AI Auditing e Conformità al GDPR: Il Nuovo Progetto dell’EDPB

L’European Data Protection Board (EDPB) ha recentemente lanciato un progetto innovativo denominato “AI Auditing“. Questa iniziativa, nata all’interno del programma Support Pool of Experts su proposta dell’Autorità Spagnola per la Protezione dei Dati, mira a sviluppare strumenti avanzati per valutare la conformità dei sistemi di intelligenza artificiale (IA) alle normative del GDPR. Si tratta di un passo cruciale per garantire che le tecnologie emergenti rispettino le rigide norme sulla protezione dei dati personali.

1. L’Importanza della Conformità al GDPR per i Sistemi di IA

Il GDPR, Regolamento Generale sulla Protezione dei Dati, stabilisce norme rigorose per la protezione dei dati personali all’interno dell’Unione Europea. Con l’espansione rapida delle tecnologie di IA, è fondamentale assicurare che questi sistemi rispettino tali norme, proteggendo così i diritti degli individui e mantenendo la fiducia del pubblico. Il progetto AI Auditing dell’EDPB risponde a questa esigenza cruciale.

2. Obiettivi del Progetto AI Auditing

Il progetto AI Auditing si pone diversi obiettivi chiave:

1. Sviluppo di Strumenti di Conformità: Creare strumenti che aiutino le organizzazioni a mappare e valutare la conformità dei loro sistemi di IA al GDPR. Questo include lo sviluppo di checklist e metodologie specifiche per condurre audit degli algoritmi.
2. Supporto alle Parti Coinvolte: Fornire supporto a tutte le parti interessate, inclusi i responsabili della protezione dei dati e le autorità di regolamentazione, per comprendere meglio le garanzie di protezione dei dati nel contesto del Regolamento europeo sull’intelligenza artificiale (Regolamento n. 1689/2024).
3. Miglioramento della Trasparenza: Proporre strumenti che aumentino la trasparenza dei sistemi di IA, facilitando così una maggiore comprensione delle decisioni algoritmiche e garantendo che queste siano giustificabili e conformi alle normative.

3. Strumenti e Metodologie del Progetto

Il documento “AI Auditing – Checklist for AI Auditing” elaborato dall’EDPB include una metodologia dettagliata per eseguire audit dei sistemi di IA. La metodologia si basa su un approccio end-to-end socio-tecnico (E2EST/AA), che esamina i sistemi nel loro contesto di implementazione e attività di elaborazione, considerando i dati specifici utilizzati e i soggetti interessati. I principali strumenti e passaggi includono:

• Model Card: Documenti progettati per compilare informazioni sulla formazione e il testing dei modelli di IA, nonché sulle caratteristiche e le motivazioni di un determinato dataset o modello algoritmico.
• System Map: Mappa del sistema che mette in contesto l’algoritmo, stabilendo le relazioni e le interazioni tra il modello algoritmico, il sistema tecnico e il processo decisionale.
• Moments and Sources of Bias: Identificazione dei momenti e delle fonti di bias nel ciclo di vita dell’algoritmo, con particolare attenzione alla valutazione e mitigazione del bias per garantire equità e conformità.
• Bias Testing: Test progettati per determinare se diversi tipi di bias influenzano i sistemi in modi che possono causare danni a individui, gruppi o al funzionamento efficiente di un sistema di IA.
• Adversarial Audit: Audit avversari, raccomandati per sistemi di apprendimento automatico non supervisionati e ad alto rischio, per verificare che le informazioni fornite durante il processo di audit siano complete e accurate.

4. AI Leaflets: Un Nuovo Strumento di Trasparenza

Il documento “AI Auditing – Proposal for AI leaflets” introduce un ulteriore strumento di trasparenza: gli AI leaflets. Questo concetto, ispirato dal settore medico, mira a fornire informazioni chiare e accessibili sui sistemi di IA, facilitando la comprensione e la scelta informata per gli utenti finali e gli implementatori di IA.

Obiettivi degli AI Leaflets

1. Promuovere la Trasparenza: Fornire informazioni accessibili che promuovano la trasparenza, l’auditabilità e il ricorso per chi acquista, implementa o è impattato dai sistemi di IA.
2. Facilitare la Conformità: Aiutare le organizzazioni a rispettare i requisiti del GDPR e dell’AI Act, fornendo informazioni dettagliate sui sistemi di IA.
3. Proteggere le PMI: Offrire un campo di gioco equo per tutti gli attori del settore, proteggendo le piccole e medie imprese dai rischi associati all’acquisto e all’uso di tecnologie di IA non trasparenti.

Template degli AI Leaflets

Il template proposto per gli AI leaflets include diverse categorie di informazioni:

• Informazioni Generali: Nome del sistema, versione, proprietario, fornitori, livello di rischio, ruoli di governance, data di distribuzione, documentazione esistente.
• Informazioni sul Processo: Descrizione degli scopi, usi, contesto e ruolo/servizio fornito, coinvolgimento degli stakeholder, contesto organizzativo, ruolo umano.
• Informazioni sui Dati di Addestramento/Validazione: Fonti dei dati, metodologia di raccolta, tipi di dati e caratteristiche, privacy by design, datasheets for datasets.
• Informazioni sul Modello: Metodi utilizzati e giustificazione, output semplificati, variabili decisionali, funzione obiettivo.
• Informazioni su Bias e Impatti: Metriche, categorie protette, tassi di impatto per categoria e profilo, auditabilità e punteggio di audit.
• Informazioni sul Ricorso: Profilazione dell’esplicabilità, meccanismi di ricorso o revisione, metriche di ricorso.

5. Verso un Algo-score per l’IA

Oltre agli strumenti sopra menzionati, l’EDPB sta esplorando la possibilità di introdurre un sistema di punteggio algoritmico (algo-score) per facilitare la comprensione pubblica e la scelta informata riguardo ai sistemi di IA. Il documento “AI Auditing – Proposal for Algo-scores” offre una panoramica delle iniziative esistenti e una proposta per un sistema di punteggio simile al Nutriscore o al A+++.

Iniziative Esistenti

• AI Ethics Label: Proposta dal AI Ethics Impact Group alla Bertelsmann Stiftung, questo label valuta sei valori chiave: trasparenza, responsabilità, privacy, giustizia, affidabilità e sostenibilità ambientale.
• Dataset Nutrition Label: Progetto che migliora il contesto, i contenuti e la leggibilità dei dataset, simile alle etichette nutrizionali utilizzate nell’industria alimentare.
• Single Focus Labels: Etichette come l’Open Ethics Label e Le label Numérique Responsable che si concentrano rispettivamente sull’apertura degli strumenti e sui temi della sostenibilità e dell’impatto ambientale digitale.

Proposta per un Algo-score

La proposta per un algo-score prende ispirazione dal metodo A+++ e si basa su tre livelli di analisi:

1. Governance dell’IA: Include la nomina delle posizioni di governance rilevanti, la conformità agli standard pertinenti, la documentazione delle valutazioni del rischio e i documenti di trasparenza.
2. Equità e Prestazioni del Modello: Include Datasheets for Datasets, Model card/s, metriche chiave (equità, robustezza, sicurezza, precisione, ecc.) e test sperimentali.
3. Monitoraggio e Audit Post-mercato: Include audit regolari dei bias, segnalazione degli incidenti, meccanismi di ricorso efficaci e metriche.

Questo approccio è progettato per promuovere e riconoscere le migliori pratiche nella fiducia e sicurezza dell’IA, creando incentivi per l’industria dell’IA a progettare soluzioni proprie e condividerle con i regolatori.

6. Sfide e Opportunità

Implementare e utilizzare gli strumenti sviluppati dal progetto AI Auditing non è privo di sfide:

1. Complessità Tecnica: La valutazione della conformità dei sistemi di IA richiede competenze interdisciplinari che comprendano sia gli aspetti tecnologici che quelli normativi.
2. Evoluzione delle Normative: Con l’introduzione continua di nuove normative, come il Regolamento europeo sull’intelligenza artificiale, è necessario che gli strumenti di audit si adattino rapidamente ai cambiamenti.
3. Risorse e Formazione: Diffondere e implementare efficacemente questi strumenti richiederà formazione adeguata e risorse sia per le autorità di protezione dei dati che per le organizzazioni.

7. Conclusione

Il progetto AI Auditing dell’EDPB rappresenta un passo significativo verso la garanzia che le tecnologie di IA rispettino le normative sulla protezione dei dati personali. Fornendo strumenti pratici e metodologie standardizzate, questo progetto aiuta le organizzazioni a navigare nella complessità del GDPR, garantendo al contempo che le tecnologie di IA siano utilizzate in modo trasparente e responsabile. In un mondo in cui la tecnologia evolve rapidamente, iniziative come l’AI Auditing sono essenziali per mantenere la fiducia del pubblico e proteggere i diritti degli individui. Continuare a sviluppare e implementare questi strumenti sarà cruciale per garantire che le innovazioni tecnologiche possano prosperare in un contesto di conformità e trasparenza.