Come garantire la cancellazione dei dati personali dai modelli di intelligenza artificiale
Quando un interessato esercita il diritto alla cancellazione (articolo 17 GDPR) nei confronti di dati utilizzati per addestrare un modello di machine learning, cosa significa concretamente soddisfare quella richiesta? È sufficiente eliminare i dati dal dataset originario, o è necessario intervenire anche sul modello già addestrato che porta in sé le tracce statistiche di quei dati? Il machine unlearning — l’insieme delle tecniche volte a rimuovere o neutralizzare l’influenza di specifici dati all’interno di un modello già addestrato — emerge come una necessità giuridica sempre più pressante, alimentata dai provvedimenti dell’Autorità Garante italiana (il caso ChatGPT di OpenAI), dagli orientamenti dell’European Data Protection Board (EDPB) e dagli obblighi introdotti dal Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act).
Il quadro normativo: GDPR e AI Act
L’articolo 17 del GDPR riconosce all’interessato il diritto di ottenere la cancellazione dei propri dati personali “senza ingiustificato ritardo” quando ricorrano determinate condizioni. Combinato con il principio di limitazione della conservazione (articolo 5, lettera e) e con il principio di privacy by design (articolo 25), questo diritto presuppone implicitamente che il titolare del trattamento mantenga il controllo effettivo dei dati in ogni momento del loro ciclo di vita. Il problema che il machine learning introduce è che il ciclo di vita dei dati non termina con la fine dell’addestramento: i dati continuano a “vivere” nei parametri del modello in forma latente e distribuita, non immediatamente riconoscibile o isolabile.
L’EDPB ha affrontato il tema del trattamento dati nel contesto dell’IA attraverso diversi orientamenti, chiarendo che la base giuridica del trattamento per l’addestramento deve essere identificata con precisione, che la minimizzazione dei dati si applica anche alla fase di training, e che i diritti degli interessati — incluso il diritto alla cancellazione — devono essere garantiti sull’intero sistema di trattamento, non soltanto sul dataset originario. Il Garante italiano ha dimostrato di applicare questi principi con rigore nel procedimento avviato contro OpenAI per ChatGPT (30 marzo 2023), evidenziando come un Large Language Model non possa garantire la rettifica o cancellazione delle informazioni personali eventualmente “assorbite” durante il training.
L’AI Act integra questo quadro con obblighi specifici di governance dei dati per i sistemi ad alto rischio (articolo 10) e per i modelli di IA per uso generale (articoli 53-56). Per i sistemi AI ad alto rischio, i fornitori devono essere in grado di identificare e documentare i dataset di addestramento, validazione e test, e di adottare misure per garantire che i dati siano pertinenti e sufficientemente rappresentativi. La possibilità di rimuovere specifici dati o neutralizzarne l’influenza è una precondizione implicita di questi obblighi.
Le tecniche di machine unlearning: vantaggi e limiti
La letteratura scientifica ha sviluppato diverse famiglie di approcci. Il retraining esatto (riaddestrare il modello da zero escludendo i dati da rimuovere) garantisce la rimozione completa dell’influenza del dato, ma è computazionalmente insostenibile per i modelli moderni: un Large Language Model con miliardi di parametri richiede settimane di calcolo distribuito su migliaia di GPU, rendendo questa soluzione praticamente impossibile ogni volta che un interessato esercita il diritto alla cancellazione.
Gli approcci di approximate unlearning riducono l’influenza del dato a un livello statisticamente trascurabile attraverso tecniche come l’influence function unlearning (che misura e compensa l’impatto di ciascun dato), il gradient ascent (che inverte l’aggiornamento dei parametri), il fine-tuning selettivo e il knowledge distillation. La partizione dei dati (SISA — Sharded, Isolated, Sliced, and Aggregated training) divide il dataset in frammenti sui quali vengono addestrati modelli separati, riducendo il costo computazionale del retraining parziale quando un dato deve essere rimosso. Gli approcci basati su privacy differenziale limitano ab initio la quantità di informazione memorizzata su ciascun singolo dato, rendendo il problema meno critico ma al prezzo di una riduzione delle prestazioni del modello.
Un aspetto particolarmente rilevante è il fenomeno della “memorizzazione”: i modelli, soprattutto quelli di grandi dimensioni, tendono in certi casi a memorizzare esempi di training in modo quasi letterale, tanto da poterli riprodurre se opportunamente interrogati. Questo rischio concreto di violazione del GDPR è aggravato da tecniche di attacco informatico come membership inference attack (determinare se un dato era nel training set) e data extraction attack (estrarre dal modello dati di addestramento specifici), che dimostrano che la separazione tra modello e dato originale non è netta come si potrebbe pensare.
Profili critici: completezza della cancellazione e responsabilità nella filiera
Un nodo centrale è la definizione dello standard giuridico che deve soddisfare la cancellazione. L’articolo 17 del GDPR non specifica cosa debba intendersi per “cancellazione” in relazione a un modello di machine learning. L’orientamento generale delle autorità di controllo sembra muoversi nella direzione di richiedere non una rimozione matematicamente perfetta, ma una riduzione dell’influenza del dato a un livello statisticamente non distinguibile dalla sua assenza — approccio pragmatico giustificato dal principio di proporzionalità.
Il diritto alla cancellazione non è assoluto: l’articolo 17, paragrafo 3, GDPR prevede eccezioni, e la Corte di Giustizia ha affermato che il diritto deve essere bilanciato con altri diritti e interessi legittimi, inclusa la libertà di informazione. Nel contesto dei sistemi AI, questo bilanciamento è delicato: cancellare l’influenza di dati storici accurati potrebbe ridurre la qualità del modello, ma il diritto dell’interessato non può essere sacrificato per l’integrità del sistema.
Argomento frequente dei fornitori è che il modello, nel suo complesso, non contiene dati personali poiché ha trasformato l’informazione originaria in rappresentazioni statistiche. Questo argomento è giuridicamente debole: il Considerando 26 del GDPR stabilisce che per determinare l’identificabilità occorre considerare tutti i mezzi ragionevolmente utilizzabili, incluse le tecniche di attacco. Se tecniche di data extraction consentono di estrarre informazioni personali, la semplice affermazione che il modello è “anonimizzato” non regge alla verifica del test di identificabilità richiesto dal Gruppo di lavoro Articolo 29.
Un ulteriore profilo riguarda la distribuzione delle responsabilità nella filiera del trattamento. Se il fornitore del modello è il responsabile del trattamento ai sensi dell’articolo 28 GDPR, il titolare del trattamento dipende interamente dalla sua capacità tecnica di implementare machine unlearning. L’articolo 28, paragrafo 3, lettera g), impone al responsabile di “cancellare o restituire” dati personali dopo la fine dei servizi; questa disposizione, interpretata alla luce dell’articolo 17, implica che il Data Processing Agreement contenga clausole specifiche sulla gestione delle richieste di cancellazione anche rispetto ai modelli AI.
Cosa devono fare le imprese: indicazioni operative
Le imprese che sviluppano o adottano sistemi AI addestrati su dati personali devono implementare un approccio strutturato.
Prioritario appare completare una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) ai sensi dell’articolo 35 GDPR prima di avviare il trattamento. La DPIA deve affrontare esplicitamente la fattibilità tecnica della cancellazione dal modello addestrato, le procedure per gestire richieste di cancellazione, le misure per ridurre il rischio di memorizzazione e estrazione di dati, il bilanciamento tra diritto alla cancellazione e altri interessi.
In secondo luogo occorrerebbe predisporre procedure formali di gestione delle richieste di esercizio dei diritti che coprano non solo la cancellazione dai dataset originari, ma anche l’attivazione di tecniche di machine unlearning appropriate. Queste procedure devono includere l’identificazione dei responsabili dell’esecuzione, la documentazione tecnica del processo, la comunicazione all’interessato entro un mese (prorogabile di due mesi), e la tenuta di un registro delle operazioni effettuate. La documentazione è essenziale per soddisfare il principio di accountability dell’articolo 5, paragrafo 2, GDPR.
Analogamente importante è contrattualizzare con precisione i rapporti con i fornitori di sistemi AI. Il Data Processing Agreement deve includere clausole specifiche sull’obbligo di implementare machine unlearning, i tempi di esecuzione compatibili con i termini GDPR, la documentazione dell’avvenuta cancellazione, le misure tecniche per prevenire la memorizzazione di dati personali (ad esempio, privacy differenziale durante il training), il diritto di verificare l’efficacia delle misure adottate. Se il fornitore non può offrire queste garanzie, valutare se è possibile limitare i dati personali utilizzati o se preferibile non utilizzare quel sistema.
Occorre altresì cogliere l’opportunità offerta dall’AI Act per una compliance integrata. I fornitori di sistemi AI ad alto rischio sono tenuti a implementare sistemi di gestione dei rischi e documentazione tecnica (articolo 9 e seguenti AI Act) che possono essere arricchiti con informazioni sulle tecniche di machine unlearning, creando un corpus documentale che soddisfa simultaneamente i requisiti del GDPR e dell’AI Act.
In ottica NIS2 assume, inoltre, importanza rilevante coordinare il DPO con il CISO e il team di sicurezza informatica per assicurarsi che le misure di sicurezza dei sistemi AI includano specifiche contromisure contro membership inference e data extraction attack, e che le procedure di machine unlearning siano integrate nel piano di risposta agli incidenti. La NIS2 (Decreto Legislativo 4 settembre 2024, n. 138) impone ai soggetti essenziali e importanti di adottare misure di gestione dei rischi di sicurezza che comprendono la gestione degli incidenti: un sistema AI che memorizza dati è potenzialmente vulnerabile a violazioni di dati che richiedono notifica ai sensi dell’articolo 33 GDPR e possono costituire incidenti di sicurezza rilevanti secondo NIS2.
Da ultimo, non appare ultroneo focalizzare l’attenzione anche sulla promozione di una formazione specifica dei team di data science e machine learning sugli aspetti giuridici e tecnici del machine unlearning, in modo che considerazioni di privacy by design siano integrate nelle scelte tecniche fin dalla progettazione del sistema.
Conclusioni: un obbligo giuridico senza soluzione tecnica universale
Il machine unlearning si trova oggi in una posizione peculiare: è un obbligo giuridico implicito derivante dal GDPR e dal principio di privacy by design, ma la sua attuazione pratica è ancora un problema tecnico aperto per il quale non esistono soluzioni universalmente efficaci e computazionalmente sostenibili per i modelli di maggiori dimensioni. Questa tensione tra diritto e tecnica è particolarmente acuta nel contesto dell’intelligenza artificiale per tre ragioni: la scala senza precedenti dei dati coinvolti (miliardi di persone), l’opacità dei modelli che rende ardua la verifica dell’efficacia dell’unlearning, la velocità di evoluzione delle tecnologie che superano i tempi di adeguamento normativo.
È probabile che nel prossimo futuro l’EDPB adotti linee guida specifiche che definiscano lo standard minimo di cancellazione richiesto in diversi contesti. La ricerca sul machine unlearning è in rapida evoluzione e nel giro di pochi anni possono emergere soluzioni più efficienti. I prossimi anni vedranno probabilmente le prime decisioni significative delle autorità di controllo e dei tribunali nazionali ed europei sul diritto alla cancellazione in relazione ai sistemi AI: il caso ChatGPT aperto dal Garante italiano e chiuso, in Italia, dal Tribunale di Roma per difetto di competenza, potrebbe diventare un caso paradigmatico se il Garante irlandese intenderà affrontare con il rigore di quello Italiano le delicatissime problematiche contestate ad OPEN AI . Per il DPO e il giurista d’impresa, la risposta pratica a queste incertezze è la prudenza proattiva: progettare i sistemi AI con la cancellazione in mente fin dall’inizio, minimizzare l’uso di dati personali, contrattualizzare con precisione, documentare ogni operazione con rigore, monitorare continuamente l’evoluzione normativa e giurisprudenziale.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
