollevato questioni cruciali sulla protezione dei dati personali. Piattaforme come ChatGPT, Claude, Perplexity e il cinese DeepSeek processano miliardi di conversazioni quotidianamente, raccogliendo enormi quantità di informazioni sensibili degli utenti.

Il Garante per la Protezione dei Dati Personali italiano e le autorità europee stanno intensificando i controlli per garantire che queste tecnologie rispettino il GDPR e tutelino i diritti fondamentali dei cittadini.

Il caso ChatGPT e OpenAI

OpenAI, l’azienda dietro ChatGPT, rappresenta il caso più significativo di violazioni privacy nel settore AI. Nel dicembre 2024, il Garante Privacy italiano ha inflitto una sanzione record di 15 milioni di euro per gravi violazioni del GDPR. Le principali criticità riscontrate includono:

• Mancanza di base giuridica per il trattamento dei dati personali utilizzati per addestrare il modello AI
• Data breach non notificato all’autorità nel marzo 2023, nonostante il coinvolgimento di utenti italiani
• Violazione del principio di trasparenza con informative privacy inadeguate
• Assenza di meccanismi di verifica dell’età per proteggere i minori dall’esposizione a contenuti inappropriati

La società americana aveva inizialmente trattato i dati personali degli utenti per addestrare ChatGPT senza individuare una base giuridica adeguata, utilizzando le conversazioni degli utenti per migliorare il sistema senza un consenso esplicito.

DeepSeek e i rischi geopolitici

Il chatbot cinese DeepSeek ha sollevato preoccupazioni ancora maggiori per la sicurezza dei dati. Nel gennaio 2025, il Garante Privacy italiano ha disposto il blocco immediato della piattaforma per gravi violazioni:

• Conservazione dei dati su server cinesi senza adeguate garanzie di protezione
• Possibile accesso del governo cinese ai dati degli utenti attraverso le normative locali
• Mancanza di trasparenza sulle categorie di dati raccolti e le finalità del trattamento
• Dichiarazione di non applicabilità del GDPR da parte delle società cinesi, posizione rigettata dall’autorità italiana

Esperti di cybersecurity hanno scoperto che DeepSeek contiene codice nascosto in grado di trasmettere i dati degli utenti direttamente al sito CMPassport.com, un registro online di China Mobile controllato dal governo cinese.

Sanzioni del Garante Privacy italiano ai principali chatbot AI, evidenziando le violazioni più gravi di ChatGPT e Replika

Claude di Anthropic: l’approccio “Privacy by Design”

Claude, sviluppato da Anthropic, rappresenta un esempio positivo nell’ecosistema AI per il suo approccio orientato alla privacy. La piattaforma implementa diverse salvaguardie:

• AI Costituzionale con principi integrati per la protezione della privacy
• Non utilizzo dei dati degli utenti per l’addestramento dei modelli, salvo casi specifici di sicurezza
• Crittografia avanzata dei dati sia in transito che a riposo
• Accesso limitato dei dipendenti alle conversazioni degli utenti

Anthropic ha sviluppato un sistema di classificazione AI Safety Levels (ASL) che struttura l’intero ciclo di vita dei modelli per prevenire abusi e comportamenti imprevisti.

Perplexity: trasparenza vs monetizzazione

Perplexity AI si presenta con un approccio più trasparente rispetto ad altri competitor, ma non è esente da criticità:

• Non utilizza dati personali per addestrare i modelli secondo le dichiarazioni ufficiali
• Non condivide dati con terze parti a fini pubblicitari
• Tuttavia, il nuovo browser Comet raccoglie dati comportamentali per pubblicità personalizzata

Il CEO di Perplexity ha annunciato apertamente l’intenzione di tracciare ogni attività online degli utenti attraverso il browser per vendere pubblicità iper-personalizzate.

Diritti garantiti dal GDPR

Gli utenti europei godono di diritti fondamentali nell’uso di sistemi AI, sanciti dal GDPR:

• Diritto alla trasparenza: essere informati su come vengono trattati i propri dati
• Diritto di accesso: ottenere informazioni sui dati personali trattati
• Diritto alla cancellazione (“diritto all’oblio”): richiedere la rimozione dei propri dati
• Diritto di opposizione: rifiutare specifici trattamenti, incluso l’addestramento AI
• Diritto alla portabilità: trasferire i propri dati ad altri servizi

Tutela per i minori

I minori ricevono protezione rafforzata nel contesto AI, con requisiti specifici:

• Consenso parentale obbligatorio per minori sotto i 16 anni
• Verifica dell’età efficace per prevenire l’accesso inappropriato
• Contenuti adeguati al grado di sviluppo e autoconsapevolezza
• Protezione da manipolazione e dipendenza online

Le piattaforme che non implementano sistemi di verifica dell’età adeguati rischiano sanzioni severe, come dimostrato dai casi OpenAI e Replika.

Strumenti di tutela per gli utenti

Gli utenti possono adottare misure concrete per proteggere la propria privacy:

Opt-out dall’addestramento AI:

• ChatGPT: disattivare l’opzione nelle impostazioni
• Perplexity: utilizzare il toggle “AI Data Usage” nel profilo
• Meta AI: compilare i moduli di opposizione disponibili online

Versioni locali: Per DeepSeek e altri modelli open source, utilizzare installazioni locali per evitare la trasmissione dei dati su server esterni

Controllo delle informazioni condivise: Evitare di inserire dati sensibili come informazioni personali, documenti riservati o credenziali

L’integrazione tra GDPR e AI Act

L’Unione Europea ha sviluppato un framework normativo completo che combina il GDPR (2018) con il nuovo AI Act (2024):

• GDPR: tutela i diritti fondamentali e la protezione dei dati personali
• AI Act: regola la sicurezza e l’uso etico dei sistemi AI

Le due normative si completano a vicenda per creare un quadro che incoraggia l’innovazione tutelando i diritti degli individui.

Sistema di sanzioni

Le violazioni delle norme privacy nell’AI comportano sanzioni severe:

Sanzioni GDPR:

• Fino a 20 milioni di euro o 4% del fatturato annuo globale per le violazioni più gravi
• Fino a 10 milioni di euro o 2% del fatturato per violazioni meno gravi

Sanzioni AI Act:

• Fino a 35 milioni di euro o 7% del fatturato per pratiche AI vietate
• Fino a 15 milioni di euro o 3% del fatturato per altre violazioni

Europa vs mondo

Approccio europeo: diritti fondamentali

L’Europa adotta un approccio antropocentrico che pone l’individuo al centro dello sviluppo tecnologico. Il GDPR europeo garantisce diritti estesi e controlli rigorosi sulla raccolta e uso dei dati personali.

Il controllo statale del modello cinese

La Cina applica il Personal Information Protection Law (PIPL), che pur mirando alla protezione dei dati, è fortemente influenzato dagli interessi statali. Le aziende cinesi devono fornire dati al governo quando richiesto per ragioni di sicurezza nazionale.

L’autoregolamentazione del sistema americano

Gli Stati Uniti mantengono un approccio basato principalmente sull’autoregolamentazione delle aziende tecnologiche, con controlli meno stringenti rispetto al modello europeo.

Raccomandazioni per una protezione efficace

Per gli utenti individuali

1. Leggere attentamente le privacy policy delle piattaforme AI
2. Utilizzare funzioni di opt-out quando disponibili
3. Evitare di condividere informazioni sensibili nei prompt
4. Preferire piattaforme con politiche privacy trasparenti
5. Considerare versioni locali per uso professionale o sensibile

Per le aziende

• Implementare Data Protection Impact Assessment (DPIA) prima dell’adozione
• Garantire supervisione umana nelle decisioni automatizzate
• Adottare principi di privacy by design
• Formare il personale sui rischi e obblighi privacy
• Definire politiche chiare per l’uso aziendale di AI

Per i policymaker

1. Rafforzare controlli sui trasferimenti extra-UE di dati
2. Sviluppare standard tecnici per la verifica dell’età
3. Promuovere educazione digitale sui diritti privacy
4. Intensificare cooperazione internazionale per standard comuni

Verso un equilibrio tra innovazione e privacy

La protezione della privacy nell’era dell’AI rappresenta una delle sfide più complesse del nostro tempo. I casi di ChatGPT, DeepSeek e altri chatbot dimostrano come l’innovazione tecnologica possa facilmente entrare in conflitto con i diritti fondamentali se non adeguatamente regolamentata.

L’approccio europeo, basato sulla combinazione di GDPR e AI Act, offre il framework più avanzato per la tutela degli utenti, ma richiede un’applicazione rigorosa e costante. Le sanzioni inflitte dal Garante Privacy italiano dimostrano la volontà delle autorità di far rispettare le norme, ma è essenziale che anche gli utenti sviluppino maggiore consapevolezza sui propri diritti e sui rischi associati all’uso di tecnologie AI.

Il futuro della privacy nell’AI dipenderà dalla capacità di trovare un equilibrio tra l’innovazione tecnologica e la protezione dei diritti fondamentali, garantendo che l’intelligenza artificiale rimanga uno “strumento per le persone” piuttosto che una minaccia alla loro autonomia e dignità.

Gli utenti hanno oggi strumenti concreti per proteggere la propria privacy: dall’opt-out dall’addestramento AI all’uso di versioni locali, dalla scelta di piattaforme più rispettose della privacy alla formazione sui propri diritti digitali. La chiave è utilizzare questi strumenti con consapevolezza e continuare a esigere trasparenza e responsabilità dalle aziende che sviluppano queste potenti tecnologie.