DPIA per sistemi IA — GDPR Articolo 35 + regolamento IA
Quando i sistemi IA richiedono una DPIA ai sensi dell'Articolo 35 del GDPR, come si sovrappone alla FRIA dell'Articolo 27 del regolamento IA, e come evitare la duplicazione.
Una valutazione d'impatto sulla protezione dei dati (DPIA) è richiesta ai sensi dell'articolo 35 del GDPR quando un sistema di IA comporta un trattamento sistematico su larga scala di dati personali, utilizza profilazione automatizzata con effetti significativi sulle persone o tratta dati di categorie particolari. I sistemi di IA possono attivare più obblighi di DPIA contemporaneamente. Le DPIA devono essere completate prima dell'inizio del trattamento, sono esaminate dal responsabile della protezione dei dati e devono essere aggiornate quando il sistema cambia in modo sostanziale. L'omissione di una DPIA obbligatoria comporta sanzioni GDPR fino a 10 milioni di EUR o il 2% del fatturato globale.
Quando un sistema di IA richiede una DPIA?
L'articolo 35(3) del GDPR specifica tre trigger automatici. La maggior parte delle autorità di controllo ha inoltre pubblicato elenchi di tipi di trattamento che richiedono sempre una DPIA nella propria giurisdizione.
Profilazione sistematica su larga scala o processi decisionali automatizzati
Sistemi di IA che profilano persone su larga scala o prendono decisioni automatizzate con effetti giuridici significativi o similmente significativi (art. 35(3)(a)). Include IA di credit scoring, rilevamento delle frodi, screening dei candidati e algoritmi di pricing assicurativo.
Trattamento su larga scala di dati di categorie particolari
Sistemi di IA che trattano su larga scala dati sanitari, dati biometrici per l'identificazione univoca, origine razziale o etnica, opinioni politiche, convinzioni religiose, dati genetici o appartenenza sindacale (art. 35(3)(b) + art. 9).
Sorveglianza sistematica di aree accessibili al pubblico
Sistemi di IA che sorvegliano sistematicamente le persone in spazi pubblici su larga scala tramite video, audio o altre tecnologie di sorveglianza (art. 35(3)(c)). Include monitoraggio smart city, analisi CCTV e tracciamento comportamentale.
DPIA vs FRIA: comprendere la sovrapposizione
Quando un sistema di IA ad alto rischio tratta dati personali (attivando una DPIA) ed è impiegato da un organismo del settore pubblico (attivando una FRIA ai sensi dell'art. 27), le organizzazioni affrontano due obblighi di valutazione che si sovrappongono. Il Regolamento IA consente esplicitamente di combinare o coordinare queste valutazioni per ridurre le duplicazioni — ma restano giuridicamente distinte.
Una DPIA si concentra strettamente sui rischi del trattamento dei dati personali. Una FRIA copre impatti più ampi sui diritti fondamentali, tra cui non discriminazione, dignità, equo processo e accesso ai servizi — molti dei quali non sono diritti di protezione dei dati. Combinare le valutazioni è consentito, ma gli elementi della FRIA devono essere documentati separatamente per soddisfare l'art. 27.
DPIA (art. 35 GDPR)
- →Attivata da: rischio del trattamento di dati personali
- →Ambito: diritti di protezione dei dati
- →Consultazione obbligatoria del DPO
- →Può richiedere la consultazione preventiva dell'autorità di controllo (art. 36)
- →Si applica a tutte le organizzazioni (pubbliche e private)
FRIA (art. 27 Regolamento IA)
- →Attivata da: IA ad alto rischio + impiego nel settore pubblico
- →Ambito: tutti i diritti fondamentali della Carta UE
- →Incoraggiata la consultazione dei rappresentanti dei lavoratori
- →Deve essere registrata nella banca dati UE del Regolamento IA
- →Si applica solo ai deployer del settore pubblico o delegati
Processo DPIA in 6 fasi per i sistemi di IA
Descrivere il trattamento e le sue finalità
Documentate quali dati personali sono trattati, come vengono raccolti, la finalità del trattamento e la base giuridica, i periodi di conservazione e chi ha accesso. Per i sistemi di IA, includete input/output del modello, fonti dei dati di addestramento e flussi di dati della pipeline di inferenza.
Valutare necessità e proporzionalità
Dimostrate che il trattamento dei dati personali è necessario e proporzionato alla finalità del sistema di IA. Considerate la minimizzazione dei dati, la limitazione della finalità e l'esistenza di alternative meno invasive per la privacy.
Identificare e valutare i rischi per la privacy
Elencate i rischi per la privacy: divulgazione illecita, accesso non autorizzato, attacchi di model inversion, rischio di re-identificazione dagli output dell'IA, profilazione discriminatoria e function creep. Valutate ciascuno per probabilità e gravità.
Attuare misure tecniche e organizzative
Documentate le misure che mitigano i rischi identificati: crittografia, controlli di accesso, privacy differenziale, audit logging, minimizzazione dei dati nell'addestramento, sanificazione degli output del modello e procedure di risposta alle violazioni.
Consultare il DPO e le parti interessate
L'articolo 35(2) richiede di consultare il DPO ove designato. L'articolo 35(9) richiede di raccogliere, se del caso, l'opinione degli interessati o dei loro rappresentanti. Documentate entrambe le consultazioni.
Documentare i rischi residui e ottenere l'approvazione
Registrate i rischi residui che non possono essere pienamente mitigati e se sono accettabili per il titolare del trattamento. Se permangono rischi residui elevati, può essere necessaria una consultazione preventiva dell'autorità di controllo (art. 36) prima dell'inizio del trattamento.
Come Scanara supporta la conformità DPIA
Rilevamento dei trigger DPIA
Scanara segnala le caratteristiche dei sistemi di IA che attivano obblighi di DPIA ai sensi dell'art. 35 del GDPR — trattamento biometrico, profilazione su larga scala, processi decisionali automatizzati con effetti significativi.
Documentazione dei flussi di dati
I risultati delle scansioni identificano i pattern di trattamento dei dati nella vostra codebase IA — input e output del modello, pipeline dei dati di addestramento — fornendo la base fattuale per la fase 1 della DPIA.
Segnalazione della sovrapposizione FRIA/DPIA
Quando si attivano sia una DPIA sia una FRIA, Scanara identifica la sovrapposizione e suggerisce un piano di valutazione coordinato per soddisfare entrambi gli obblighi con la minima duplicazione.
Domande frequenti
Come aiuta Scanara
Scanara automatizza la conformità al Regolamento sull'IA dal codice al dossier. Connetti i tuoi repo GitHub e ottieni report di conformità in pochi minuti.