Intelligenza Artificiale, AI Act e GDPR: cosa succede nel marketing?

Sono ormai due anni che studio l’intelligenza artificiale e oggi finalmente – forse – cominciamo a fare i conti con il GDPR. E con un primo regolamento ufficiale che prende il nome di AI Act. Dico “forse” perché l’AI diventa ogni giorno di più uno strumento indispensabile per i marketer di tutto il mondo, ma a questa adozione/integrazione non segue una reale consapevolezza, soprattutto per quanto riguarda il quadro normativo. 

Capiamoci: l’AI sta rivoluzionando sia come lavoriamo sia il modo in cui le aziende comunicano con i loro clienti. Ma spesso dimentichiamo che c’è un bisogno concreto di garantire che i dati personali e di business siano trattati in modo sicuro e trasparente.

Chi lavora nel marketing deve affrontare questioni cruciali:

• cosa succede se le macchine ricevono dati che non avrebbero dovuto essere condivisi?
• E soprattutto, cosa bisogna fare per essere davvero in regola? 
• Quali sono le differenze tra le normative europee e quelle americane? 
• Dove finiscono i dati che inseriamo?

Tempo fa avevo approfondito rischi e vantaggi competitivi dell’AI nel marketing. Oggi provo a esplorare questi aspetti, offrendo una guida pratica per comprendere il complesso panorama della regolamentazione dell’AI e del GDPR nel marketing. Lo ammetto: questo articolo sarà in alcune parti un po’ pedante, ma se vuoi davvero capire questi temi sei nel posto giusto. 

Tutti i numeri dell’AI nel marketing 2024

Come detto, l’adozione dell’intelligenza artificiale (AI) nel marketing è in rapida crescita, con numerosi report e studi che evidenziano come i marketer stiano integrando questa tecnologia nelle loro strategie. 

Secondo il report di McKinsey “The state of AI in early 2024” l’adozione della AI generativa è aumentata significativamente, con il 65% delle organizzazioni che ora utilizzano regolarmente questa tecnologia in almeno una funzione aziendale. Le aree principali di applicazione includono marketing e vendite, sviluppo di prodotti e servizi, e operazioni IT.

AI tra creazione di contenuti e advertising

Un sondaggio condotto da HubSpot ha rilevato che il 60% dei marketer utilizza l’AI per creare contenuti personalizzati, mentre il 45% la impiega per analizzare i dati dei clienti e migliorare le campagne pubblicitarie. Inoltre, un report di Gartner prevede che entro il 2025, il 75% delle campagne di marketing utilizzerà qualche forma di AI per analizzare i dati, personalizzare le comunicazioni e automatizzare i processi​.

Infine un altro studio di Salesforce ha evidenziato che il 67% dei marketer che utilizzano l’AI ha riscontrato un miglioramento significativo nell’efficienza delle loro campagne. Questo dato è supportato da un’indagine di Adobe, che ha rilevato che il 57% dei leader del marketing ritiene che l’AI sia essenziale per migliorare la customer experience​. 

Impatti sulla forza lavoro

L’adozione della AI sta anche cambiando le esigenze di competenze all’interno delle organizzazioni. Le aziende stanno assumendo ruoli specifici per supportare le loro ambizioni legate alla AI, come ingegneri del machine learning e data scientist. Tuttavia, vi è una crescente domanda di competenze in “prompt engineering” a causa dell’aumento dell’adozione della AI generativa. È possibile prevedere che una parte significativa della forza lavoro verrà riqualificata per adattarsi a queste nuove tecnologie​.

Vantaggi riscontrati con l’adozione dell’AI… e un problema

• Miglioramento dell’efficienza: l’AI permette ai marketer di automatizzare processi complessi e ripetitivi, liberando tempo per attività strategiche. 
• Personalizzazione delle esperienze dei clienti: uno studio di Accenture ha rilevato che il 91% dei consumatori è più propenso ad acquistare da marchi che offrono raccomandazioni personalizzate. Utilizzando l’AI per analizzare i comportamenti e le preferenze dei clienti, i marketer possono creare contenuti e offerte su misura. 
• Aumento del ROI: un report di Forrester ha evidenziato che le aziende che utilizzano l’AI nel marketing hanno registrato un aumento del 44% nel ROI delle loro campagne pubblicitarie​.
• Gestione dei Big Data: l’AI è essenziale per gestire e analizzare grandi quantità di dati. Secondo IBM, l’AI può elaborare e interpretare dati complessi molto più velocemente e con maggiore precisione rispetto agli esseri umani, fornendo insight preziosi che possono guidare le decisioni strategiche​​.

Questi dati dimostrano come l’AI non sia solo una tendenza passeggera, ma una componente essenziale delle strategie di marketing moderne. Tuttavia il problema ricade proprio nella tecnologia, che porta con sé anche rischi, tra cui inaccuratezza, violazione della proprietà intellettuale e problemi di sicurezza informatica. Questi rischi sono sempre più riconosciuti dalle organizzazioni, che stanno iniziando a sviluppare strategie per mitigarli​. 

GDPR e AI: status quo 2024

Io sono un entusiasta dell’intelligenza artificiale. I dati snocciolati nelle righe precedenti non fanno altro che spingermi a studiare sempre di più, cercando di portare direttamente in Clickable nuove procedure o attività legate all’AI.

Ma come tutte le cose entusiasmanti, bisogna fare i conti con la noia. E in questo caso prende il nome di GDPR (e AI Act). Che è un po’ come il vicino di casa che urla ai bambini di fare meno rumore, altrimenti bucherà il pallone. Ok, scherzi a parte, sappiamo tutti che non è propriamente così, perché il GDPR è stato introdotto per proteggere i dati personali dei cittadini dell’UE, imponendo rigide regole su come i dati possono essere raccolti, trattati e conservati. Con l’uso crescente dell’AI, queste regole assumono un’importanza ancora maggiore. Anche perché sono proprio le aziende – e in particolare il marketing – che devono fare attenzione, a dire il vero.

Cos’è il GDPR?

Il GDPR, entrato in vigore nel 2018, stabilisce linee guida chiare per il trattamento dei dati personali. Tra i suoi obiettivi principali vi sono la protezione della privacy degli individui e la creazione di un quadro normativo armonizzato per la protezione dei dati all’interno dell’UE. Le recenti discussioni sulla regolamentazione dell’AI hanno ulteriormente rafforzato l’importanza del GDPR come base per la protezione dei dati personali. 

I principali obiettivi del GDPR sono:

• Protezione della privacy: Il GDPR prevede che il titolare del trattamento si assicuri che il rischio per i dati personali che tratta sia minimo, imponendo restrizioni su come i dati possono essere raccolti, archiviati e utilizzati. È bene specificare che le restrizioni sono solo per i dati particolari (ex-sensibili). Inoltre la norma non ti dice “come devi fare” per il principio di accountability: decide dunque il titolare del trattamento cosa fare e poi bisogna essere in grado di dimostrare perché e percome è stato fatto.
• Armonizzazione normativa: il regolamento crea un quadro normativo unificato per tutti i Paesi membri dell’UE, facilitando un’applicazione coerente delle leggi sulla protezione dei dati in tutta l’Unione.
• Diritti degli interessati: il GDPR conferisce agli individui vari diritti sui loro dati personali, tra cui il diritto di accesso, il diritto alla cancellazione (diritto all’oblio), il diritto alla rettifica, e il diritto alla portabilità dei dati.

Impatto del GDPR sulle aziende

Le organizzazioni devono implementare misure tecniche e organizzative per garantire e dimostrare la conformità al GDPR. Ciò include:

• Designazione di un Data Protection Officer (DPO): nei casi previsti dalla normativa (ma è sempre possibile nominarlo su base volontaria), le organizzazioni devono nominare un DPO per monitorare la conformità al GDPR.
• Valutazione d’Impatto sulla Protezione dei Dati (DPIA): le organizzazioni devono condurre DPIA per identificare e mitigare i rischi associati al trattamento dei dati personali.
• Notifiche di violazione dei dati: le organizzazioni sono tenute a notificare le autorità competenti e, in alcuni casi, gli individui interessati in caso di violazione dei dati personali entro 72 ore dalla scoperta.

Come il GDPR regola l’AI

Il GDPR pone particolare enfasi sul trattamento automatizzato dei dati personali, compresa la profilazione. L’Articolo 22 del GDPR conferisce agli individui il diritto di non essere sottoposti a decisioni basate esclusivamente sul trattamento automatizzato dei loro dati, a meno che non vi sia un consenso esplicito. Questo implica che qualsiasi utilizzo di AI per il trattamento dei dati personali deve essere trasparente, giustificato e soggetto a controllo umano.

Per garantire la conformità, le aziende devono:

• Definire chiaramente le finalità del trattamento dei dati: le aziende devono spiegare in modo trasparente perché raccolgono e trattano i dati personali, garantendo che tali attività siano necessarie e proporzionate agli scopi dichiarati.
• Informare gli utenti sull’uso della tecnologia AI: è essenziale che le aziende comunichino chiaramente agli utenti come e perché i loro dati vengono utilizzati, assicurando che comprendano i processi automatizzati coinvolti.
• Ottenere il consenso per il trattamento automatizzato e la profilazione: il consenso deve essere informato, esplicito e ottenuto prima di iniziare qualsiasi trattamento automatizzato dei dati personali.
• Valutare l’impatto dell’AI sulla privacy degli individui (DPIA): le valutazioni di impatto sulla protezione dei dati (DPIA) devono essere condotte per identificare e mitigare i rischi associati all’uso dell’AI. Queste valutazioni devono considerare i potenziali impatti negativi sui diritti e le libertà degli individui. 
• Implementare misure di sicurezza adeguate per proteggere i dati personali: questo include la pseudonimizzazione, la crittografia e l’accesso controllato ai dati.

Il ruolo dei DPO

Recentemente, l’European Data Protection Board (EDPB) ha condotto indagini coordinate per valutare il ruolo e le risorse dei Data Protection Officers (DPO). Le indagini hanno rivelato che molte organizzazioni non hanno ancora nominato un DPO, nonostante in alcuni casi sia obbligatorio. Il rapporto ha raccomandato una maggiore chiarezza e campagne di sensibilizzazione per promuovere le linee guida esistenti sui requisiti per i DPO​. 

Linee guida del Garante Privacy su web scraping e AI generativa

Il Garante Privacy ha pubblicato delle linee guida che affrontano le pratiche etiche e non etiche del web scraping e dell’uso dell’AI generativa. Queste linee guida sottolineano l’importanza di adottare misure preventive per proteggere i dati personali. Le aziende dovrebbero creare aree riservate sui propri siti web e includere clausole anti-scraping nei termini di servizio per impedire la raccolta non autorizzata di dati. Inoltre, devono garantire trasparenza, minimizzazione dei dati e limitazione delle finalità, adottando misure tecniche e organizzative adeguate per prevenire l’uso non autorizzato dei dati personali per l’addestramento dei modelli di AI.

Il Garante raccomanda inoltre la conduzione di valutazioni d’impatto sulla protezione dei dati (DPIA) per identificare e mitigare i rischi associati all’uso del web scraping e dell’AI generativa. Queste misure aiutano a garantire che i dati personali siano trattati in modo conforme alle normative e rispettino i diritti degli individui. Le linee guida enfatizzano la necessità di un equilibrio tra innovazione tecnologica e rispetto della privacy, promuovendo un uso responsabile e trasparente dell’AI generativa.

Introduzione all’AI Act: cosa devi sapere

L’AI Act dell’Unione Europea mira a stabilire un quadro normativo per garantire che i sistemi di AI siano sicuri, trasparenti e rispettosi dei diritti fondamentali. Questo nuovo regolamento è il primo del suo genere al mondo e rappresenta un passo significativo verso la regolamentazione dell’AI.

L’AI Act, approvato il 21 maggio 2024 dal Consiglio dell’UE, introduce una classificazione dei sistemi di AI in base al loro livello di rischio. I sistemi di AI saranno classificati come:

• Rischio inaccettabile → Sistemi di AI che rappresentano una minaccia chiara per la sicurezza, i mezzi di sussistenza e i diritti delle persone. Questi sistemi saranno vietati. Un esempio è il social scoring utilizzato dal governo cinese.
• Rischio alto → Sistemi di AI che possono influenzare significativamente i diritti fondamentali o la sicurezza delle persone, come quelli utilizzati in infrastrutture critiche, educazione, occupazione, accesso ai servizi essenziali, forze dell’ordine e gestione dell’immigrazione. Questi sistemi saranno soggetti a rigorosi requisiti di conformità.
• Rischio limitato → Sistemi di AI che interagiscono direttamente con le persone, come i chatbot, richiederanno obblighi di trasparenza, per esempio informando gli utenti che stanno interagendo con una macchina.
• Rischio minimo → Sistemi di AI che non rappresentano un rischio significativo per i diritti o la sicurezza delle persone, come i filtri spam o i giochi basati su AI. Questi sistemi non saranno soggetti a requisiti di conformità specifici.

AI Act: quali implicazioni per il marketing? 

Per i marketers, l’AI Act introduce nuove sfide di conformità, ma offre anche opportunità per migliorare la trasparenza e la fiducia dei consumatori. I sistemi di AI utilizzati nel marketing dovranno soddisfare requisiti specifici di accuratezza, trasparenza e responsabilità.

Accuratezza

I sistemi di AI devono essere progettati e addestrati utilizzando dati di alta qualità per garantire decisioni accurate e prive di errori sistematici. Questo è particolarmente importante per gli algoritmi utilizzati nella profilazione dei clienti, che devono basarsi su dati corretti e rappresentativi per evitare bias. La precisione e la qualità dei dati sono fondamentali per assicurare che le decisioni prese dagli algoritmi siano giuste ed equanimi​.

Trasparenza

La trasparenza è un requisito chiave dell’AI Act. Le aziende devono informare chiaramente gli utenti quando interagiscono con un sistema di AI, spiegando come funzionano gli algoritmi e quali dati vengono utilizzati. Questo è cruciale per mantenere la fiducia dei consumatori, soprattutto con strumenti di assistenza clienti basati su AI come i chatbot. Gli utenti devono essere consapevoli che stanno interagendo con una macchina e devono avere accesso a informazioni chiare su come i loro dati vengono trattati​ (Digital Watch Observatory)​.

Responsabilità

Le aziende devono implementare meccanismi di controllo per monitorare e valutare l’uso dei sistemi di AI. Questo include l’adozione di misure per prevenire e correggere eventuali bias e garantire che i sistemi di AI rispettino i diritti fondamentali degli individui. È essenziale che le organizzazioni stabiliscano processi per l’analisi continua e l’adeguamento dei loro sistemi di AI, assicurandosi che questi rimangano conformi alle normative e alle best practices del settore​.

Dati Aziendali e Conformità con AI Act e GDPR

Per garantire che l’uso dei dati aziendali sia conforme alle normative AI Act e GDPR, è fondamentale comprendere quali tipi di dati possono essere utilizzati e come gestirli in modo sicuro. Ecco una guida dettagliata per tipi di dati utilizzabili: 

1. Dati anonimizzati
   1. Descrizione: Dati dai quali sono stati rimossi tutti gli elementi identificativi, rendendo impossibile risalire all’identità degli individui.
   2. Conformità: L’uso di dati anonimi è generalmente permesso senza restrizioni particolari dal GDPR, poiché non sono considerati dati personali.
2. Dati pseudonimizzati
   1. Descrizione: Dati che non possono essere attribuiti a una persona specifica senza informazioni aggiuntive, mantenute separatamente e soggette a misure tecniche e organizzative.
   2. Conformità: Questi dati richiedono ancora protezione sotto il GDPR, ma offrono una maggiore sicurezza rispetto ai dati completamente identificativi.
3. Dati personali con consenso
   1. Descrizione: Informazioni che identificano o rendono identificabile una persona fisica.
   2. Conformità: Il trattamento di questi dati è legittimo solo se l’azienda ha ottenuto un consenso esplicito, specifico e informato dall’interessato.
4. Dati di interesse legittimo
   1. Descrizione: Dati trattati per scopi legittimi dell’azienda, come prevenire frodi o migliorare la sicurezza della rete.
   2. Conformità: È necessaria una valutazione d’impatto sulla protezione dei dati (DPIA) per giustificare l’uso dei dati basato su un interesse legittimo.

Questo è un caso delicatissimo, per cui vale la pena approfondire i casi previsti sul legittimo interesse.

Differenze tra Europa e USA nella regolamentazione dell’AI

Le normative europee e americane sull’AI e la protezione dei dati presentano differenze significative, sia in termini di approccio che di implementazione. 

L’Approccio europeo: massima sicurezza e trasparenza

L’approccio europeo alla regolamentazione dell’AI è fortemente incentrato sulla protezione dei diritti fondamentali degli individui e sulla trasparenza. Come abbiamo appena visto sono due i regolamenti chiave incarnano questa filosofia: il GDPR (General Data Protection Regulation) e l’AI Act. 

Il GDPR stabilisce norme rigorose per la protezione dei dati personali e richiede che le aziende ottengano il consenso esplicito degli utenti per il trattamento dei loro dati personali e che forniscano informazioni chiare su come i dati verranno utilizzati​. L’AI Act mira a creare un quadro normativo completo per l’uso dell’AI nell’UE e classifica i sistemi di AI in base al rischio Prevede inoltre misure specifiche per garantire la trasparenza e la responsabilità. 

L’approccio europeo è caratterizzato insomma da un elevato livello di protezione dei dati e da un impegno verso la trasparenza, con l’obiettivo di costruire la fiducia dei cittadini nell’uso dell’AI.

L’approccio Americano: più autonomie e più complessità

Negli Stati Uniti, la regolamentazione dell’AI e della protezione dei dati è meno centralizzata e varia notevolmente da Stato a Stato. Questa frammentazione rende la conformità più complessa per le aziende che operano a livello nazionale. Tuttavia, ci sono stati tentativi di introdurre leggi più stringenti a livello federale.

A differenza dell’UE, gli Stati Uniti non hanno una legge federale unica che regola la protezione dei dati personali o l’uso dell’AI. Invece, ci sono una serie di leggi specifiche per settore, come il Health Insurance Portability and Accountability Act (HIPAA) per il settore sanitario e il Children’s Online Privacy Protection Act (COPPA) per la protezione dei minori online. Recentemente, il Congresso ha fatto progressi nella direzione di una regolamentazione più uniforme, come dimostrato dalla creazione del National AI Advisory Committee, incaricato di fornire consulenza sulla politica dell’AI​.

Alcuni stati, come la California, hanno introdotto leggi sulla protezione dei dati che mirano a colmare il vuoto lasciato dall’assenza di una legge federale completa. Il California Consumer Privacy Act (CCPA) è uno degli esempi più noti e fornisce ai consumatori il diritto di sapere quali informazioni personali vengono raccolte su di loro, il diritto di richiedere la cancellazione di tali informazioni e il diritto di rinunciare alla vendita dei propri dati​ (World Economic Forum)​.

Cooperazione Internazionale

Gli Stati Uniti hanno preso iniziative per collaborare con l’UE e altri paesi in materia di regolamentazione dell’AI. La creazione del US-EU Trade and Technology Council e la nomina di un ambasciatore per la politica del cyberspazio e della digitalizzazione sono passi significativi verso una maggiore cooperazione internazionale. Questa collaborazione mira a evitare contraddizioni normative e a promuovere un approccio armonizzato alla regolamentazione dell’AI.

Mentre l’Europa adotta un approccio più uniforme e rigoroso alla regolamentazione dell’AI, centrato sulla protezione dei diritti fondamentali e sulla trasparenza, gli Stati Uniti stanno ancora sviluppando un quadro normativo coerente a livello federale. Le aziende che operano a livello internazionale devono navigare tra queste differenze normative, adottando misure per garantire la conformità in entrambe le giurisdizioni. La cooperazione internazionale e lo sviluppo di standard globali saranno cruciali per affrontare le sfide poste dall’uso crescente dell’AI.

Intelligenza artificiale a prova di GDPR e AI Act

Come abbiamo visto, l’adozione dell’intelligenza artificiale nel marketing ha aperto nuove opportunità per migliorare l’efficienza, personalizzare le esperienze dei clienti e aumentare il ROI. 

Ma ricordando un grande saggio: “Da grandi poteri derivano grandi responsabilità”. L’uso dell’AI porta con sé sfide significative in termini di conformità normativa, in particolare per quanto riguarda il GDPR e il nuovo AI Act dell’Unione Europea. Ogni azienda deve essere consapevole delle diverse normative in Europa e negli Stati Uniti e adottare misure proattive per garantire che i loro sistemi di AI siano conformi. Ma non solo, perché tutto questo porta tutti e tutte noi a considerare maggiormente:

• Protezione dei dati: la protezione dei dati non è solo una questione legale, ma un elemento cruciale per costruire fiducia con i consumatori. Le aziende devono essere trasparenti su come raccolgono e utilizzano i dati personali e garantire che questi siano trattati in conformità con il GDPR e l’AI Act.
• Trasparenza e responsabilità: informare gli utenti sull’uso dell’AI e assicurarsi che abbiano il controllo sui loro dati è fondamentale. Le aziende devono implementare meccanismi di controllo per monitorare l’uso dei sistemi di AI e prevenire eventuali bias.
• Innovazione etica: adottare un approccio etico all’AI significa non solo rispettare le normative, ma anche assicurarsi che l’AI sia utilizzata per migliorare la vita dei consumatori senza comprometterne i diritti fondamentali.

Checklist di conformità

Ecco una serie di domande che dovresti porti per assicurarti di essere in regola con l’uso dell’intelligenza artificiale e le normative GDPR/AI Act.

Ho creato un’immagine su MidJourney, posso utilizzarla come inserzione o sul blog?

Verifica i termini di servizio di MidJourney per assicurarti di avere i diritti d’uso commerciale dell’immagine. Se i termini di servizio lo permettono e non ci sono violazioni di diritti d’autore, puoi utilizzarla. Assicurati che l’immagine non contenga elementi protetti da copyright e che tu abbia tutti i diritti necessari per il suo utilizzo commerciale.

Ho messo su ChatGPT i dati di fatturato, potevo farlo?

Utilizza solo dati anonimi o pseudonimizzati per evitare problemi di conformità. Se i dati sono sensibili (di norma legati ai dati personali), assicurati di avere il consenso esplicito degli interessati e di informare gli utenti sull’uso dei loro dati. Inoltre, implementa misure per proteggere questi dati durante l’uso su piattaforme di AI come ChatGPT.

Ho messo su ChatGPT la lista dei miei clienti, potevo farlo?

Evita di utilizzare dati personali identificabili come la lista dei clienti su piattaforme di AI senza adeguate misure di sicurezza e senza il consenso esplicito degli interessati. Assicurati di informare i clienti e di adottare tecniche di pseudonimizzazione.

Ho un’azienda di 10 dipendenti, mi serve un DPO?

Anche se non è obbligatorio per tutte le aziende, avere un DPO può aiutare a garantire la conformità e a gestire meglio i dati personali. Valuta se la tua azienda tratta dati personali su larga scala o dati sensibili che richiedono una supervisione dedicata. Un DPO può fornire consulenza sulla conformità e monitorare le attività di trattamento dei dati.

Dove finiscono i dati che inserisco su ChatGPT e altre AI?

I dati inseriti su ChatGPT e altre piattaforme di AI vengono utilizzati per fornire risposte e migliorare i servizi. Tuttavia, è essenziale verificare le politiche di privacy del fornitore del servizio per capire come vengono gestiti, archiviati e utilizzati i dati. Assicurati che il trattamento dei dati sia conforme al GDPR e adotta misure per proteggere i dati sensibili.

Sto utilizzando dati di terze parti per addestrare i miei modelli di AI, posso farlo?

Assicurati di avere le licenze appropriate e di rispettare le normative sulla protezione dei dati. Evita l’uso di dati senza consenso esplicito o senza verifica dei diritti d’uso. 

Devo condurre una valutazione d’impatto sulla protezione dei dati (DPIA) per i nuovi progetti di AI?

Esegui una DPIA per ogni nuovo progetto di AI che coinvolge dati personali, documentando i rischi e le misure di mitigazione. Identificare e mitigare i rischi associati al trattamento dei dati personali tramite AI è un passo cruciale per garantire la conformità e proteggere i diritti degli individui.

AI e Dati: il Talk

Ho voluto fare un approfondimento su queste tematiche, ma sono certo che una chiacchierata con grandi professionisti possa essere ancora più stimolante e rispondere a tanti dubbi che possono ancora aleggiare per tante aziende, professionisti e professioniste del marketing. 

Ecco perché abbiamo organizzato “Opportunità, rischi e precauzioni dell’intelligenza artificiale nel digital marketing”, insieme a due big del digital: Giorgio Taverniti, Co-founder di SerchON e Andrea Chiozzi Founder di PrivacyLab. Qui sotto c’è il Talk per intero.