Mercoledì scorso, gli Stati membri dell’UE hanno approvato una modifica al GDPR che anteporrebbe gli interessi economici di OpenAI, Anthropic, Google, Meta e SpaceX al diritto fondamentale dei cittadini europei alla protezione dei dati. Secondo il testo approvato, il trattamento dei dati personali “nel contesto dell’IA” dovrebbe essere automaticamente lecito. In particolare, le Big Tech potrebbero utilizzare tutti i dati personali raccolti negli ultimi decenni praticamente senza alcuna restrizione, purché ciò avvenga “nel contesto» dell’IA. Schrems: «In base al testo concordato, i profitti delle aziende di IA prevalerebbero di norma sul diritto fondamentale alla privacy dei cittadini europei. Si tratta di nient’altro che di un’espropriazione digitale degli europei.» Tutto ciò sta avvenendo nonostante le figure di spicco delle aziende di IA mettano attivamente in guardia dagli enormi rischi associati ai propri prodotti.
Cadono gli ultimi ostacoli: i profitti delle aziende di IA prevalgono sulla protezione dei dati? Nell’ambitodella proposta “Digital Omnibus”, la Commissione europea ha affermato che avrebbe apportato solo modifiche minori per semplificare le cose alle aziende dell’UE. Allo stesso tempo, ha dichiarato esplicitamente di voler mantenere un “elevato livello di protezione” per i cittadini europei. È stata quindi scelta una «procedura accelerata», senza effettuare una valutazione dei diritti fondamentali né coinvolgere direttamente il gruppo di esperti europei sulla protezione dei dati.
L’articolo 88 quater, così come proposto dalla Commissione europea (ora articolo 88 bis nel documento del Consiglio), mira a liberalizzare l’uso dei dati personali per l’IA. La proposta è attualmente all’esame del Consiglio, dove la presidenza irlandese detiene attualmente le redini. L’Irlanda funge anche da sede europea per la maggior parte delle società statunitensi e cinesi operanti nel settore dell’IA.
Espropriazione digitale: approvata in sede di Consiglio. Con il sostegno della Germania e di altre potenze dell’UE, mercoledì il Consiglio (in rappresentanza degli Stati membri dell’UE) ha approvato che alle aziende debba essere generalmente consentito di fare praticamente qualsiasi cosa quando utilizzano i dati personali «nel contesto dell’IA». Ciò significa che gli interessi commerciali delle aziende di IA prevalerebbero in linea di massima sui diritti fondamentali degli utenti. Questa autorizzazione generale si applicherebbe anche a persone che non sono mai state clienti di un’azienda di IA e a dati inseriti decenni fa, ad esempio nelle chat o sui social media. Tutti i dati personali di cui un’azienda operante nel settore dell’IA possa in qualche modo entrare in possesso rientrerebbero in tale disposizione. Non sarebbe necessario chiedere il consenso degli utenti. Si presume invece automaticamente che le aziende abbiano un «interesse legittimo» prevalente qualora utilizzino o addestrino qualsiasi prodotto di IA.
Il Consiglio ha aggiunto un riferimento ai diritti e ai doveri esistenti ai sensi dell’articolo 21 (diritto di opposizione in casi specifici) e dell’articolo 24 del GDPR (necessità di attuazione tecnica e organizzativa degli obblighi di legge), ma queste presunte «garanzie» si applicherebbero a qualsiasi trattamento anche senza tale riferimento. In sostanza, il nuovo articolo 88 bis sull’IA non prevede alcuna garanzia sostanziale.
Max Schrems: “Mercoledì scorso, gli Stati membri dell’UE hanno concordato di prendere i nostri dati e fornirli gratuitamente alle aziende di IA. Per decenni abbiamo detto alle persone che i loro dati sono al sicuro e, nella migliore delle ipotesi, vengono utilizzati per la pubblicità. Ora, Google, Meta e Microsoft possono semplicemente utilizzare tutti i dati che hanno raccolto quasi senza limiti e per qualsiasi progetto che preveda una componente di ‘IA’. Questo è il regalo più grande che gli Stati membri dell’UE abbiano mai fatto alle Big Tech statunitensi.”
La vendita dei dati europei agli Stati Uniti e alla Cina. I politici sembrano credere che l’economia europea trarrà vantaggio dall’abolizione del maggior numero possibile di leggi. Tuttavia, ci si può aspettare esattamente il contrario: la maggior parte delle aziende dell’UE non ha né l’accesso allo stesso volume di dati né il capitale necessario per competere con le società statunitensi. In molti casi, ciò potrebbe anche significare che i dati raccolti dalle aziende dell’UE (ma trattati su piattaforme o servizi al di fuori dell’UE) finirebbero nelle mani di fornitori negli Stati Uniti o in Cina.
Max Schrems: «Questo cambiamento legislativo avvantaggia principalmente i grandi operatori, ovvero coloro che hanno raccolto enormi quantità di dati europei. Si tratta di una vera e propria svendita dei dati europei alle multinazionali. Ciò comporterebbe inoltre un massiccio trasferimento di know-how dalle aziende dell’UE verso gli Stati Uniti o la Cina. Dal punto di vista della politica industriale, un simile approccio è una follia.»
Un assegno in bianco per un’intera tecnologia? Di norma, il GDPR consente il trattamento per finalità specifiche (ad esempio, la conservazione ai fini fiscali o la prevenzione delle frodi). Tuttavia, l’articolo 88c (o articolo 88bis) concordato legittima un’intera tecnologia. Indipendentemente dalla finalità per cui viene utilizzato, qualsiasi sistema di IA potrebbe, per impostazione predefinita, acquisire legalmente qualsiasi dato personale. Ad esempio, l’articolo proposto consentirebbe anche l’addestramento e l’uso dell’IA a fini di manipolazione, disinformazione, generazione di immagini di nudo o droni killer, e in effetti per qualsiasi altro scopo discutibile. Molte operazioni di trattamento che finora erano illegali potrebbero improvvisamente diventare legali – semplicemente perché vengono effettuate «nel contesto» di un sistema di IA. Ad esempio, il trattamento dei dati a fini pubblicitari personalizzati (senza consenso) è attualmente illegale nell’UE. Ora, tuttavia, la pubblicità potrebbe improvvisamente diventare legale se personalizzata utilizzando la tecnologia dell’IA.
Max Schrems: «È come dire che tutto è permesso – qualunque cosa si faccia – purché sia fatto con l’IA. Se qualcosa è illegale in un foglio di calcolo Excel, diventa legale se fatto con un agente di IA. È assolutamente assurdo riservare un trattamento preferenziale a una tecnologia ad alto rischio rispetto a qualsiasi altro sistema informatico».
La promessa di protezione dei dati, che dura da 45 anni, sta crollando. A livello europeo, la legislazione sulla protezione dei dati esiste dal 1981. Per decenni, agli europei è stato promesso che una protezione dei dati così (presumibilmente) «rigorosa» avrebbe garantito che piattaforme come Twitter/X, Facebook o Instagram, e aziende come Google o Microsoft, che raccolgono enormi quantità di dati, non li avrebbero «mai» utilizzati per scopi diversi da quelli per cui erano stati condivisi. L’articolo 88c proposto (o ora 88bis) infrange questa promessa: tutti i dati raccolti sono improvvisamente a disposizione per qualsiasi utilizzo da parte di qualsiasi sistema di intelligenza artificiale.
Max Schrems: “Fin dagli anni ’80 abbiamo promesso alle persone che, sebbene le grandi aziende possano conservare i dati, sono autorizzate a utilizzarli solo in misura limitata. Tuttavia, l’articolo 88bis apre improvvisamente le porte e consente un uso illimitato di tutti i dati per l’IA.»
Ulteriori massicce limitazioni alle tutele e ai diritti. Inoltre, gli Stati membri dell’UE hanno proposto di restringere drasticamente la definizione di “dati personali”. Ciò significa che, tra le altre cose, non è chiaro se il tracciamento online rientrerebbe ancora nell’ambito di applicazione del GDPR. Ciò dovrebbe avvenire ricorrendo ai cosiddetti «pseudonimi», che in linea di massima non dovrebbero più rientrare nell’ambito di applicazione del GDPR. Il problema è che la maggior parte dei sistemi informatici opera principalmente con pseudonimi (come ID utente, ID di tracciamento, indirizzi IP o numeri di previdenza sociale). La decisione sul fatto che i dati siano ancora «personali» spetterebbe principalmente alle aziende soggette alla normativa. Tali dibattiti si trascinano tipicamente per anni e sommergono le procedure di enormi ritardi e costi esorbitanti – quindi tutt’altro che una «semplificazione».
Max Schrems: «Queste modifiche sembrano uscite direttamente dal manuale di qualsiasi grande studio legale che difende le big tech. Abbiamo trascorso anni nei tribunali e davanti alle autorità per far respingere queste affermazioni. Il legislatore dell’UE probabilmente le rafforzerà, rendendo così il diritto dell’UE ancora più complesso e inapplicabile.»
Prossimo campo di battaglia: il Parlamento europeo. Questo accordo non costituisce un accordo sulla legge definitiva. Il Consiglio dovrà negoziare il testo definitivo con il Parlamento europeo, che deve ancora prendere posizione. La Commissione europea è la terza istituzione coinvolta nel cosiddetto "triloghi" che porteranno a una legge definitiva dell’UE. La Commissione ha già compiuto una svolta di 180 gradi qualche tempo fa e attualmente dà chiaramente la priorità agli interessi delle lobby industriali rispetto ai diritti fondamentali.
La posizione del Parlamento europeo è ancora in fase di definizione. Mentre la maggior parte del Partito Popolare Europeo (PPE) tende a sostenere l’introduzione di sempre più scappatoie nelle leggi digitali dell’UE, i deputati europei delle frazioni di centro-sinistra hanno finora opposto resistenza e sono favorevoli al mantenimento dello status quo. Sempre più spesso, anche i gruppi di estrema destra si oppongono alle proposte di un “pass gratuito” per le Big Tech.
Ultima speranza: la Corte di giustizia? Laquestione principale sembra essere se una legge priva di restrizioni significative possa in qualche modo essere conciliata con i diritti fondamentali dell’UE. In passato, la Corte di giustizia europea ha dichiarato incostituzionale la normativa UE in casi che comportavano violazioni ben meno significative dei diritti fondamentali dell’Unione, come la conservazione dei dati o il trasferimento di dati dell’UE verso gli Stati Uniti.
Max Schrems: «Se il legislatore ha perso ogni senso della misura e dell’orientamento, i cittadini non possono che rivolgersi ai tribunali. Qualsiasi legge estrema che presenti un alto rischio di essere annullata non farebbe altro che creare maggiore incertezza giuridica, anziché la semplificazione promessa.»
