Le conversazioni con un chatbot aziendale rientrano nella copia?

Sì, se riguardano l'interessato: l'EDPB considera dati personali anche i log di attività, quindi domande, risposte e cronologia che lo riguardano vanno cercate e consegnate, comprese quelle sulla piattaforma di un fornitore.

Se il fornitore del modello è lento, il termine di un mese si allunga?

No. Il mese decorre dal ricevimento della richiesta e si può prorogare di due mesi solo per richieste complesse o numerose, informandone l'interessato entro il primo mese: i tempi del fornitore vanno fissati nel contratto.

Cos'è una richiesta di accesso dell'interessato (DSAR)?

Richiesta con cui una persona domanda a un'azienda se tratta i suoi dati personali e ne ottiene una copia gratuita entro un mese, come prevede l'art. 15 GDPR.

La richiesta di accesso dell'interessato (in inglese data subject access request, DSAR) è la domanda con cui una persona chiede a un'azienda se tratta dati personali che la riguardano e, in tal caso, ne ottiene copia insieme alle informazioni previste dall'articolo 15 del GDPR, fra cui finalità, categorie di dati, destinatari, periodo di conservazione, origine e, se ci sono decisioni automatizzate, informazioni significative sulla logica utilizzata. L'interessato, cioè la persona a cui i dati si riferiscono, non deve motivare la richiesta e la prima copia è gratuita. L'azienda risponde entro un mese, prorogabile di altri due se le richieste sono complesse o numerose, purché lo comunichi all'interessato entro il primo mese, motivando la proroga. Per la Corte di giustizia dell'Unione europea la copia è una riproduzione fedele e intelligibile di tutti i dati, con estratti di documenti quando sono indispensabili per esercitare gli altri diritti.

Leggi anche: GDPR e Intelligenza Artificiale · Un sistema AI che tratta dati personali resta pienamente soggetto al GDPR: addestramento, inferenza e output sono trattamenti a tutti gli effetti.

Dove stanno i dati quando c'è di mezzo l'AI

Le linee guida sul diritto di accesso dell'EDPB (il Comitato europeo per la protezione dei dati) considerano dati personali i log di attività e chiedono di cercare in tutti i sistemi informatici e di evitare che i dati con tempi di conservazione brevi vengano cancellati finché la richiesta è in corso. Nel caso di un assistente conversazionale, nella copia entrano i prompt scritti dal cliente e le risposte ricevute. Persino l'autorità di protezione dei dati di Amburgo, per cui il modello in sé non contiene dati personali, riconosce il diritto di accesso a input e output del sistema. Lo fa però in un documento di discussione, anteriore al parere dell'EDPB citato più avanti: una posizione non consolidata.

Poi c'è la base di conoscenza collegata all'assistente con la RAG, la tecnica che recupera documenti e li passa al modello prima che risponda. La CNIL, l'autorità francese, osserva che un sistema collegato a una base di conoscenza rende tecnicamente possibile esercitare i diritti e chiede di distinguere il modello dal sistema: una risposta che nomina un cliente può venire dalla base di conoscenza, e delle richieste che la riguardano risponde chi l'ha integrata.

Il modello stesso rientra nella richiesta solo se non è anonimo, e per il parere 28/2024 dell'EDPB un modello addestrato su dati personali non lo è automaticamente: va valutato caso per caso. Se non lo è, la CNIL riconosce che oggi è difficile ritrovarvi i dati di una persona senza indicazioni dell'interessato, ma per l'AI generativa raccomanda a chi sviluppa il modello di interrogarlo con domande mirate e di consegnare gli esempi di risposta che contengono i dati di quella persona.

Un esempio enterprise

Un'assicurazione ha un assistente virtuale per i clienti, basato sul modello di un fornitore e su una base di conoscenza fatta di vecchi ticket. Un cliente chiede tutti i suoi dati, conversazioni comprese. I log delle chat stanno sulla piattaforma del fornitore, che agisce da responsabile del trattamento: vanno estratti, resi leggibili e oscurati solo dove la copia lederebbe i diritti altrui. La base di conoscenza l'ha integrata l'assicurazione, che quindi cerca i ticket del cliente e ne consegna gli estratti. Quanto al modello, che non ha addestrato, ne dichiara la provenienza e rimanda allo sviluppatore per ciò che può aver appreso in addestramento.

Perché conta per chi decide

Il controllo coordinato dell'EDPB sul diritto di accesso (30 autorità, 1.185 titolari) raccomanda di stabilire in anticipo quali sistemi e database verificare. Con l'AI la mappatura va fatta prima che arrivi una richiesta: dove finiscono log e conversazioni, quale database vettoriale alimenta l'assistente, cosa conserva ogni fornitore e per quanto, chi in azienda risponde. La zero data retention riduce ciò che resta presso il fornitore e lascia intatti i log interni. E il contratto deve obbligare il fornitore ad assistere il titolare, come prevede l'articolo 28 del GDPR, e in tempi utili: il mese decorre dalla richiesta, non dalla risposta del fornitore.

Questa voce è informativa e non costituisce consulenza legale: per decisioni su dati regolamentati coinvolgi il tuo DPO o il tuo legale.