Intelligenza artificiale, cybersecurity e privacy: i temi chiave nella relazione 2024 del Garante

Il Garante per la protezione dei dati personali, lo scorso 15 luglio, ha presentato la relazione sull’attività per l’anno 2024.

 La Relazione illustra i diversi fronti su cui è stata impegnata l’Autorità nel corso di un anno caratterizzato da interventi in ambiti fortemente innovativi – come le nuove tecnologie emergenti, l’intelligenza artificiale generativa, i modelli “pay or ok” e l’addestramento dei sistemi di IA tramite web scraping – accanto a costanti consolidate come il contrasto al telemarketing aggressivo, la tutela dei soggetti più vulnerabili e la protezione dei dati sanitari.

Gli interventi più rilevanti

Il 2024 ha visto una serie di interventi centrati sulle grandi questioni legate alla tutela dei diritti fondamentali delle persone nel mondo digitale: in particolare, le implicazioni della tecnologia; l’Intelligenza Artificiale generativa; l’economia fondata sui dati; le grandi piattaforme e la tutela dei minori; i sistemi di age verification; i big data; la sicurezza dei sistemi e la protezione dello spazio cibernetico; la monetizzazione dei dati personali; i fenomeni del revenge porn e del cyberbullismo.

Il 2024 è stato l’anno della conferma dell’Intelligenza Artificiale in ogni attività e nel contempo della ricerca da parte del Garante di soluzioni in grado di conciliare la fame di informazioni di questa tecnologia con i diritti della persona.

Nell’anno trascorso l’Autorità ha concluso l’istruttoria nei confronti di ChatGPT e ha ordinato a OpenAI, la società che gestisce il chatbot, la realizzazione di una campagna informativa e il pagamento di una sanzione di 15 milioni di euro.

Il Garante inoltre ha inviato un avvertimento formale a un importante gruppo editoriale italiano, segnalando il possibile rischio per milioni di persone connesso all’eventuale vendita a OpenAIdei dati personali contenuti nell’archivio del giornale per addestrare gli algoritmi.

Particolare attenzione è stata riservata all’uso dei dati biometrici e al diffondersi di sistemi di riconoscimento facciale.

 L’Autorità ha inviato un avvertimento a Worldcoin in relazione al progetto di scansione dell’iride in cambio di criptovalute, senza adeguate garanzie e la necessaria consapevolezza da parte degli utenti.

Significativi in ambito sanitario due pareri resi con riguardo al cosiddetto Ecosistema dati sanitari (EDS) e alla Piattaforma nazionale sulla telemedicina (PNT) nei quali il Garante ha ribadito che l’introduzione di sistemi di IA nella sanità digitale deve avvenire nel rispetto del Gdpr, del regolamento sull’IA e di quanto indicato nel Decalogo in materia di IA adottato nel 2023.  

Da sottolineare che l’azione del Garante è risultata indispensabile perché spesso la digitalizzazione è intervenuta su database costituiti molti anni addietro e bisognosi quindi di opportuni adeguamenti.

Importante, inoltre, l’impegno profuso dall’Autorità in chiave preventiva per evitare che nell’addestramento dei sistemi di IA generativa fossero utilizzate informazioni raccolte massivamente attraverso il web scraping.

Sul fronte della tutela online dei minori, nell’anno trascorso, è proseguita l’azione di vigilanza sull’età di iscrizione ai social, anche attraverso sistemi di age verification.

Particolare attenzione inoltre è stata dedicata allo sharenting, il fenomeno della condivisione online costante da parte dei genitori di contenuti che riguardano i propri figli/e (come ad es. foto, video, ecografie).

Il fenomeno è da tempo all’attenzione del Garante, soprattutto per i rischi che comporta sull’identità digitale del minore e quindi sulla corretta formazione della sua personalità.

In preoccupante aumento il fenomeno del revenge porn: 823 le segnalazioni inviate al Garante da persone che temono la diffusione di foto e video a contenuto sessualmente esplicito, quasi triplicate rispetto allo scorso anno.

Le segnalazioni ricevute sono state trattate tempestivamente e, nella maggior parte dei casi, l’esame si è concluso con un provvedimento diretto alle piattaforme coinvolte per ottenere il blocco preventivo della diffusione delle foto e dei video.

Nel corso dell’anno inoltre sono pervenute all’Autorità alcune segnalazioni relative alla diffusione di materiale artefatto realizzato attraverso l’impiego di algoritmi e di IA (cd. deep fake).

Numerosi, come in passato, i provvedimenti assunti nell’ambito del rapporto di lavoro, soprattutto con riguardo all’utilizzo della posta elettronica sul luogo di lavoro e all’impiego di sistemi di videosorveglianza.

Sul fronte della tutela dei consumatori il Garante è intervenuto con decisione contro il telemarketing aggressivo con l’applicazione di pesanti sanzioni, la maggior parte delle quali riguardano l’utilizzo senza consenso dei dati degli abbonati. L’Autorità ha inoltre approvato il Codice di condotta per le attività di telemarketing e di teleselling ed ha accreditato l’organismo di monitoraggio.

I numeri del Garante 2024

Nel 2024, il Garante ha adottato 835 provvedimenti collegiali, di cui 468 sono provvedimenti correttivi e sanzionatori.

L’Autorità ha fornito riscontro a 4.090 reclami e 93.877 segnalazioni riguardanti, tra l’altro il marketing e le reti telematiche; i dati on line delle pubbliche amministrazioni; la sanità; la giustizia, il cyberbullismo e il revenge porn, la sicurezza informatica; il settore bancario e finanziario; il lavoro.

Le comunicazioni di notizie di reato all’autorità giudiziaria sono state 16 e hanno riguardato violazioni in materia di controllo a distanza dei lavoratori, accesso abusivo a un sistema informatico, falsità nelle dichiarazioni e notificazioni al Garante.

Le sanzioni riscosse sono state oltre 24 milioni di euro.

Significativo il numero dei data breach (violazioni di dati personali) notificati nel 2024 al Garante da parte di soggetti pubblici e privati: 2204.

Nel settore pubblico (498 casi), le violazioni hanno riguardato soprattutto Comuni, istituti scolastici e strutture sanitarie; nel settore privato (1706 casi) sono stati coinvolte sia PMI e professionisti sia grandi società del settore delle telecomunicazioni, energetico, bancario, dei servizi e delle telecomunicazioni.

Nei casi più gravi sono stati adottati provvedimenti di tipo sanzionatorio.

Le ispezioni effettuate nel 2024 sono state 130 in linea rispetto a quelle dell’anno precedente.  Gli accertamenti svolti, anche con il contributo del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, hanno riguardato diversi settori, sia nell’ambito pubblico che privato: in particolare, SPID, impiego di tecnologie innovative (dispositivi installati o sperimentati da alcuni comuni per il controllo dei flussi turistici), registro elettronico,   tecnologie di riconoscimento facciale, strumenti di videosorveglianza e controllo dei lavoratori, ricerca scientifica,  data breach.