Il Garante per la protezione dei dati personali ha pubblicato sul proprio sito web un decalogo diretto a offrire indicazioni pratiche per la realizzazione di servizi sanitari a livello nazionale attraverso sistemi di intelligenza artificiale (IA) in conformità alla normativa vigente in materia di protezione dei dati personali.

Le dieci regole individuate dal Garante riguardano:

1) la base giuridica del trattamento, che deve essere individuata in disposizioni di legge o di regolamento che prevedano misure adeguate a tutela dei diritti, degli interessi e delle libertà degli interessati;

2) i principi di accountability e di privacy by design e by default, che impongono al titolare del trattamento di dimostrare il rispetto degli adempienti previsti dal GDPR e l’effettiva tutela dei dati personali degli interessati, fin dalla progettazione e per impostazione predefinita;

3) i ruoli ricoperti dai diversi soggetti coinvolti nel trattamento di dati personali effettuato attraverso tecniche di IA, che devono essere correttamente individuati tenuto conto delle attività svolte in concreto e alla luce dei compiti istituzionalmente demandati a ciascuno;

4) i principi di conoscibilità, non esclusività e non discriminazione algoritmica, che devono governare l’utilizzo di algoritmi e di strumenti di IA nell’esecuzione di compiti di rilevante interesse pubblico;

5) la Valutazione d’impatto sulla protezione dei dati (VIP), che deve sempre precedere il trattamento di dati personali effettuato mediante un sistema centralizzato nazionale che utilizza l’IA, dal momento che lo stesso determina un trattamento sistematico su larga scala di dati sanitari e rientra, dunque, tra quelli ad “alto rischio”;

6) la qualità dei dati personali, che deve essere assicurata attraverso specifiche misure volte a garantire in concreto l’esattezza e l’aggiornamento dei dati;

7) l’integrità e la riservatezza dei dati personali, che devono essere protette da misure adeguate a mitigare i rischi derivanti dall’utilizzo di tecniche di machine learning;

8) la trasparenza e la correttezza nei processi decisionali fondati su trattamenti automatizzati, che costituiscono uno dei pilastri fondamentali alla base dello sviluppo e dell’utilizzo di sistemi di IA, alla luce dei rischi, anche discriminatori, che possono derivare dall’uso di tali strumenti;

la supervisione umana (e, in particolare, di professionisti sanitari), che nella fase di addestramento degli algoritmi deve rimanere centrale, non rimettendo in toto la decisione alle macchine;

9) la dignità e l’identità personale, il cui rispetto deve sempre essere garantito, escludendo scelte che, ancorché apparentemente lecite e materialmente possibili, possano produrre effetti discriminatori, in particolare, nei confronti di soggetti vulnerabili (minori, anziani, malati).

Il decalogo, pubblicato il 10 ottobre 2023, è disponibile al link: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9938038.