L'autorità olandese per la protezione dei dati ha messo a disposizione uno strumento di autovalutazione sui sistemi di intelligenza artificiale generativa: un percorso che porta l'organizzazione a verificare se ha misure di governo adeguate, come sceglie un sistema conforme al GDPR, come lo mette in esercizio e come ne sorveglia l'uso.
Perché uno strumento del genere serve adesso
Il problema pratico di questi mesi non è il divieto: è che l'IA generativa entra nelle organizzazioni dalla porta di servizio. Non con un progetto, ma con una casella spuntata dentro un gestionale che il fornitore ha aggiornato, o con un abbonamento sottoscritto da un ufficio senza passare da nessuno. Quando il DPO se ne accorge, il trattamento è già in corso da mesi.
Un'autovalutazione non risolve il problema, ma lo rende discutibile: dà al DPO un documento da mettere sul tavolo che non sembra un'obiezione personale, e al titolare una sequenza di domande a cui rispondere per iscritto.
Le quattro decisioni che vanno scritte
Le domande si concentrano su quattro momenti: se esiste un governo del fenomeno prima di adottare qualsiasi strumento; con quali criteri si sceglie il fornitore; a quali condizioni il sistema entra in esercizio; e chi ne sorveglia l'uso nel tempo. Sono gli stessi quattro punti su cui, in un'ispezione, si chiede conto — e sono anche i quattro su cui, di solito, non esiste una riga scritta.
Va detto chiaramente: lo strumento è dell'autorità olandese e non vincola le altre. Non produce una presunzione di conformità e non sostituisce la valutazione d'impatto dell'art. 35 quando questa è dovuta. Ma le domande non sono olandesi: sono le stesse che un DPO farebbe in Italia, in Portogallo o in Norvegia.
Cosa farne in concreto
La cosa utile è usarlo come censimento, non come esame. Un giro di email ai clienti con tre domande — quali strumenti di IA generativa sono attivi, chi li ha autorizzati, quali dati ci finiscono dentro — produce quasi sempre una sorpresa, e quella sorpresa è il vero punto di partenza.
E ricordarsi della sequenza giusta: prima si stabilisce se il trattamento è lecito e se richiede una valutazione d'impatto, poi si sceglie il fornitore. L'ordine inverso — sistema scelto, poi valutazione scritta per giustificarlo — è il modo più rapido per trasformare un adempimento in una finzione.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
