Titolare e responsabile del trattamento quando usi l'intelligenza artificiale
Pubblicata il
«Titolare del trattamento» dei dati, ai sensi del GDPR, è chi determina finalità e mezzi di un trattamento di dati personali.
«Responsabile del trattamento» è chi tratta quei dati per conto del titolare. Sono le definizioni dell’articolo 4 del GDPR (Regolamento UE 2016/679), punti 7 e 8.
Siamo abituati a trovare titolare e responsabile del trattamento negli articoli sul GDPR. Come mai li ritroviamo in un sito che si occupa di AI-Act e di intelligenza artificiale? Perché ogni strumento di intelligenza artificiale (AI) che, in qualunque studio o azienda, elabora dati dei clienti, comporta un trattamento di dati personali: un chatbot, un trascrittore, un gestionale con funzioni generative.
Un esempio: lo studio di registrazione
Guarda l’immagine in alto. In uno studio di registrazione la produttrice indica al tecnico cosa registrare, e il tecnico esegue al banco di missaggio.
La produttrice, che è il titolare del trattamento, decide perché si registra e come: sono le finalità e i mezzi dell’articolo 4, punto 7, del GDPR. Il tecnico, che è il responsabile del trattamento, lavora per suo conto e sulle sue istruzioni: è la figura dell’articolo 4, punto 8, del GDPR, e il suo rapporto con il titolare è regolato dall’articolo 28.
Se il tecnico decide da solo di usare le registrazioni per scopi suoi, smette di essere responsabile e diventa automaticamente titolare del trattamento del dato. L’articolo 28, paragrafo 10, del GDPR infatti dice che il responsabile che viola il regolamento determinando lui stesso finalità e mezzi del trattamento è considerato titolare di quel trattamento. Resta comunque presente una sua responsabilità per la violazione.
Il tuo studio o la tua azienda e l’intelligenza artificiale
Se il tuo studio o la tua azienda usa un servizio di AI per trascrivere colloqui con clienti o fornitori, oppure visite mediche, o per gestire la posta o conversare con i clienti, sei nel ruolo della produttrice: sei il titolare, e decidi perché usarlo, con quali dati e per quanto tempo. Il fornitore dello strumento è il tecnico: tratta i dati seguendo le tue istruzioni ed è il responsabile.
Il GDPR (articolo 28, paragrafo 3) vale anche quando il trattamento passa per uno strumento di AI: titolare e responsabile restano gli stessi. Serve perciò un contratto o altro atto giuridico tra il titolare e il responsabile dei dati, ovvero tra te e il fornitore dello strumento di intelligenza artificiale, che fissi oggetto, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati e obblighi, tra cui trattare i dati solo su istruzione documentata del titolare. Il titolare deve scegliere un responsabile con garanzie sufficienti (articolo 28, paragrafo 1, del GDPR) e non è assolutamente scontato che ogni fornitore le offra. In questo sito ti aiutiamo a diventare consapevole di queste scelte perchè inevitabilmente ricadono su di te a livello di responsabilità civili e sanzioni.
In particolare alcuni strumenti di AI gratuiti e/o in versione personale usano i dati inseriti anche per scopi propri, come l’addestramento, e lo dichiarano nelle condizioni d’uso. Per quella parte il fornitore non è un responsabile che esegue le tue istruzioni: decide lui, e diventa titolare autonomo. Per i dati dei clienti servono quindi versioni con contratto di trattamento e con l’addestramento escluso.
Sistemi di AI: quando coesistono due titolari o due responsabili dei dati
Due produttrici che decidono insieme cosa registrare sono contitolari (articolo 26 del GDPR) e devono avere un accordo tra loro. Succede, per esempio, quando due studi scelgono insieme uno strumento di AI e decidono insieme come usarlo con i dati dei clienti. Diverso è il caso del fornitore che usa i dati per scopi suoi: lì non è contitolare, ma titolare autonomo, come abbiamo visto sopra.
Il tecnico che chiama un collega a fare una parte del lavoro è un altro responsabile, cioè un sub-responsabile. Questa scelta per legge è ammessa solo con autorizzazione scritta del titolare (articolo 28, paragrafo 2, del GDPR). Il ruolo dipende da chi decide davvero finalità e mezzi. Vale anche per l'AI: se il fornitore passa i dati a un altro fornitore, per esempio a chi gli mette a disposizione il modello, serve la tua autorizzazione. Di solito la si dà in forma generale nel contratto, con l'elenco dei sub-responsabili.Cosa cambia con l’AI Act
L’AI Act aggiunge un secondo livello di ruoli, deployer e fornitore del sistema di AI, che non coincide con titolare e responsabile. Sono classificazioni parallele, di regolamenti diversi: rispondere all’una non esaurisce l’altra.
Domande frequenti
Il fornitore del mio gestionale in cloud è titolare o responsabile?
È responsabile, se tratta i dati dei tuoi clienti per le finalità che stabilisci tu.
Posso essere titolare e responsabile insieme?
Sì, per trattamenti diversi: titolare per i dati dei tuoi clienti, responsabile se tratti dati per conto di un altro professionista o un’azienda.