In questo articolo Indice dei contenuti 3 sezioni
Un post pubblicato su un social network dieci anni fa, una chat salvata nel cloud, un documento condiviso con i colleghi. Sono informazioni raccolte per uno scopo preciso che potrebbero diventare materiale per addestrare sistemi di intelligenza artificiale, anche senza il consenso esplicito delle persone coinvolte. Lo scenario emerge dalle modifiche al GDPR proposte all’interno del Digital Omnibus, il pacchetto legislativo con cui l’Unione europea punta a semplificare diverse regole sulle attività digitali.
Il 21 ottobre 2026 il Consiglio dell’Unione europea ha trovato l’accordo sul proprio mandato negoziale, reso pubblico il giorno successivo. Nel testo viene riconosciuta in modo esplicito la possibilità di usare il legittimo interesse come base giuridica per trattare dati personali durante lo sviluppo e il funzionamento dei modelli AI. È una partita che riguarda da vicino OpenAI, Google, Meta e Microsoft, ma anche migliaia di imprese europee che lavorano su applicazioni basate sull’apprendimento automatico.
Il regolamento, applicabile dal 25 maggio 2018, in realtà non ha mai fatto del consenso l’unica strada percorribile. L’articolo 6 prevede infatti 6 basi giuridiche diverse e la novità sta proprio nel richiamo esplicito al legittimo interesse per le attività legate all’AI, un passaggio che potrebbe cambiare il rapporto tra chi possiede enormi archivi di informazioni e le persone a cui quei dati appartengono. Attenzione però, perché il Consiglio non ha approvato una legge già applicabile. Il documento rappresenta la posizione degli Stati membri in vista dei negoziati con il Parlamento europeo e gli obblighi attuali del GDPR restano quindi invariati.
Legittimo interesse e articolo 88 bis, cosa prevede il testo
Un modello linguistico di grandi dimensioni, il cosiddetto LLM, impara elaborando quantità enormi di testi, documenti, codice e conversazioni che possono contenere anche informazioni personali. Durante l’addestramento gli algoritmi modificano poco alla volta i parametri numerici del modello per ridurre gli errori nelle previsioni, perché generare un testo è a tutti gli effetti una questione matematica e statistica. Il fatto che un dato sia tecnicamente disponibile, però, non ne autorizza in automatico l’uso. Anche un contenuto pubblico può contenere dati protetti e chi ha pubblicato una foto non ha per forza accettato di alimentare un sistema generativo. Per questo il regolamento prevede il principio di limitazione delle finalità all’articolo 5, insieme alle regole sulla compatibilità dei trattamenti successivi.
L’articolo 6, paragrafo 1, lettera f) consente il trattamento quando serve a perseguire un legittimo interesse del titolare o di terzi, a patto che non prevalgano i diritti e le libertà fondamentali degli interessati. Un’azienda non può limitarsi a dire di voler migliorare i propri prodotti. Deve individuare un interesse concreto, dimostrare che il trattamento è necessario e bilanciarlo con i diritti delle persone, secondo una valutazione in tre passaggi conosciuta come LIA. Già a dicembre 2024 il Comitato europeo per la protezione dei dati, l’EDPB, con il parere 28/2024 aveva chiarito che in determinate circostanze lo sviluppo dei modelli AI può poggiare su questa base, ma valutando ogni caso singolarmente.
Il cuore della proposta si trova nell’articolo 88 bis del documento 14756/26. Il testo ammette il trattamento sulla base del legittimo interesse, precisando però che sviluppare o far funzionare un sistema AI non costituisce da solo un interesse legittimo. Un’impresa dovrebbe comunque spiegare perché quei dati le servono, quali alternative ha considerato e come ha valutato gli effetti sulle persone.
Diritto di opposizione e il problema della cancellazione
La proposta originaria della Commissione europea prevedeva un diritto di opposizione incondizionato, una tutela più netta di quella ordinaria. Il mandato del Consiglio invece rimanda all’articolo 21 del GDPR, che permette di opporsi per motivi legati alla propria situazione particolare ma lascia al titolare la possibilità di proseguire se dimostra motivi legittimi cogenti o esigenze di difesa in sede giudiziaria. Un’opposizione senza condizioni, come quella già prevista per il marketing diretto, escluderebbe invece questo bilanciamento.
C’è poi un ostacolo tecnico non da poco. In un database tradizionale cancellare un’informazione significa trovare il record ed eliminarlo, copie comprese. Nei modelli linguistici i dati influenzano invece i parametri della rete neurale senza lasciare una traccia facilmente separabile. Alcuni modelli possono perfino memorizzare sequenze e riprodurle davanti a richieste mirate, e la letteratura scientifica documenta attacchi pensati per estrarle. Un filtro sulle risposte riduce il rischio di divulgazione, ma l’informazione non sparisce dal modello.
Le critiche di noyb e cosa cambia per gli utenti
La reazione più dura è arrivata da noyb, l’organizzazione fondata da Max Schrems, che ha definito il mandato una forma di “espropriazione digitale”. Secondo l’associazione le modifiche favorirebbero soprattutto i colossi tecnologici, seduti su archivi costruiti con social, servizi online e cloud, compresi dati condivisi anni prima che esistessero gli assistenti AI moderni. Pesa anche il tema della concorrenza, dato che un’impresa con miliardi di utenti dispone di un patrimonio informativo irraggiungibile per una piccola società europea.
Si tratta comunque di una lettura critica, visto che il testo continua a richiamare i requisiti dell’articolo 6 e lascia in piedi gli obblighi su trasparenza, minimizzazione dei dati e trasferimenti internazionali previsti dal Capo V del GDPR. Per chi usa ChatGPT, Gemini, Claude e gli altri assistenti, nell’immediato non cambia nulla.
Fonte: TecnoAndroid