Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
L’Unione Europea discute nuove regole che potrebbero consentire alle aziende di usare dati personali per sviluppare e addestrare l’intelligenza artificiale facendo riferimento al legittimo interesse. Il testo non è ancora definitivo e il GDPR resta in vigore, ma alcune garanzie previste inizialmente risultano indebolite.
Tutto questo ci fa porre una semplice domanda: vogliamo far arricchire ancora una volta i giganti dell’AI americani, oppure stiamo gettando le basi per lo sviluppo delle nostre AI europee?
Nello specifico, i dati provenienti da vecchie chat, pubblicazioni, account e altri servizi digitali possono acquisire nuovo valore per gli sviluppatori di intelligenza artificiale. I paesi dell’Unione Europea stanno discutendo modifiche al GDPR che consentiranno direttamente alle aziende di fare riferimento al «legittimo interesse» nell’uso dei dati personali per lo sviluppo e il funzionamento dell’IA. Nel progetto di modifiche di settembre, la presidenza del Consiglio UE ha notevolmente indebolito alcune garanzie presenti nella proposta iniziale della Commissione Europea.
La norma controversa è emersa nel pacchetto Digital Omnibus, presentato dalla Commissione Europea a novembre 2025.
La Commissione ha proposto di aggiungere al GDPR un articolo separato 88c, dedicato all’elaborazione dei dati nello sviluppo e nell’utilizzo dell’IA. La versione iniziale dell’articolo permetteva l’uso del legittimo interesse, ma manteneva diversi limiti diretti: l’interesse dell’azienda non doveva prevalere sui diritti dell’uomo, una protezione speciale si applicava ai bambini e le leggi che richiedevano il consenso dell’utente continuavano a valere.
La Commissione Europea ha anche stabilito ulteriori misure di protezione. Gli sviluppatori dovevano minimizzare la quantità di dati personali nella scelta delle fonti, nell’addestramento e nel test delle modelli, aumentare la trasparenza dell’elaborazione e fornire all’individuo il diritto incondizionato di vietare l’uso dei propri dati.
Nella versione del Consiglio UE, l’articolo ha ricevuto il numero 88 bis ed è diventato notevolmente più breve. La nuova formulazione afferma che l’elaborazione dei dati personali nello sviluppo e nell’utilizzo dell’IA può essere effettuata nell’interesse legittimo dell’azienda o di una terza parte in conformità con l’articolo 6(1)(f) del GDPR. Dall’articolo sono scomparsi il riferimento specifico ai bambini, il requisito diretto di bilanciare l’interesse dell’azienda con i diritti dell’uomo, l’esenzione per i casi di consenso obbligatorio, la minimizzazione dei dati, la trasparenza rafforzata e il diritto incondizionato di opposizione.
Quest’ultimo è ancora menzionato nella premessa tra le possibili misure di protezione, ma non è più sancito nell’articolo stesso come obbligo separato.
La modifica non significa che qualsiasi insieme di dati utente diventi automaticamente materia prima consentita per le reti neurali. L’articolo 6(1)(f) del GDPR continua a valere e richiede di verificare la legittimità dello scopo, la necessità dell’elaborazione e il rapporto tra gli interessi dell’azienda e i diritti dell’uomo.
Il Consiglio Europeo per la Protezione dei Dati ha in precedenza descritto una verifica in tre fasi: l’azienda deve formulare un legittimo interesse reale, dimostrare la necessità dell’elaborazione e assicurarsi che i diritti delle persone non prevalgano sullo scopo dichiarato.
Un dibattito pratico su un simile schema è già emerso. Nel 2025, Meta intendeva addestrare modelli su dati pubblici di utenti adulti di Facebook e Instagram nell’UE, utilizzando proprio il legittimo interesse invece del consenso preventivo. L’organizzazione per i diritti civili noyb si è opposta a tale approccio e ha richiesto la cessazione dell’elaborazione senza il consenso esplicito degli utenti.
Le attuali proposte vanno oltre il dibattito su un singolo social network. noyb ritiene che la nuova struttura permetterà alle grandi aziende tecnologiche di tentare di utilizzare per l’IA i dati accumulati nel corso di decenni, incluse le informazioni di persone che non sono mai diventate clienti di uno specifico sviluppatore. L’organizzazione ha definito la riforma «espropriazione digitale». Secondo noyb, i principali beneficiari saranno le aziende con enormi archivi storici di informazioni utente. L’affermazione di un accesso praticamente illimitato ai dati rappresenta la posizione dei difensori dei diritti, non una regola già in vigore nell’UE.
Alcune modifiche riguardano le informazioni sensibili. Il progetto ammette la presenza accidentale e residua di dati sulla salute, le opinioni politiche, la religione, l’origine, le caratteristiche biometriche e altre categorie speciali nei set per l’addestramento, il test e la verifica dei modelli. Lo sviluppatore deve cercare di filtrare tali informazioni in anticipo e rimuovere i dati trovati. Se la rimozione è tecnicamente impossibile o richiede sforzi chiaramente sproporzionati, l’azienda deve bloccare l’uso ulteriore delle informazioni, escludere l’influenza sulle risposte del modello e non trasmettere i dati a terzi.
Un’altra parte della riforma riguarda il confine tra dati personali e non personali. Il progetto propone di considerare le reali possibilità di un’organizzazione specifica di identificare una persona. Tale approccio è particolarmente importante per le registrazioni pseudonimizzate, dove il nome è sostituito da un identificatore, ma il collegamento con la persona può essere ripristinato in determinate condizioni.
I regolatori europei hanno criticato il tentativo di ampliare i casi in cui le informazioni pseudonimizzate possono smettere di essere considerate personali per un’organizzazione specifica. Secondo EDPB e EDPS, una simile norma potrebbe modificare effettivamente i confini di applicazione del GDPR e aggiungere incertezza giuridica invece del promesso semplificazione.
Le nuove regole non sono ancora state adottate. La procedura legislativa per il Digital Omnibus è in corso e il documento di settembre rappresenta un testo di compromesso della presidenza del Consiglio UE per i successivi negoziati. Fino all’approvazione della versione definitiva, rimangono in vigore i requisiti attuali del GDPR e le formulazioni dell’articolo 88 bis potrebbero ancora cambiare.
RHC4Edu nasce dalla volontà della community di Red Hot Cyber di portare la cultura della cybersecurity, dell’intelligenza artificiale e del digitale direttamente nelle scuole, mettendo gratuitamente a disposizione degli studenti l’esperienza di professionisti, ricercatori e specialisti del settore. Il progetto è ufficialmente operativo e permette agli istituti interessati di richiedere workshop gratuiti e incontri con gli esperti della community, attraverso un coordinamento della redazione che mette in relazione le esigenze della scuola con le competenze e la disponibilità dei professionisti presenti sul territorio.
L’obiettivo di RHC4Edu non è trasformare gli studenti in tecnici informatici, ma aiutarli a sviluppare consapevolezza e pensiero critico davanti a un mondo sempre più digitale. Cybersecurity, truffe online, privacy, social network, cyberbullismo, fake news e intelligenza artificiale diventano così argomenti da affrontare con esempi concreti e con il contributo diretto di chi lavora quotidianamente nel settore. Un’iniziativa costruita sulla condivisione della conoscenza e sul volontariato della community, perché portare queste competenze nelle aule significa anche offrire ai ragazzi la possibilità di conoscere nuove professioni, sviluppare curiosità e imparare a vivere la tecnologia in modo più sicuro e consapevole.
Prenota il tuo workshop gratuito con gli esperti di Red Hot Cyber.