AI-driven economy: comprendere le relazioni tra GDPR e la più recente disciplina europea sui dati – Data Act, Data Services Act, AI Act, per citare alcuni esempi – è un tema strategico per le imprese che innovano.
Sempre più frequentemente, infatti, queste normative si intersecano in modo non facilmente leggibile.
E sempre più spesso il GDPR è percepito come un ostacolo alla valorizzazione economica e al pieno utilizzo dei dati. Ma è veramente così?
Ne ho ragionato insieme al collega Luca Bolognini digitale in un confronto a due voci pubblicato sulla rivista specializzata “Diritto e Giustizia” dell’editore Lefebvre Giuffrè: Il GDPR frenerà l’applicazione di Data Act e Digital Governance Act? (contenuto a pagamento). Voglio riassumerne, con parole diverse, i passaggi principali.
Il GDPR è una Costituzione per il digitale
Austria, una persona si vede denegare un contratto da una società di telefonia: il suo scoring creditizio è stato valutato negativamente da un sistema automatizzato. Chiede spiegazioni, non le riceve. Ha cioè davanti una black box, un sistema insondabile che incide concretamente sulla sua vita.
Qui entrano in gioco le regole, in particolare quelle del GDPR. Le regole, per definizione, limitano, diversamente non sarebbero regole, non permettono ad esempio la situazione appena descritta.
Limitare gli usi pervasivi dei dati personali non è necessariamente un male e non va colto come un ostacolo alla loro valorizzazione e alla AI-driven economy più in generale. Avere regole è, al contrario, una condizione necessaria per mantenere la valorizzazione dei dati entro i binari del rispetto della dignità umana, del lavoro, dei processi democratici.
L’intelligenza artificiale oltreoceano procede con accelerazione continua in un contesto di ampia deregolamentazione (deregulation). Crea ricchezza improvvisa ma sta erodendo il contesto sociale: abbatte posti di lavoro, prospettive di vita, sicurezze. È uno strumento potente, tuttavia già nel breve termine potrebbe rivelarsi insostenibile e generare un costo sociale ed economico che ne supera i benefici.
In Europa le regole, anche quando sono mal scritte e farraginose, esprimono una visione del mondo che ci contraddistingue, che racconta chi siamo. Raccontano per esempio che l’innovazione tecnologica tenuta nella dimensione umana, a costo di essere più lenti. Forse si innova a velocità meno intensa, ma si innova meglio.
Contendere alle Big Tech il controllo dei dati
Il GDPR esprime questa visione e contende alle Big Tech la leva di tutto: il controllo dei dati. Per questo è costantemente oggetto di tentativi di riscrittura e di diluizione, ultimo dei quali è, sotto molti profili, la proposta Digital Omnibus.
Il punto da tenere presente, a mio parere, è che il Regolamento sui dati personali ha un afflato costituzionale. Si pone cioè su un piano molto astratto, riconoscendo con precisione diritti fondamentali nel mondo digitale. Pensiamo al diritto di accesso, di oblio e cancellazione, di opposizione al trattamento (ampiamente delineati peraltro già nella direttiva 95/46). Si tratta di tutele che non potevano naturalmente essere previste dalla nostra Carta. Sono però a tutti gli effetti presìdi giuridici indispensabili, soprattutto in un’epoca di così improvvisa accelerazione tecnologica.
Tendono cioè a collocarsi sul piano di un completamento costituzionale, che l’era digitale rende necessario. Del resto, la protezione dei dati personali, intesa come distinta dalla tutela della vita privata, dunque dalla “riservatezza”, è già posta al livello apicale europeo. E’ infatti riconosciuta all’articolo 8 della Carta dei diritti fondamentali dell’Unione europea. Il diritto di accesso, quello di rettifica, il principio che i dati personali possono essere trattati solo per una finalità specifica, e poggiare solo su una base giuridica precisa, non necessariamente coincidente con il consenso, sono tutti elementi strutturali già enunciati al paragrafo 2 di quell’articolo 8 e poi precisati dal GDPR.
Due casi concreti
Pensiamo all’art. 22 GDPR, ossia al divieto di decisioni significative esclusivamente automatizzate. È una disposizione visionaria e continua a costituire una tutela formidabile per la persona rispetto ad applicazioni di intelligenza artificiale a forte impatto sociale. Sulla base di questa disposizione, per esempio, la Corte di giustizia, nella celebre decisione del 7 dicembre 2023, Schufa holding, C‑634/21, ha ritenuto illecito il credit scoring interamente automatizzato.
L’esclusione algoritmica da mutui, finanziamenti, investimenti e da occasioni lavorative ha un impatto concreto sugli individui. Non c’è dubbio che l’utilizzo di sistemi AI ne abbia ampliato e generalizzato l’applicazione.
Nella più recente decisione del 27 febbraio 2025, Dun & Bradstreet, C-203/22, la Corte di giustizia ha ribadito il diritto, di matrice GDPR, di conoscere la logica applicata alle decisioni automatizzate, occupandosi proprio della vicenda austrica citata in apertura.
Il GDPR è una visione del mondo
Sono due esempi tra i molti che definiscono il rapporto tra regole e società. Raccontano una visione del mondo europea diversissima da quella attuale statunitense. Dunque, sì, le regole limitano talvolta la valorizzazione dei dati, come nel caso del credit scoring automatizzato (è solo un esempio tra molteplici), tuttavia questa limitazione è non è un ostacolo. E’ una precondizione di civiltà e di tenuta sociale.
Fatte queste osservazioni, va comunque riconosciuto che il GDPR offre ampio spazio di miglioramento. Contiene delle incongruenze, si pensi ad alcuni noti disallineamenti tra la base giuridica dell’art. 6 e quella dell’art. 9. Potrebbe inoltre essere completato, fornire ad esempio una definizione di “ricerca scientifica” e regole più nette per assicurarne lo sviluppo. Potrebbe fissare con più precisione il diritto alla spiegazione dei trattamenti di dati personali.
Ed è altrettanto vero che possono tracciarsi alcune linee di collisione tra GDPR e leggi più recenti, come l’AI Act, il Digital Services Act, il Data Act. Tuttavia, il lavoro del giurista su questi spazi di miglioramento va condotto caso per caso, in modo chirurgico, senza toccare la struttura portante della normativa. Questa è in sintesi, e con linguaggio ed esempi diversi, la posizione che ho espresso nel confronto giuridico.
Una prospettiva diversa: perché il GDPR è incompatibile con l’AI-driven economy
L’avv. Bolognini, pur abbracciando una visione in parte diversa, riconosce appieno il valore anche etico del GDPR. Concentra tuttavia il suo ragionamento sui fronti di miglioramento, denunciando alcuni effetti pratici frenanti del Regolamento.
Osserva per esempio che la base giuridica del legittimo interesse non è ancora pienamente valorizzata dalle Autorità di controllo sui dati personali, come emerge dal Parere 28/2024 dell’EDPB su AI e dati personali. L’EDPB, va ricordato, è l’organismo che riunisce i “Garanti” europei. Ciò determina rallentamenti concreti nello sviluppo europeo.
Ritiene inoltre che i principi dell’art. 5 GDPR – limitazione della finalità, minimizzazione, esattezza, conservazione – entrino strutturalmente in collisione con i modelli di sviluppo AI-driven e con la piena estrazione di utilità dai Big Data, ossia con lo scenario fondamentale del secondary use. L’uso secondario dei dati personali ha infatti assunto nell’economia dei dati un ruolo decisivo per la valorizzazione delle informazioni e per la generazione di nuova informazione “intelligente”.
Nota altresì che l’incertezza applicativa derivante dalla complessità delle regole può scoraggiare investimenti e progettualità innovativa.
Formula infine una proposta concreta: chiedere alle autorità di controllo a pubblicare valutazioni d’impatto per i provvedimenti speciali e generali, che tocchino più settori del diritto, coinvolgendo le altre autorità di settore.
Che cosa significa tutto questo per le imprese e per gli individui
Il diritto non è mai astratto, neppure un confronto giuridico lo è veramente, c’è sempre un momento in cui viene “messo a terra”. Ognuna delle regole sul sistema dei dati si scarica sui progetti, sulle occasioni di finanziamento, sugli investimenti, sulla sostenibilità di imprese e di individui.
La complessità del quadro normativo europeo dei dati esiste, è oggettiva, su questo concordano entrambi gli autori del dibattito, ma è navigabile con un corretto approccio consulenziale.
Molte questioni trovano già soluzione. Nell’AI-driven economy comprendere la gerarchia tra GDPR e normative di settore e utilizzarla in modo corretto è oggi una competenza strategica nell’economia trainata dai dati.