Il Coreper, il comitato degli ambasciatori degli Stati membri presso l'Unione Europea, ha dato il via libera alla posizione del Consiglio sul Digital Omnibus, il pacchetto con cui la Commissione intende semplificare le regole digitali europee. Il punto più controverso riguarda una modifica al GDPR che consentirebbe alle aziende di utilizzare dati personali per sviluppare e far funzionare sistemi e modelli di intelligenza artificiale senza il consenso degli interessati. Il nuovo articolo 88 bis individua infatti nel legittimo interesse del titolare o di terzi la base giuridica per trattare le informazioni personali in ambito IA.
Le tutele cancellate dal testo
La versione approvata dal Consiglio è decisamente più favorevole alle imprese rispetto alla proposta originaria della Commissione. Nel testo iniziale, l'articolo stabiliva che il legittimo interesse non potesse prevalere quando a essere coinvolti fossero i diritti della persona, in particolare se minore. Il Consiglio ha rimosso questa frase dall'articolo e l'ha trasferita nel considerando 33 bis: una premessa che, pur spiegando le finalità del regolamento, non ha la stessa forza vincolante delle norme. Lo stesso considerando precisa però che sviluppare un'IA non costituisce di per sé un legittimo interesse e che ogni caso va valutato singolarmente.
Gli Stati membri hanno eliminato anche le tutele specifiche previste dalla Commissione: l'obbligo di usare solo i dati strettamente necessari nella scelta delle fonti e durante l'addestramento, l'impedimento a che il modello restituisca informazioni personali rimaste al suo interno e maggiori garanzie di trasparenza verso gli interessati. In particolare, era previsto un diritto di opposizione "incondizionato", che permetteva a chiunque di negare l'uso dei propri dati senza dover fornire motivazioni. Al suo posto, il testo del Consiglio richiede genericamente misure tecniche e organizzative "appropriate" e rimanda all'ordinario diritto di opposizione dell'articolo 21 del GDPR, che consente all'azienda di proseguire il trattamento dimostrando motivi legittimi prevalenti.
Le accuse di noyb: "Esproprio digitale"
Secondo noyb, l'organizzazione per la privacy fondata da Max Schrems, la norma renderebbe di fatto presunto il legittimo interesse, consentendo alle grandi piattaforme di riutilizzare dati raccolti anche molti anni prima, compresi quelli di persone che non sono mai state loro clienti. "Non è altro che un esproprio digitale degli europei", ha scritto Schrems, definendolo "il più grande regalo che gli Stati membri abbiano mai fatto alle Big Tech statunitensi". Per noyb, i richiami agli articoli 21 e 24 del GDPR non impongono garanzie sostanziali.
Il documento approvato non è comunque una modifica in vigore: si tratta del mandato negoziale con cui il Consiglio dialogherà con il Parlamento Europeo. Secondo noyb, l'Eurocamera non ha ancora una posizione definita: il PPE spinge per ulteriori deroghe, mentre i gruppi di centrosinistra difendono le regole attuali. Il testo definitivo uscirà dal trilogo, il negoziato a tre con la Commissione. Se la norma dovesse passare, noyb ha già indicato il ricorso alla Corte di giustizia dell'UE come possibile strada.
