In questo articolo Indice dei contenuti 3 sezioni
Il DPO si trova sempre più spesso al centro delle scelte aziendali legate all’intelligenza artificiale. Un’indagine della CNIL dedicata a questa figura e all’impatto dell’AI Act mostra infatti un coinvolgimento crescente del responsabile della protezione dei dati nella governance AI. Il problema è che questo nuovo peso arriva dentro organizzazioni che non hanno ancora deciso con precisione chi debba fare cosa. E così una domanda che sembrava chiusa torna sul tavolo. Ha senso affidare tutto al DPO oppure servono assetti diversi?
Il DPO e la governance AI, un ruolo che si allarga
Il quadro emerso dall’indagine è piuttosto chiaro nella sostanza. Il responsabile della protezione dei dati non si occupa più soltanto di privacy in senso stretto, perché viene chiamato in causa anche quando l’azienda introduce sistemi di intelligenza artificiale e deve confrontarsi con le regole dell’AI Act. In molti casi questa estensione del ruolo non nasce da una scelta strutturata ma quasi per inerzia. Il DPO conosce già i processi legati ai dati, ha dimestichezza con le norme e con le valutazioni di rischio, e quindi diventa il punto di riferimento naturale quando compare un nuovo obbligo normativo.
Questo meccanismo però ha un limite evidente. Gli assetti organizzativi che dovrebbero accompagnare la gestione dell’intelligenza artificiale risultano ancora poco definiti, e il rischio è che il responsabile della protezione dei dati si ritrovi a coprire da solo uno spazio molto più ampio di quello previsto dal suo mandato originario. Il tema quindi non riguarda soltanto le competenze della singola persona ma il modo in cui l’impresa distribuisce responsabilità e controlli.
Tra privacy, AI compliance e funzioni di controllo
Il punto più delicato sollevato dall’indagine riguarda proprio la collocazione di questa figura. Il DPO si muove oggi ai confini tra tre mondi che si sfiorano senza coincidere. Da una parte c’è la privacy, il terreno storico su cui il ruolo è nato. Dall’altra c’è la AI compliance, cioè il rispetto delle regole specifiche introdotte dall’AI Act per chi sviluppa o utilizza sistemi di intelligenza artificiale. In mezzo ci sono le funzioni di controllo, che nelle aziende hanno compiti di verifica e vigilanza con logiche proprie. Quando questi ambiti si sovrappongono senza una cornice precisa, le aree grigie si moltiplicano. Non è sempre chiaro dove finisca la tutela dei dati personali e dove inizi la conformità alle norme sull’intelligenza artificiale, né chi debba avere l’ultima parola nelle valutazioni. Il responsabile della protezione dei dati finisce così per essere consultato su questioni che toccano la sua sfera solo in parte, con il pericolo di sovraccaricare un ruolo pensato per altro.
Il nodo della governance nelle aziende
L’AI Act, in questo senso, riapre una questione che molte imprese avevano archiviato con soluzioni rapide. La governance dell’intelligenza artificiale richiede decisioni organizzative esplicite, e il semplice fatto di concentrare nuove responsabilità su una figura già esistente non basta a risolvere il problema. Il quadro delineato dalla CNIL mette in luce proprio questa tensione tra un coinvolgimento del DPO in costante crescita e strutture interne che faticano a tenere il passo. La riflessione aperta dall’indagine tocca quindi il cuore del modello aziendale. Si tratta di capire come il ruolo del responsabile della protezione dei dati possa convivere con le nuove esigenze della compliance sull’intelligenza artificiale e con le altre funzioni di controllo già presenti. Secondo quanto emerso, il DPO risulta sempre più presente nelle dinamiche della governance AI, mentre gli assetti organizzativi chiamati a definirne confini e compiti restano ancora poco delineati.
Fonte: TecnoAndroid
