Intelligenze artificiali e privacy

Privacy, Big Tech e malafede: l’insostenibile leggerezza dell’inconsapevolezza degli internauti.

A fine maggio 2024, il gruppo Meta annunciò trionfante, sia a mezzo stampa che tramite notifica agli iscritti che popolano i propri social, l’arrivo in Europa della sua nuova intelligenza artificiale e che questa sarebbe stata addestrata utilizzando i dati personali di tutti gli utenti, compresi i minorenni e, in certi casi, persino quelli di coloro che non hanno mai avuto un account sui loro social (ad esempio: i minori non iscritti, le foto di una persona che magari non ha mai avuto un account ma che sono state caricate da un utente che un account ce l’ha – pensate alle foto congiunte o quelle di gruppo). I dati necessari all’implementazione dei processi di addestramento dell’A.I. di Meta comprenderebbero: nickname connesso all’account, posizione geografica dello stesso, post pubblici, immagini, video, audio e relative didascalie pubblicate su Instagram, Whatsapp, Facebook ad esclusione dei dati relativi alle conversazioni private fra gli utenti (bontà loro); l’impiego di tali dati, stando al colosso di Menlo Park, dovrebbe garantire alla propria community la fornitura di un servizio migliore e quanto più personalizzato possibile.

Quando ciò accadde, tutti coloro i quali conoscessero, anche solo un minimo, le normative vigenti in materia di privacy si domandarono: su quale base giuridica sarà fondato questo trattamento? Meta, interpretando in maniera alquanto controversa il GDPR, decise di basare questi trattamenti sulla base giuridica in assoluto più abusata del Reg. UE 679/2016 ovvero il Legittimo Interesse: il legittimo interesse, in questo caso, si configurerebbe nella necessità commerciale di sviluppare l’AI, nell’ambito dei propri social network, al fine di offrire ai propri utenti esperienze sempre più coinvolgenti ed innovative nell’ambito della fruizione dei prodotti del gruppo Meta. Utilizzando questa base giuridica, Meta tentava di aggirare l’ostacolo di dover richiedere esplicitamente agli utenti il consenso all’utilizzo dei dati per quella determinata finalità (il che avrebbe potuto costituire un rischio per la riuscita dell’operazione in quanto, potenzialmente, molti utenti avrebbero potuto rifiutarlo, data la semplicità del meccanismo di accettazione o rifiuto).

Tuttavia, la base giuridica del legittimo interesse prevede, ai fini della sua legittimità, che vi sia un bilanciamento fra gli interessi del Titolare del Trattamento ed i diritti dell’interessato. Soffermiamoci per un istante su questo punto ed analizziamo la questione dall’assunto che abbiamo appena citato: l’interesse legittimo del gruppo Meta, in questo caso, è bilanciato con i diritti degli interessati? Considerando che l’addestramento di una intelligenza artificiale passa per il trattamento di svariate tipologie di contenuti digitali (fotografie, video, audio, testi ecc.), i quali potrebbero in sé contenere dati sensibili, va da sé che l’utilizzo di queste informazioni implicano un potenziale rischio di violazioni della privacy e di danni alla libertà delle persone: potrebbero, ad esempio, essere rivelati dati particolari di un interessato, potrebbero direzionare l’intelligenza artificiale verso modalità tossiche o dannose (esempio: l’intelligenza artificiale alla base del bot Tay che fu “convertita al nazismo” e “resa ninfomane” a causa di ripetute interazioni con un gruppo di buontemponi della rete), potrebbero portare alla creazione di contenuti potenzialmente dannosi simulando l’aspetto di eventuali interessati sulla scorta di loro foto e/o video (esempio: pedopornografia, pornografia simulazione di crimini ecc.).

La base del legittimo interesse, fra l’altro, contempla anche il diritto all’opposizione al trattamento. Meta, in maniera molto poco trasparente (per usare un eufemismo), ha “garantito” quel diritto attraverso una procedura che di certo non è alla portata di chiunque: il gruppo, infatti, ha implementato una scheda compilabile nella quale inserire le proprie obiezioni in merito al al trattamento, riservandosi tuttavia la facoltà di rifiutare quelle richieste di opposizione che non sono state opportunamente motivate (compilazione da effettuarsi una volta raggiunta la scheda dell’informativa, prospettiva che in verità appare complicata a tutti coloro i quali, per un motivo o per un altro, non sono mai neanche andati a cercarla l’informativa nel menù utente – consentitemi l’osservazione: è ovvio che sia così; non tutti sono “esperti” di protezione dei dati personali ed ancora oggi i più faticano a comprendere l’utilità di questo campo ed è quindi ragionevole pensare che questi, il più delle volte, rinunceranno a mettere in atto la procedura o la eseguiranno in maniera superficiale). Molteplici sono state, infatti, le richieste rifiutate. Occorre, inoltre, sottolineare che anche il successo dell’esercizio di opposizione al trattamento non garantisce a prescindere che i dati degli utenti non vengano utilizzati per l’addestramento dell’AI. Se, ad esempio, fra due utenti “amici” su Facebook (o che si seguono a vicenda su Instagram) ve n’è uno che esercita il diritto all’opposizione ed uno che invece non lo fa, e magari questi due “amici” hanno delle foto in comune, quelle foto potrebbero comunque essere utilizzate in quel processo sulla scorta del “tacito assenso” fornito dall’utente che non ha esercitato il diritto di opposizione al trattamento (vanificando, in parte, il diritto di opposizione esercitato dal primo).

Tutto questo ha subito scatenato la veemente reazione dell’associazione NOYB (“None Of Your Business”, che si occupa di tutela dei diritti degli interessati in materia di Privacy), che ha presentato reclamo nei confronti di Meta, presso ben undici (11) Garanti della protezione dei dati personali, affermando, ad avviso di chi scrive in maniera molto corretta, che:

• il trattamento di cui all’oggetto è illegittimo in quanto, alla luce della sua gravità, non può essere fondato sul legittimo interesse ma dovrebbe essere fondato sul consenso;
• è preoccupante la questione del trattamento dei dati dei minori in quest’ambito e che ne vada analizzato ogni aspetto con il massimo scrupolo;
• troppi utenti sono totalmente ignari anche solo in merito al significato di “procedura di opposizione al trattamento” e che quindi non sarebbero in grado di eseguirla correttamente ed in autonomia;
• vi è una certa mancanza di trasparenza in merito: alle procedure di anonimizzazione dei dati, alla prevenzione di casi in cui i dati anonimizzati consentano anche in maniera indiretta l’identificazione, alle tempistiche di conservazione e di cancellazione dei dati.

Alla luce delle evidenti criticità sottolineate dal gruppo NOYB e prese in considerazione dai Garanti, il gruppo Meta, in accordo con il Garante irlandese (Meta ha la sua sede europea a Dublino), ha deciso di sospendere “i suoi piani per formare il suo ampio modello linguistico utilizzando contenuti […]” pubblicati dagli utenti sui social del proprio gruppo.

Tirato, per adesso, il proverbiale sospiro di sollievo, reputo che sia di fondamentale importanza focalizzarci su due punti che emergono prepotentemente da questa storia e che risultano fra loro pesantemente interconnessi: la malafede delle big tech e l’inconsapevolezza degli utenti.

Da quanto abbiamo sin qui analizzato, emerge infatti la chiara volontà del gruppo Meta di voler utilizzare la base giuridica del legittimo interesse per evitare di richiedere un consenso esplicito agli utenti, da un lato, e per “sfruttare” l’ignoranza degli stessi dall’altro al fine di minimizzare la possibilità di opposizione al trattamento da parte degli stessi: come accennavamo poc’anzi, infatti, molti utenti sono totalmente a digiuno in merito ai propri diritti in materia di protezione dei dati personali. Non ci si può non vedere un disegno ben chiaro da questo punto di vista, anche perché non è la prima volta che questo tipo di dinamiche si verificano nell’ambito dei social network e del rapporto piattaforma – utente.

Ad avviso di chi scrive, sarebbe il caso di riflettere sul fatto che le big tech, nonostante regolamenti, normative ed organi di controllo, cercano sempre di “gettare il cuore oltre l’ostacolo” aspettando di essere sanzionate prima di correggere le proprie pratiche scorrette, piuttosto che implementare sin da subito dei comportamenti proattivi che consentano loro di effettuare le proprie attività nel rispetto dei diritti dei propri utenti e, in base a ciò, la comunità di professionisti della privacy, unita all’autorità, dovrebbe agire di conseguenza. Sul punto, si genera così il dubbio che le sanzioni predisposte non siano realmente afflittive rispetto all’enorme giro di affari che, comunque, viene generato da tali comportamenti contra legem, tanto da “giustificarli” in nome di un profitto ben più consistente.

Dall’altro lato, benché questo assunto venga ripetuto sino allo sfinimento da anni da tutti gli addetti ai lavori in materia di protezione dei dati personali, sarebbe il caso di iniziare a pensare a come diffondere la cultura della consapevolezza in materia di dati personali, della loro tutela e dei diritti che derivano dal GDPR e leggi nazionali annesse e connesse. Benché non tutti lavorino nell’ambito, è innegabile che più andremo avanti e più la conoscenza quanto meno elementare della materia sarà una questione fondamentale nella vita quotidiana della popolazione.

Area Privacy Meleam