E.E. Artese - D. Ghidelli - slide dell'intervento a SMAU Milano 2019 avente ad oggetto intelligenza artificiale e GDPR

1. INTELLIGENZA
ARTIFICIALE e «GDPR»
Connessioni e profili critici

2. 2
DirICTo è un network che raggruppa esperti e studiosi, di tutta l’Italia, in
materia di Diritto dell’Informatica e dell’Informatica Giuridica con il fine di
sviluppare attività di studio, ricerca e approfondimento nell'ambito delle
tematiche di interesse comune per il mondo giuridico e informatico.
Web site: www.diricto.it

3. 3
ICT for Law and Forensics è il laboratorio di Informatica Forense del
Dipartimento di Ingegneria Elettrica e Elettronica dell’Università di Cagliari.
Aree di interesse: e-commerce e contrattazione telematica, la tutela giuridica
dei domain names, privacy e protezione dei dati personali nel mondo
telematico, cyber crimes, digital forensics.
Web site: ict4forensics.diee.unica.it

4. 4
AC Legal è uno Studio legale in Milano, specializzato in IT e diritto
commerciale internazionale.
Web site: www.ac-legal.eu

5. 5
Avv. EDOARDO ENRICO ARTESE
Avvocato del Foro di Milano e managing partner dello Studio AC Legal di Milano.
Si occupa di diritto commerciale e industriale ed è appassionato cultore della materia delle
nuove tecnologie e dell’informatica giuridica.
E’ membro del network di professionisti DirICTo, che raggruppa esperti e studiosi di tutta
l’Italia, in materia di Diritto dell’Informatica e di Informatica Giuridica, con il fine di
sviluppare attività di studio, ricerca e approfondimento su tematiche di interesse comune
per il mondo giuridico e informatico.

6. 6
Dott.ssa DANIELA GHIDELLI
Collaboratrice dello Studio AC Legal di Milano, dove svolge la pratica forense, si occupa di
diritto civile e commerciale.
Laureata all’Università Bocconi di Milano, è particolarmente interessata al settore della
privacy e delle nuove tecnologie e alle loro applicazioni nell’ambito dell’impresa.

7. 7
Di che cosa parleremo?
1. Considerazioni iniziali;
2.- Intelligenza Artificiale e dati;
3.- Il Reg. UE n. 679/2016 (c.d.
«GDPR»);
4.- I.A. e tutela dei dati personali alla
luce del GDPR;
5.- Alcune prospettive risolutive.

8. 8
CONSIDERAZIONI INIZIALI
odierno aumento esponenziale di
sistemi di intelligenza artificiale nel
vivere quotidiano  disruptive
technologies
(domotica, software e dispositivi bassati sull’IA
capaci di fornire soluzioni anche in settori
come l’industria, la sanità e la giustizia…)
elaborazione, analisi e trattamento
automatizzato di grandi quantitativi
di dati e di informazioni
Fondi
UE
(nuova) normativa europea in
materia di protezione e
circolazione dei dati personali
(c.d. GDPR).
esigenza di tutela della vita
privata e di protezione dei dati

9. INTELLIGENZA
ARTIFICIALE e DATI
9

10. 10
I rapidi cambiamenti apportati dalle
nuove tecnologie potrebbero avere –
entro il 2035 – rilevanza per oltre il 40%
in tutti i settori conosciuti.
Lacune
normative
– Studi Istituto Accenture 2016 –

11. 11
Un po’ di definizioni…
INTELLIGENZA ARTIFICIALE
Ramo dell’informatica che consente la programmazione e
progettazione di sistemi, sia hardware, sia software, che
permettono di dotare le macchine di determinate
caratteristiche che vengono considerate tipicamente umane
quali, ad esempio, le percezioni visive, quelle spazio-
temporali e quelle decisionali.

12. 12
Intelligenza Artificiale
Prospettiva tecnologica (1940 – 2018)
• Connessionismo
• Sistemi esperti
• Machine Learning
• Problemi & algoritmi
• Workflow
• Demo: k-Nearest Beightbour
.

13. 13
Expert Systems
1980’s
Deep LMarkov ModelsConnectionism
20121960’s
…
1970’s
Expert Systems
1980’s
Deep Learning
?
Markov Modelsectionism
20121960’s
…
1970’s
Connessionismo Sistemi esperti
1960 1980
DARPA: “AI was not the next wave"
2000 2010

14. 14
SISTEMI ESPERTI
Sistemi basati sulla conoscenza in grado di eseguire compiti che
richiedono specializzazione, i.e. possono essere svolti solo da esperti o
persone di competenza.
Il sistema esperto è composto di due elementi:
1)- strutturale  base di conoscenza;
2)- funzionale  capacità di fornire prestazioni che richiedano
determinate competenze.
Vantaggi rispetto ai limiti
(biologicamente) cognitivi
dell’essere umano

15. 15
Principale struttura e funzionamento:
Conoscenza  usata da un motore inferenziale, i.e. un meccanismo in grado di
interpretare il contenuto della base di conoscenza e effettuare deduzioni logiche
 esposizione comprensibile dei risultati anche mediante interfacce.
NB: il sistema può essere arricchito con nuove conoscenze.

16. 16
A.I. tradizionale vs Machine Learning
Traditional AI techniques
Machine Learning
Data
Logic
Output
Ø Static – hard-coded set of steps
and scenarios
Ø Rule Based – expert knowledge
Ø No generalization – handling
special cases difficult
Ø Dynamic – evolves with data,
finds new patterns
Ø Data driven– discovers
knowledge
Ø Generalization – adapts to new
situations and special cases
Data
Output
Logic
9
Traditional AI techniques
Machine Learning
Data
Logic
Output
Ø Static – hard-coded set of steps
and scenarios
Ø Rule Based – expert knowledge
Ø No generalization – handling
special cases difficult
Ø Dynamic – evolves with data,
finds new patterns
Ø Data driven– discovers
knowledge
Ø Generalization – adapts to new
situations and special cases
Data
Output
Logic
• Statico: scenari codificati
• Basato su regole: richiede
conoscenza esperta
• Non generale: difficile trattare
casi specifici
• Dinamico: evolve con I dati
• Conoscenza basata sui dati
• Generalizzato: si adatta a nuove
situazioni e casi speciali

17. 17
A.I. tradizionale vs Machine Learning
Traditional AI techniques
Machine Learning
Data
Logic
Output
Ø Static – hard-coded set of steps
and scenarios
Ø Rule Based – expert knowledge
Ø No generalization – handling
special cases difficult
Ø Dynamic – evolves with data,
finds new patterns
Ø Data driven– discovers
knowledge
Ø Generalization – adapts to new
situations and special cases
Data
Output
Logic
9
Traditional AI techniques
Machine Learning
Data
Logic
Output
Ø Static – hard-coded set of steps
and scenarios
Ø Rule Based – expert knowledge
Ø No generalization – handling
special cases difficult
Ø Dynamic – evolves with data,
finds new patterns
Ø Data driven– discovers
knowledge
Ø Generalization – adapts to new
situations and special cases
Data
Output
Logic
• Statico: scenari codificati
• Basato su regole: richiede
conoscenza esperta
• Non generale: difficile trattare
casi specifici
• Dinamico: evolve con I dati
• Conoscenza basata sui dati
• Generalizzato: si adatta a nuove
situazioni e casi speciali

18. 18
«L’Intelligenza Artificiale si compone radicalmente di quattro elementi: il pensare
umanamente, l’agire umanamente, il pensare razionalmente e l’agire
razionalmente».
S. J. Russel – P. Norvig

19. 19

20. 20
IN SINTESI
Caratteristiche:
• autonomia
• interattività
• rapidità
• trasparenza (capacità di spiegare i procedimenti e le deduzioni svolte)
• euristica (strategie tipiche degli esperti umani)
• flessibilità (capacità di seguire le modificazioni alle basi di conoscenza).
• Ma anche: imprevedibilità
NB: l’IA agisce anche su informazioni incerte o incomplete e cerca di trovare delle
soluzioni.

21. 21
https://digitalwellbeing.org/artificial-intelligence-timeline-infographic-from-eliza-to-tay-and-beyond/

22. 22
UN ESEMPIO
In ambito legale si stanno sperimentando diversi sistemi di supporto alla decisione umana.
 Giudici robot per smaltire le cause di modesta entità
Caso estone (progetto tecnologico e-Estonia):
Tutti i servizi cittadini sono stati digitalizzati in un’unica piattaforma chiamata X-
Road.
- Giudice-robot per cause inferiori a Euro 7.000,00;
- è fatta salva la possibilità di appellare ad un giudice umano;
- è difficile pensare ad un algoritmo in grado di risolvere una causa, ad esempio,
in ambito di diritto penale, ma pensiamo alle cause civili di recupero crediti
o di risarcimento dei danni da incidente stradale…

23. Il Reg. UE n. 679/2016
(c.d. «GDPR»)
IL NUOVO REGOLAMENTO SULLA PROTEZIONE DELLE PERSONE
FISICHE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI
23

24. 24
Applicabile dal 25 maggio 2018;
Protezione delle persone fisiche con riguardo al
trattamento dei dati di carattere personale come
diritto fondamentale (art.8, par.1 Carta diritti
fondamentali dell’Unione Europea; art.16, par.1 TFUE;
art.2 Cost. – tutela dignità e personalità umana).

25. 25
Il «dato personale»
DEFINIZIONE
Qualsiasi informazione riguardante una persona fisica identificata o
identificabile (c.d. «interessato»).
 Si considera identificabile la persona fisica che può essere identificata,
direttamente o indirettamente, con un particolare riferimento ad un
identificativo (es. nome, identificativo online, dati sull’ubicazione ecc.).

26. 26
Il GDPR in pochi punti:
3 soggetti
chiave
Titolare del trattamento
(art. 26): la persona fisica o
giuridica, l’autorità pubblica,
il servizio o altro organismo
che, singolarmente o insieme
ad altri, determina le finalità
e i mezzi del trattamento di
dati personali.
DPO (art. 38): osserva, valuta e
organizza la gestione del
trattamento di dati personali 
obbligatorio: a) autorità e
organismi pubblici; b) trattamento
su larga scala; c) trattamento su
larga scala di dati sensibili.
Responsabile del trattamento (art. 28): la persona fisica o giuridica,
l’autorità pubblica, il servizio o altro organismo che tratta i dati personali
per conto del titolare del trattamento.

27. 27
 impone la necessità di un adeguato risk assessment  analisi
del rischio e valutazione di impatto;
 principi guida di liceità, correttezza, trasparenza, minimizzazione
dei dati, esattezza, limitazione della conservazione, integrità e
riservatezza;
 impone, nei casi ex art. 30, la predisposizione di un registro dei
trattamenti;
 espone regole più dettagliate in materia di informativa e
consenso;
 diritti e tutela dell’interessato  accesso, rettifica e cancellazione
(c.d. diritto all’oblio, art.17), diritto alla portabilità dei dati, diritto di
opposizione, diritto di presentare reclamo all’autorità di
controllo…

28. I.A. e TUTELA dei
DATI alla luce del
GDPR
28

29. 29
Occorre tenere in considerazione:
Dati trattati dall’Intelligenza Artificiale
DATI PERSONALI ACQUISITI
ALL’INIZIO DEL
TRATTAMENTO
DATI PERSONALI DEDOTTI E
RICAVATI
DALL’ELABORAZIONE DEGLI
ALGORITMI

30. 30
Le tecnologie con I.A. necessitano di una stabile connessione alla rete,
dalla quale riescono a carpire informazioni e dati in enormi quantità.
GDPR e I.A.: un rapporto complicato?
Come gestire, regolare e normalizzare i flussi?
GDPR
 art. 22  l’interessato ha il diritto di non essere sottoposto ad una decisione
basata esclusivamente sul trattamento automatizzato dei dati, a cominciare
dalla profilazione, definita nell’art. 4 (=«qualsiasi forma di trattamento automatizzato di dati personali
consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in
particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le
preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica”);

31. 31
 art. 24  il titolare del trattamento deve mettere in atto «misure tecniche e
organizzative adeguate» per garantire, ed essere in grado di dimostrare, che il
trattamento dei dati è effettuato in modo conforme al regolamento  c.d.
principio dell’accountability.
Responsabilità verso gli
stakeholders circa il non corretto
utilizzo delle risorse e circa la
conformità del trattamento con gli
scopi istituzionali.
Esigenza di introdurre logiche e
meccanismi di maggior
responsabilizzazione interna nelle
aziende relativamente all’impiego
delle risorse e alla produzione dei
risultati.

32. 32
 art. 25  privacy by design  le misure devono essere implementate tenendo
conto della natura dei dati trattati, del campo applicativo, del contesto e delle
finalità del trattamento.
Considerando 78
«al fine di poter dimostrare la conformità con il presente regolamento, il titolare del
trattamento dovrebbe adottare politiche interne e attuare misure che soddisfino in
particolare i principi della protezione dei dati fin dalla progettazione e della protezione
dei dati di default […]. I produttori dei prodotti, dei servizi e delle applicazioni dovrebbero
essere incoraggiati a tenere conto del diritto alla protezione dei dati allorché sviluppano
e progettano tali prodotti, servizi e applicazioni e, tenuto debito conto dello stato
dell’arte, a far sì che i titolari del trattamento e i responsabili del trattamento
possano adempiere ai loro obblighi di protezione dei dati».

33. 33
Di fatto, senza intervento umano, NESSUNA
tecnologia sarebbe conforme al GDPR.
Allora è necessario:
- informare sull’utilizzo che si fa dell’I.A.;
- valutare l’impatto che l’uso dell’I.A. esercita sugli individui;
- dare un prospetto compiuto e completo circa il funzionamento della
tecnologia, anche al fine di individuarne i criteri di ragionamento;
- intervenire prontamente in caso si presentino possibili occasioni di
violazione dei diritti degli interessati.

34. 34
ALCUNE PROSPETTIVE
RISOLUTIVE

35. 35
Linee guida sull’intelligenza artificiale e la
protezione dei dati
– Consiglio d’Europa –
set di istruzioni operative
su come progettare e
applicare sistemi di IA

36. 36
• Approvate a Strasburgo a fine gennaio dal Comitato istituito
dalla Convenzione 108/81;
• efficacia erga omnes, ma rivolte principalmente a
sviluppatori, fornitori e produttori di IA;
• a differenza del GDPR (regolamento), le Linee Guida non
sono normativa vincolante per gli SM, ma la loro
generalità, duttilità e puntualità li rende valevoli per contesti
anche più ampi rispetto a quelli dei soli membri UE.

37. 37
Principi generali delle Guidelines
• Priorità della tutela dei diritti umani – e in particolare la
protezione dei dati – sullo sviluppo e l’adozione di sistemi
basati sull’IA (soprattutto se adottati in processi decisionali);
• Nello sviluppo di sistemi di I.A. l’approccio deve basarsi su
principi di liceità, correttezza, specificazione degli scopi,
proporzionalità dell’elaborazione, privacy «by design» e
privacy «by default», sicurezza, gestione e attenuazione dei
rischi.
• Importanza della formazione e dell’educazione digitale.

38. 38
Le applicazioni di IA devono rispettare pienamente i diritti degli
interessati in ogni momento e consentire loro un controllo
significativo sul trattamento dei propri dati.
Obblighi di informazione
agli interessati sul fatto
che stanno interagendo
con un’applicazione di
IA  necessità di dare
contezza delle operazioni
di elaborazione effettuate.
Obblighi di progettazione,
sviluppo e gestione atti a
garantire agli individui il diritto a
non essere oggetto di decisioni
che possano coinvolgerli in modo
significativo e basate sulla sola
elaborazione automatizzata.
12 indicazioni a
produttori, fornitori
e sviluppatori sulla
corretta valutazione e
prevenzione del
rischio.

39. 39
Le ipotesi della certificazione etica per le soluzioni di I.A.
Idea di prevenire ogni forma di I.A. che possa inasprire le
ineguaglianze sociali ed essere dannosa per le categorie più
svantaggiate.
Possibilità di codificare, promuovere, monitorare nuove norme di
certificazione che consentano di verificare il pieno allineamento dei
sistemi di I.A con i principi di affidabilità sanciti dalle Linee guida
europee per un’IA. Etica.

40. 40
«QUASI AMICI»
Utilità dell’I.A. nel supporto alla conformità al GDPR
• L’A.I. può supportare la Governance dei dati (attività di gestione
dei processi, supervisione ecc.);
• L’A.I. può aiutare a comprendere il GDPR e qualsiasi
regolamento, aggiornamento o atto da esso derivante;
• L’A.I. può aiutare a rilevare violazioni dei dati e frodi  sicurezza
informatica;
• L’A.I. può aiutare anche le aziende a prendere le giuste decisioni
al fine di rendere esperienze migliori per i clienti.

41. 41
Grazie!
Ci sono domande?
Edoardo E. Artese
• edoardo.artese@ac-legal.eu
Daniela Ghidelli
• d.ghidelli@ac-legal.eu
Ci trovi anche su LinkedIn!

42. Attribuzione - Non Commerciale
Condividi allo stesso modo 4.0 (CC BY-NC-SA 4.0) Internazionale
Tu sei libero di:
Condividere - riprodurre, distribuire, comunicare al pubblico, esporre in pubblico,
rappresentare, eseguire e recitare questo materiale con qualsiasi mezzo e formato;
Modificare - remixare, trasformare il materiale e basarti su di esso per le tue opere;
Il licenziante non può revocare questi diritti fintanto che tu rispetti i termini della licenza
Alle seguenti condizioni:
• Attribuzione. Devi riconoscere una menzione di paternità adeguata, fornire un
link alla licenza e indicare se sono state effettuate delle modifiche. Puoi fare ciò in
qualsiasi maniera ragionevole possibile, ma non con modalità tali da suggerire
che il licenziante avalli te o il tuo utilizzo del materiale.
• Non commerciale. Non puoi usare il materiale per fini commerciali.
• Stessa Licenza. Se remixi, trasformi il materiale o ti basi su di esso, devi
distribuire i tuoi contributi con la stessa licenza del materiale originario.
• Divieto di restrizioni aggiuntive — Non puoi applicare termini legali o misure tecnologiche che
impongano ad altri soggetti dei vincoli giuridici su quanto la licenza consente loro di fare.
• Non sei tenuto a rispettare i termini della licenza per quelle componenti del materiale che siano
in pubblico dominio o nei casi in cui il tuo utilizzo sia consentito da una eccezione o limitazione
prevista dalla legge
• Non sono fornite garanzie. La licenza può non conferirti tutte le autorizzazioni necessarie per
l'utilizzo che ti prefiggi. Ad esempio, diritti di terzi come i diritti all'immagine, alla riservatezza e i
diritti morali potrebbero restringere gli usi che ti prefiggi sul materiale.