Quando una mansione passa da una persona a un sistema, spesso non cambia solo chi svolge il lavoro, ma anche il modo in cui vengono trattati i dati personali. Un collaboratore che valuta una richiesta di un cliente legge i dati, li pondera e decide. Un sistema che assume la stessa mansione tratta quei dati in modo diverso: in modo strutturato, ripetibile, a volte con conservazione o trasmissione che prima non c'era. Il GDPR guarda al trattamento, non al fatto che una mansione suoni 'automatizzata'. Questo rende l'automazione, nella sua essenza, un evento rilevante dal punto di vista della protezione dei dati, anche se il risultato per il cliente sembra identico.
Questo vale a ogni livello di automazione, da un semplice script a un sistema di AI che trae conclusioni in autonomia. Nel valutare l'idoneità di una mansione all'AI rientra quindi anche la domanda su quali dati siano coinvolti e se il relativo trattamento rientri ancora nella finalità per cui i dati sono stati originariamente raccolti. Per questo motivo, come valutiamo una mansione dedica attenzione alla natura del trattamento dei dati, oltre alla domanda se la mansione sia nel merito idonea a essere trasferita a un sistema.
Quando una mansione viene automatizzata, di solito cambiano tre elementi:
Nessuno di questi cambiamenti costituisce di per sé un problema. Rappresentano però un momento per riesaminare il trattamento, invece di presumere che una base giuridica esistente si trasferisca automaticamente al nuovo modo di lavorare.
Ogni trattamento di dati personali richiede una base giuridica, ad esempio il consenso, un contratto, un obbligo legale o un legittimo interesse. Tale base giuridica è collegata a un trattamento così come era stato configurato e valutato all'epoca. Se il trattamento cambia in modo sostanziale, la base giuridica originaria può non essere più sufficiente.
Questo accade più spesso di quanto sembri. Un legittimo interesse valutato per un trattamento manuale non regge automaticamente se il volume, la velocità o la portata del trattamento aumentano notevolmente a causa dell'automazione. Il consenso richiesto per una finalità specifica non copre una seconda finalità che si aggiunge tramite un'applicazione di AI. E nel caso di processi decisionali automatizzati con effetti giuridici per gli interessati, si applicano condizioni aggiuntive, indipendentemente da quale altra base giuridica sia applicabile.
Il fatto che una mansione rientri nella categoria uno, due o tre — l'AI può assumerla, l'AI può svolgerla in parte sotto supervisione, oppure resta lavoro umano — non dice quindi ancora nulla sul fatto che il trattamento dei dati sottostante sia coperto. Si tratta di due verifiche distinte ma correlate: una mansione che, a causa dei rischi legati ai dati, resta nella categoria due o tre, spesso lo fa proprio perché la base giuridica o l'impatto sugli interessati non sono ancora stati chiariti.
Il GDPR stesso, le spiegazioni dell'Autorità Garante per la Protezione dei Dati Personali e le linee guida delle autorità di controllo europee per la privacy sono i luoghi in cui sono indicati i requisiti attuali, incluse eventuali norme specifiche per le applicazioni di AI che possono cambiare dopo la pubblicazione di questa pagina. Qui non menzioniamo deliberatamente numeri di articoli o termini: possono cambiare e appartengono al testo di origine, non a una panoramica che potrebbe non essere più aggiornata nel momento in cui la si legge.
Questa pagina descrive il meccanismo, non fornisce una consulenza su misura. Se una specifica automazione richieda una nuova base giuridica, giustifichi una DPIA o riguardi un processo decisionale automatizzato è una questione giuridica che va valutata caso per caso, di norma con un legale o un responsabile della protezione dei dati.
Se l'automazione riguarda una mansione svolta da più persone, la questione della privacy di solito non è l'unica. Può entrare in gioco anche la partecipazione dei lavoratori: quando ne è competente il consiglio aziendale spiega in quali casi è necessario il consenso o il parere quando i processi di lavoro cambiano. Entrambi i percorsi — la verifica sulla privacy e la partecipazione dei lavoratori — procedono in parallelo e non si sostituiscono a vicenda.
Questa pagina descrive cosa cambia nel trattamento ai sensi del GDPR con l'automazione; non risponde alla domanda se le vostre specifiche mansioni siano giuridicamente coperte o idonee a essere trasferite all'AI. Per un'indicazione iniziale e non vincolante di quale parte delle ore nel vostro profilo possa essere ripresa oggi dall'AI, potete compilare la quickscan gratuita di ftetoai: dodici domande, senza account. La scansione riguarda il contenuto della mansione, non il trattamento dei dati che vi ruota attorno — quella verifica resta necessaria separatamente. La werkscan completa, che approfondisce i singoli processi, è ancora in fase di sviluppo.
Vraag maar. Ik ken de kennisbank van deze site; wat ik niet weet, zeg ik erbij.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.