Ok del Garante privacy a Regolamento per l’uso dell’intelligenza artificiale per la gestione degli esposti

La Banca d’Italia ha chiesto al Garante per la protezione dei dati personali un parere in ordine alla conformità dello schema di Regolamento relativo ai trattamenti di dati effettuati dalla Banca d’Italia nella gestione degli esposti che la stessa riceve, rispetto alla normativa in materia di protezione dei dati personali. In particolare, la banca centrale nazionale ha, fra gli altri compiti, quello di ricevere e valutare gli esposti che riguardano la trasparenza delle condizioni contrattuali, la correttezza dei rapporti tra gli intermediari bancari e i clienti nonché i diritti e gli obblighi delle parti nella prestazione dei servizi di pagamento, al fine di emettere ed applicare le eventuali sanzioni nei confronti degli operatori del settore bancario. Al fine di poter compiere una migliore analisi degli esposti che vengono presentati, la Banca d’Italia ha quindi deciso di utilizzare un sistema basato sull’intelligenza artificiale che possa raccogliere e catalogare in maniera omogena i vari esposti. Conseguentemente, ha sottoposto alla valutazione del Garante privacy il relativo schema di regolamento che disciplina l’uso di tali strumenti. 
>>>Leggi il Parere del Garante per la protezione dei dati personali alla Banca d’Italia  n. 78 del 24-02-2022
Al rapporto con le AI abbiamo dedicato il volume “Il nuovo diritto d’autore -La tutela della proprietà intellettuale nell’era dell’intelligenza artificiale”.

1. Il contenuto dello schema di Regolamento

Lo schema di regolamento esaminato, stabilisce, in primo luogo, che il trattamento degli esposti presentati alla Banca d’Italia è finalizzato a ottimizzare l’insieme delle informazioni che si possono ricavare dagli esposti per poter ottenere degli elementi utili circa fenomeni di interesse per l’attività di vigilanza svolta dalla Banca d’Italia nei confronti degli intermediari bancari e finanziari. In secondo luogo, viene previsto che attraverso gli strumenti di intelligenza artificiale è possibile analizzare il contenuto degli esposti, in modo da estrarre concetti e ricorrenze nonché di collegare le informazioni che sono contenute nei vari esposti. In particolare, detti strumenti potranno accedere a tutti i documenti depositati dagli esponenti e ricercare al loro interno tutte le informazioni presenti che siano riconducibili ad un determinato servizio o prodotto finanziario: in tal modo, potranno essere individuate delle fattispecie che hanno elementi di somiglianza e così ricavare informazioni utili per trattare gli esposti e affinchè la Banca d’Italia possa svolgere la sua attività di vigilanza. Infine, lo schema di regolamento da conto che i dati personali contenuti negli esposti possono essere anche relativi alle categorie particolari di dati previste dal GDPR o a quelli di carattere giudiziario ed essere riferiti non solo alle persone fisiche che presentano l’esposto, ma anche a soggetti terzi che sono a vario titolo legate o coinvolte nella vicenda. Dal punto di vista della disciplina dei trattamenti e delle misure adottate, lo schema di Regolamento e la valutazione di impatto compiuta dalla Banca d’Italia e che è ad esso allegata, recepiscono le indicazioni che erano state date dallo stesso Garante privacy durante le audizioni informali precedenti all’emanazione del provvedimento e stabiliscono:

• nel rispetto del principio di liceità, correttezza e trasparenza, in maniera precisa e distinta quali sono i trattamenti effettuati, le tipologie di dati trattati, le categorie di interessati, le operazioni eseguibili e le modalità di trattamento, nella trattazione degli esposti;
• l’individuazione di misure appropriate a tutela dei diritti degli interessati, quali il ricorso ad una logica di aggregazione degli esposti in base alle parole simili, che sono state utilizzate dagli esponenti all’interno dell’esposto, con riferimento ai prodotti e ai servizi offerti alla clientela o all’oggetto della segnalazione delle problematicità; mentre non viene fatta alcuna aggregazione in base ai dati personali degli esponenti o dei soggetti terzi comunque coinvolti (in altri termini, gli strumenti di intelligenza artificiale, nella loro analisi, non tengono conto dei suddetti dati personali);
• altri misure, come l’esclusione di ogni forma di profilazione o di predizione di comportamenti delle persone fisiche esponenti o di quelle terze comunque coinvolte nella vicenda;     
• ed ancora altre apposite misure di sicurezza, come la limitazione dell’accesso alle informazioni soltanto ai dipendenti abilitati e addetti all’attività di gestione degli esposti e all’uso delle informazioni in esse contenuti attraverso gli strumenti di intelligenza artificiale; 
• la definizione di modalità con cui informare gli interessati del trattamento, delle sue caratteristiche e delle garanzie loro assicurate;
• la previsione che i dati e le elaborazioni effettuate non vengono trasmessi ad alcun destinatario esterno alla Banca d’Italia;
• l’individuazione di un tempo di conservazione dei dati di 10 anni;
• la previsione di un periodico monitoraggio e aggiornamento delle tecniche di machine learning, attraverso la partecipazione di soggetti persone fisiche, esperti dell’area gestione esposti e tecnici della valutazione dei dati, in modo da poter guidare e controllare i modelli che sono creati dagli strumenti di intelligenza artificiale;
• l’uso di tecniche che permettono di poter rappresentare il modo con cui l’algoritmo funziona e che possano così spiegare la logica che ha portato ai risultati prodotti dall’algoritmo stesso;
• la costante effettuazione di valutazioni di rischio sui diritti e le libertà degli interessati compiuta durante il processo di continuo riaddestramento dell’algoritmo.

Al rapporto con le AI abbiamo dedicato il volume “Il nuovo diritto d’autore -La tutela della proprietà intellettuale nell’era dell’intelligenza artificiale”.

2. Il parere del Garante

In considerazione di tutto quanto sopra, il Garante ha ritenuto che il trattamento di dati effettuato dalla Banca d’Italia attraverso l’uso di strumenti di intelligenza artificiale per la gestione degli esposti, insieme alle indicazioni contenute nella valutazione di impatto correlata, come sopra esposte, fornisce delle misure adeguate di tutela dei diritti e delle libertà degli interessati, proprio in considerazione del fatto che è escluso ogni processo decisionale automatizzato in ordine alle persone fisiche, del fatto che è garantita la necessaria trasparenza del trattamento (ai fini dell’esercizio dei propri diritti da parte di questi ultimi) e del fatto che la presenza di operatori umani che affiancano l’algoritmo permette di rispettare i principi di accountability e di privacy by design e by default previsti dal Regolamento europeo. Pertanto, il Garante per la protezione dei dati personali ha dato il proprio parere positivo sullo schema di Regolamento in esame che è stato proposto dalla Banca d’Italia.

Potrebbero interessarti anche:

• Garante sanziona struttura sanitaria dal cui sito internet si poteva facilmente accedere ai dati sanitari di 1700 utenti
• La Regione, titolare del trattamento dei dati sanitari, risponde anche nel caso di trattamento illegittimo su richiesta del Ministero
• Il parere del Garante Privacy sullo schema predisposto da AgID per l’erogazione del servizio pubblico wi-fi free