Digital Omnibus, sfide e incertezze della riforma Ue della protezione dati per l’intelligenza artificiale

Se lunedì il Consiglio ha approvato il testo del Digital Omnibus sull’AI, che apporterà importanti correttivi in corso d’opera all’impianto del regolamento europeo sull’intelligenza artificiale (a cominciare dal differimento dell’entrata in vigore degli obblighi per i sistemi di IA ad alto rischio), la partita più importante ai tavoli delle istituzioni europee è ancora in corso e riguarda un’altra proposta, nota semplicemente come Digital Omnibus. Si tratta della proposta di regolamento che mira a introdurre rilevanti semplificazioni soprattutto nella disciplina dei dati personali, nell’ottica di ridurre i costi legati alla conformità normativa soprattutto per le Pmi e così rafforzare la competitività digitale europea. La proposta si inserisce nel più ampio dibattito sull’impatto economico del GDPR. Secondo recenti analisi, il GDPR avrebbe inciso negativamente sulla redditività delle imprese. Alcune stime indicano una riduzione media degli utili di circa l’8,5% per quelle di minori dimensioni.

La proposta ha suscitato reazioni contrastanti, essendo stata talvolta dipinta come un disegno di deregulation mascherata da semplificazione e talaltra come una ricalibrazione insufficiente del quadro normativo. Venerdì scorso era previsto che il Comitato dei rappresentanti permanenti desse il via libera sul testo predisposto dalla presidenza del Consiglio per i successivi negoziati con il Parlamento. Segno dello stallo, il punto è stato rimosso dall’agenda dell’incontro e toccherà ora alla presidenza irlandese del Consiglio dare seguito ai lavori. Nel frattempo, le commissioni ITRE e LIBE del Parlamento europeo hanno adottato il loro Draft Report. Il negoziato interistituzionale si annuncia dunque complesso e vale la pena esaminare dove si concentrano le tensioni più rilevanti.

Il primo nodo riguarda la definizione di dato personale. La proposta della Commissione tentava di codificare un approccio relativo a questa nozione, limitando l’applicazione del GDPR ai soli soggetti effettivamente in grado di re-identificare l’interessato, in linea con le più recenti aperture della Corte di giustizia rispetto ai dati pseudonimizzati. L’iniziativa è stata abbandonata dopo il parere congiunto negativo del Comitato europeo per la protezione dei dati personali e del Garante europeo. Il Consiglio ha intrapreso una strada alternativa, delegando al Comitato europeo il compito di chiarire con sue linee guida quando un dato possa considerarsi anonimizzato, e quindi al di fuori del perimetro del GDPR.

Il secondo fronte di discussione riguarda la base giuridica del legittimo interesse per il trattamento di dati personali nello sviluppo e nell’utilizzo di sistemi di intelligenza artificiale, già riconosciuta come applicabile da numerose decisioni di autorità di protezione dati e dal Comitato europeo. Anche in questo caso, l’incertezza giuridica si traduce in un freno agli investimenti: senza un riconoscimento esplicito nel GDPR, le imprese e i loro investitori scontano un rischio regolatorio che i competitor esteri non affrontano. Non è un caso che alcune funzionalità di intelligenza artificiale (dal training sui dati degli utenti europei alle applicazioni integrate nelle principali piattaforme) siano state ritardate o limitate in Europa rispetto ad altri mercati, proprio in ragione dell’incertezza sul quadro normativo applicabile. Seppure con alcune peculiarità, la proposta della Commissione mirava a identificare espressamente questa base giuridica all’interno del GDPR. Una precisazione forse non indispensabile ma utile a rafforzare la portata della condizione di liceità del trattamento. Eppure, il testo predisposto dalla presidenza del Consiglio relega questa codificazione a un semplice considerando, rimuovendola dal testo del GDPR. Se questa opzione non significa certo un ritorno a una impraticabile logica del consenso, un’affermazione esplicita avrebbe favorito maggiore certezza giuridica.

Il terzo nodo oggetto di dibattito riguarda, infine, la sorte dei cookie. A far discutere è soprattutto la proposta di un meccanismo di raccolta dei consensi centralizzato, gestito a livello di browser anziché da ciascun sito. Combinata con il divieto di sollecitare il consenso per un periodo di sei mesi, questa soluzione potrebbe segnare un’eterogenesi dei fini del Digital Omnibus: mosso dall’intento di rafforzare la competitività digitale europea, finirebbe verosimilmente per danneggiarla. Con un’ulteriore distorsione: spostare la gestione del consenso a livello di browser significa affidarne il controllo alle piattaforme, rafforzando la posizione dominante di chi dispone già di dati di prima parte, a scapito dei publisher europei e delle Pmi che su quel modello pubblicitario fondano il proprio sostentamento. Se l’inefficacia dei cookie banner è conclamata, non sembra che l’assetto proposto, messo recentemente in discussione dallo stesso Consiglio, prometta vantaggi significativi. Non è nemmeno chiaro il vantaggio per i consumatori: alla riduzione dei banner si contrappongono la perdita di servizi gratuiti finanziati dalla pubblicità e il rischio che, con meno utenti tracciabili, i publisher intensifichino l’estrazione di dati su chi ha prestato il consenso. L’effetto netto sull’utente finale rimane, allo stato, indeterminato.