Non è l’AI a farla scattare: è il trattamento
È l’equivoco più diffuso da quando si parla di intelligenza artificiale, e porta a due errori opposti — chi la fa per ogni strumento e chi non la fa mai.
La valutazione d’impatto è prevista dal GDPR quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. Il fatto che dentro ci sia dell’intelligenza artificiale non è di per sé la condizione: un correttore ortografico avanzato non richiede nulla, mentre un sistema che ordina curriculum sì.
Quello che fa la differenza è la combinazione di due elementi: valutazione sistematica di persone e conseguenze concrete su di loro.
I tre casi che troviamo in azienda
La selezione del personale. È il caso più frequente e il più sottovalutato. Uno strumento che filtra, ordina o assegna un punteggio ai curriculum valuta persone in modo sistematico e produce un effetto molto concreto: chi passa e chi no. Va guardato con attenzione anche quando il filtro è presentato come un semplice aiuto all’organizzazione.
Il monitoraggio dell’attività dei lavoratori. Spesso non arriva come decisione consapevole: arriva come funzione accessoria di un software acquistato per altro — produttività, sicurezza, gestione dei ticket. Il fatto che nessuno l’abbia scelta esplicitamente non la rende meno rilevante.
Le decisioni automatizzate con effetti sulle persone. Assegnazione di condizioni, accesso a un servizio, valutazione di affidabilità. Qui, oltre alla valutazione d’impatto, entra in gioco il diritto della persona a non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato.
Che cosa cambia rispetto a una DPIA tradizionale
L’impianto resta quello: descrizione del trattamento, necessità e proporzionalità, rischi, misure. Con i sistemi di intelligenza artificiale si aggiungono due elementi che nella pratica sono i più difficili da compilare onestamente.
La spiegabilità. Bisogna poter dire su quali basi il sistema arriva a un risultato. Con alcuni strumenti questo è possibile solo in modo approssimativo, e quell’approssimazione va scritta invece che nascosta.
La supervisione umana effettiva. Il punto delicato è la parola effettiva. Una persona che approva formalmente una lista già ordinata dal sistema, senza avere né il tempo né le informazioni per rimetterla in discussione, non è supervisione: è una spunta. Va progettato il modo in cui quella persona può davvero intervenire.
La documentazione del fornitore non basta
Un produttore serio fornisce documentazione sul proprio sistema, e quella documentazione è materiale utile.
Ma la valutazione riguarda il trattamento che fate voi: nel vostro contesto, con i vostri dati, per le vostre finalità, sulle vostre persone. Lo stesso strumento usato da due aziende diverse può produrre rischi molto diversi. È il motivo per cui una valutazione scaricata e adattata non regge a una verifica.
Nel dubbio, conviene farla sintetica
Quando non è chiaro se il caso richieda una valutazione formale, la posizione che consigliamo è farne una in forma sintetica: poche pagine che descrivono il trattamento, elencano i rischi considerati e dicono quali misure si sono adottate.
Costa poche ore e produce comunque il beneficio principale, che non è l’adempimento ma avere per iscritto che i rischi sono stati valutati. È esattamente ciò che il principio di responsabilizzazione chiede, e ciò che distingue un’azienda che ha guardato da una che non si è posta la domanda.
Il resto
Vedi anche AI Act, GDPR e governance dell’AI per il quadro complessivo, la policy AI aziendale e la consulenza GDPR per gli adempimenti a monte. Quando gli adempimenti diventano molti, GAPOFF li tiene come attività con un responsabile e una scadenza invece che come documenti in una cartella.
Il primo passo
Guardiamo quali strumenti sono in uso e vi diciamo per quali la valutazione serve davvero e per quali no. Gratuitamente e senza impegno.