Quali sono le implicazioni in caso di data breach, cioè un incidente di sicurezza informatica in cui informazioni riservate o personali sono illegalmente o accidentalmente divulgate, perse, modificate o rese accessibili a persone non autorizzate? A spiegare le conseguenze di una violazione dei dati personali e le implicazioni civili e penali, al Convegno Anaci Bergamo é intervenuto in collegamento video l’avvocato Andrea Broglia, esperto in diritto commerciale, privacy, data protection e diritto delle nuove tecnologie.
Vantaggi e trappole
Dopo aver ribadito l’impatto dell’Intelligenza artificiale nell’ambito privato e professionale, che ha liberato tempo e risorse, il professionista ha sottolineato con forza la necessità di un utilizzo consapevole e accorto di questo strumento.
«Ormai tutti noi lavoriamo con una serie di servizi e applicazioni che non risiedono nel nostro studio, ma che sono imprescindibili per svolgere bene il lavoro. Come titolari del trattamento dati, il Gdpr ci impone di seguire determinati processi e procedure, che dobbiamo conoscere. Lo sviluppo continuo della tecnologia e il regolamento sull’Intelligenza artificiale, il cosiddetto Ai Act, aggiungono alle norme già presenti altri livelli di conoscenze», ha spiegato l’avvocato.
«Non possiamo pensare di utilizzare un chatbot qualsiasi, facendo finta di non sapere. Il Gdpr lo dobbiamo applicare prima ancora di scegliere il tool che vogliamo utilizzare», ha sottolineato Broglia. Non basta cancellare chat e allegati, «a maggior ragione quando le inseriamo in un applicativo, in un sistema software che non gira sul nostro computer, ma sul cloud. È necessario prendere delle precauzioni».
I chatbot
Il regolamento sull’Intelligenza artificiale é molto strutturato, ma si basa prevalentemente sulla valutazione dei rischi per i soggetti interessati.
«Sostanzialmente si individuano quattro grosse aree di rischio e stabilisce che alcuni modelli sono del tutto vietati, alcuni già da febbraio 2025, altri sono considerati ad alto rischio, altri ancora a medio rischio e altri a basso rischio. Un professionista, a seconda dell’attività che deve svolgere con un determinato tool, deve essere in grado di inquadrare a quale categoria appartenga il rischio», ha spiegato Broglia. «Ben prima dell’arrivo di ChatGpt, avevamo a che fare con chatbot, sistemi di filtraggio delle e-mail per evitare fenomeni come il phishing, o assistenti tipo Alexa o Siri, precursori dell’Intelligenza artificiale come la conosciamo oggi. Questi sistemi sono considerati a bassissimo rischio e non richiedono implementazioni particolari. Discorso completamente diverso per i sistemi di social scoring, i sistemi di manipolazione cognitiva, i sistemi di individuazione tramite riconoscimento biometrico su larga scala negli spazi aperti, completamente vietati dallo scorso anno», ha proseguito l’avvocato.
«L’aspetto più rilevante riguarda però i sistemi ad alto rischio e medio rischio, che implicano differenze che il professionista deve conoscere. Un sistema di screening dei curricula, che scarta le application sulla base di determinati parametri, é sicuramente un sistema ad alto rischio che implica una compliance operativa e burocratica molto più rilevante di un semplice chatbot di assistenza alla clientela o di un sistema di riconoscimento del tono di voce di una e-mail».
Diffidare di ciò che è gratis
Conoscere i sistemi sulla base della catalogazione di rischio che la normativa impone, sapere che a seconda di questa catalogazione ci sono necessità operative differenti, comprendere dove risiedono le informazioni e quali garanzie vengono offerte prima di affidarsi al sistema, adempiere agli obblighi di trasparenza, tutti questi sono prerequisiti imprescindibili per i professionisti che utilizzano sistemi di Intelligenza artificiale. Anche perché la possibilità di incappare in un data breach può essere dietro l’angolo.
«Si tratta della divulgazione, perdita, modifica o accesso non autorizzato a dati personali, sia come conseguenza di un errore umano sia come conseguenza di un’azione dolosa o volontaria di una terza parte. Basta mandare una mail con un documento a uno o più destinatari errati, che si é già nell’ipotesi del data breach. Oppure essere presi di mira da un attacco informatico, e oggi sono tante le modalità con cui i cybercriminali possono operare», ha evidenziato Broglia.
«Uno degli errori più frequenti é considerare ogni chatbot un posto sicuro dove inserire informazioni. C’è un’enorme differenza tra un sistema per il quale paghiamo una licenza e un sistema gratuito che troviamo su internet. Laddove dovessimo utilizzare un chatbot o qualche altro modello di Intelligenza artificiale gratis, non possiamo avere nessuna pretesa di riservatezza, di sicurezza, oltre che di garanzie contrattuali. Oggi un professionista non si può affidare, e non si deve affidare, a servizi gratuiti da un punto di vista strettamente giuridico. Inoltre, inserire informazioni su sistemi gratuiti significa perderne completamente il controllo e non avere la possibilità, in caso di problemi, di interpellare il fornitore».
Il controllo non deve però limitarsi al titolare dell’azienda, dello studio professionale, ma anche a tutti quei sistemi shadow che utilizzano i collaboratori dipendenti, spesso fonti di possibili incidenti.
In caso di incidente
«Se capitasse un incidente andrebbe gestito in maniera accorta, secondo determinate procedure. Le due conseguenze più rilevanti sono che bisogna comunicarlo all’autorità garante e, qualora ci siano implicazioni rilevanti nei confronti dei diritti e delle libertà degli interessati, vanno anche comunicate alle persone coinvolte», ha commentato l’avvocato.
«Non conoscere, non voler gestire o sminuire le circostanze di un incidente ha diverse conseguenze. In primo luogo le sanzioni, anche per la mancata comunicazione. Un altro aspetto é che il professionista ha delle responsabilità nei confronti dei suoi clienti. Se ha stipulato un contratto, paga una licenza, ha degli accordi che vanno ad accompagnare il servizio, allora può rivalersi nei confronti del provider e del fornitore, ma se utilizza sistemi gratuiti, tutto questo non funziona. Inoltre, l’assicurazione non pagherà l’indennizzo. Per non parlare del danno reputazionale», ha concluso Broglia, senza dimenticare alcuni consigli pratici per lavorare con serenità: non utilizzare strumenti gratuiti nello svolgimento dell’attività professionale; verificare sempre la documentazione relativa al software o servizio acquistato in licenza per capire gli adempimenti in termini di compliance; supervisionare sempre la risposta dei tool di Intelligenza artificiale; essere trasparenti nei confronti della propria clientela e dei fornitori sui sistemi utilizzati e su come vengono trattati i dati; preferire sistemi che consentano di tracciare le attività, in modo da poter ricostruire gli eventi in caso di data breach; tenersi aggiornati e conoscere gli sviluppi normativi; mantenere sempre aggiornati i propri sistemi informatici su smartphone, tablet e computer.
di Veronica Monaco
Per approfondire il tema
- Il Convegno ANACI Bergamo declina la rigenerazione urbana in Bit, Bim e Bios
- Bit, BIM e Bios: AI e sicurezza nella gestione condominiale
- Rigenerazione urbana, etica e human capabilities
- Privacy e AI: responsabilità per gli amministratori condominiali
- Cybersecurity: attacchi, ransomware e difese per aziende
- Bim e Intelligenza artificiale per gestire gli edifici
- AI, IoT e Smart City: guida alle nuove tecnologie e rischi
- Rigenerazione urbana: obblighi, bonifiche e costi ambientali
- Rigenerazione urbana e ruolo dei condomini nelle microcittà
- Rigenerazione urbana, BIM e AI: l’approccio di Lombardini22
- Teleriscaldamento A2A: innovazione e decarbonizzazione urbana
- Prefabbricazione e BIM per la rigenerazione urbana sostenibile