Serve prima, non dopo: è una valutazione che va fatta in fase di progettazione, quando le scelte si possono ancora cambiare. Farla a sistema già attivo la trasforma in una giustificazione, che è l’opposto della sua funzione.
È obbligatoria in casi definiti: monitoraggio sistematico su larga scala, trattamento su larga scala di dati particolari come quelli sanitari, uso di nuove tecnologie con impatto significativo. Videosorveglianza estesa e sistemi biometrici sono i casi più frequenti nelle imprese.
Quando serve davvero, senza allarmismi
La valutazione d’impatto non va fatta per ogni trattamento: va fatta quando il trattamento può presentare un rischio elevato per i diritti delle persone. La norma indica tre casi tipici, e le linee guida europee ne aggiungono altri criteri.
I casi che ricorrono più spesso in un’azienda ordinaria sono riconoscibili: **videosorveglianza sistematica** di aree accessibili al pubblico, trattamenti su larga scala di **dati sulla salute** — che riguardano poliambulatori e centri diagnostici più di quanto pensino — sistemi che **valutano o profilano** le persone in modo automatizzato, e il monitoraggio dell’attività dei lavoratori.
Quando non è chiaro se serva, la posizione prudente è farla comunque in forma sintetica: costa poco tempo e produce comunque il beneficio principale, cioè avere scritto quali rischi si è considerati e come si è deciso di ridurli.
Perché conta per un’azienda
Anche quando non è obbligatoria, la struttura della valutazione è un buon modo per prendere decisioni informate su un progetto che tratta dati delicati.
L’errore che vediamo più spesso
L’introduzione di strumenti di intelligenza artificiale su dati aziendali è il caso nuovo più frequente: prima di dare in pasto documenti e archivi a un servizio esterno, la valutazione va fatta.