Il futuro digitale dell’Europa sta attraversando una fase decisiva. Le istituzioni dell’Unione Europea sono impegnate nei negoziati del cosiddetto trilogo tra Parlamento, Consiglio e Commissione per definire due grandi pilastri normativi: l’Omnibus dedicato all’Intelligenza Artificiale e quello focalizzato sulla gestione dei dati. In questo scenario la Presidenza cipriota ha recentemente presentato una nuova bozza di compromesso che sarà analizzata dagli esperti il prossimo 24 aprile per sciogliere i nodi ancora aperti. Ovviamente l’attenzione è focalizzata sul provvedimento Omnibus che arrotonda le spigolature delle precedenti normative ma potrebbe diluirle in modo non sano per la concorrenza e per le libertà dei cittadini europei.

Il nodo dei dati personali e la tutela dell’identità

Uno dei punti più caldi riguarda la definizione stessa di dato personale. La Commissione aveva inizialmente proposto una visione più permissiva secondo cui i dati non sarebbero stati considerati personali se un’azienda non fosse riuscita a identificare l’individuo in modo realistico. Tuttavia questa proposta ha sollevato forti critiche per il rischio che i broker di dati potessero riacquistare informazioni apparentemente anonime per poi re-identificare le persone. Il Consiglio sta quindi lavorando a un approccio basato sulla valutazione caso per caso che consideri ogni mezzo tecnico e legale per risalire all’identità degli utenti. Ora non c’è niente di male a una valutazione caso per caso. E’ spesso l’approdo quando non si vuole decidere per soluzioni manichee. Tuttavia si registra che procedendo caso per caso il risultato finale potrebbe essere molto molto debole. Lo vediamo già oggi quando si valuta il trasferimento dei dati all’estero. C’è una difficoltà oggettiva a procedere in tal senso ed aspettarsi giustizia nelle aule di tribunale.

Addestramento dell’IA tra interessi aziendali e privacy

Un altro tema centrale riguarda l’uso delle informazioni per istruire i sistemi di intelligenza artificiale. Se la Commissione spingeva per inserire il legittimo interesse come base legale esplicita per permettere alle imprese di usare dati senza consenso diretto il Consiglio sembra intenzionato a seguire il parere dei garanti della privacy. Secondo queste autorità una clausola specifica non è necessaria perché le regole attuali permettono già questa pratica in determinati contesti. Questo è un punto decisivo ma va spiegato bene. L’interesse delle lobby tech è far rientrare nel perimetro dell’interesse legittimo quello che è escluso. Quindi si tratta di allargarlo, non di applicarlo. Tuttavia il fatto che sia stata anche solo fatta una proposta simile è un chiaro indice della forza invincibile della rappresentanza di interessi delle grandi industrie globali americane del Cloud e dell’AI. Il loro interesse non è speculare al nostro.

Per quanto riguarda i dati sensibili come quelli biometrici o religiosi la linea del Consiglio si sta facendo più severa. L’idea è quella di limitare l’uso di queste informazioni solo ai casi in cui appaiano in modo del tutto accidentale durante l’addestramento dell’IA evitando di concedere un’autorizzazione troppo generica che potrebbe mettere a rischio la riservatezza dei cittadini. Ma a questo punto mi chiedo a cosa sia servito il GDPR finora se poi deve essere indebolito dal Digital Omnibus. E come sana conseguenza di tutto, è l’Omnibus stesso che – a valle di tutte le diverse modifiche che apporterà – che dovrà porci un interrogativo principale, generale ma conclusivo: a chi serve veramente?

Ricerca scientifica e diritto di accesso

Il dibattito tocca anche il mondo della ricerca. Il Consiglio vuole evitare che le aziende private utilizzino l’etichetta di ricerca scientifica come una scusa per finalità puramente commerciali. Si punta quindi a definire criteri oggettivi per stabilire cosa sia davvero scienza e cosa sia business. Parallelamente si discute del diritto dei cittadini di accedere ai propri dati. Le nuove norme dovrebbero impedire alle aziende di rifiutare le richieste degli utenti bollandole come eccessive a meno che non venga dimostrato un chiaro intento doloso come nel caso di tentativi di estorsione o richieste di massa ingiustificate. C’è il grande tema per cui la ricerca scientifica dominante è quasi sempre privata. E quando è privata il limite tra interessi scientifici e interessi commerciali, magicamente sparisce. Le società non sono enti di beneficienza, non si prodigano di ricerca e sviluppo per far progredire l’umanità. Anche se è quello che dicono. Ora è più chiaro che nel gioco delle parti se si vuole veramente evitare che accada, ossia che ci siano finalità puramente commerciali nella ricerca, occorrerebbe indirizzare meglio i fondi basandosi su un interesse pubblico piuttosto che su quello privato. Ma su questo l’Omnibus non ha interesse ad incidere.

Novità per cookie e pubblicità online

Infine la bozza di compromesso introduce tre eccezioni specifiche all’obbligo del consenso per i cookie. La prima riguarda la misurazione statistica delle visite a un sito a patto che i dati siano anonimi e non incrociati con altri. La seconda riguarda gli aggiornamenti di sicurezza necessari per il corretto funzionamento di app e software. La terza via libera riguarda la pubblicità contestuale ovvero quella basata esclusivamente sul contenuto che l’utente sta leggendo in quel momento. In questo caso non essendoci profilazione o memorizzazione dei comportamenti passati l’utente potrebbe visualizzare annunci pertinenti senza che la sua privacy venga violata. Pur tuttavia gli emendamenti sui cookie rappresentano il solo fatto notiziabile di tutto l’Omnibus: i cittadini sanno perfettamente cosa sono, ovvero un fastidioso click. Sulla retorica del fastidio del consenso cookie si è incardinato tutto il discorso delle eccezioni e delle specifiche. Si attende però una chiara divulgazione di tutti gli altri punti dell’omnibus digitale. Accadrà?