ChatGPT torna a Itàlia després d’un pols de privacitat

El 28 d’abril del 2023, l’autoritat italiana de protecció de dades, el Garante, va anunciar que OpenAI havia restablert ChatGPT a Itàlia després d’adoptar mesures per atendre les seves exigències. El servei havia quedat bloquejat al país a finals de març, quan el regulador va imposar una limitació temporal del tractament de dades d’usuaris italians. En la seva resolució de l’11 d’abril va fixar les condicions per aixecar-la.

L’episodi és un dels primers pols entre un regulador europeu i un servei d’intel·ligència artificial generativa. Més enllà d’Itàlia, interessa qualsevol empresa que faci servir aquestes eines amb dades de clients o empleats, o que desenvolupi productes basats en elles, perquè mostra com s’aplica el Reglament general de protecció de dades a una tecnologia que no es va dissenyar amb aquest marc en ment. Les autoritats europees coordinen la seva actuació en un grup de treball del Comitè Europeu de Protecció de Dades.

Què va retreure el regulador

El Garante va qüestionar la manca de verificació d’edat dels usuaris i la recollida massiva de dades personals per entrenar els algoritmes sense una base jurídica clara. Per aixecar la limitació demanava transparència sobre el tractament, una via senzilla per exercir els drets d’accés, rectificació i supressió, i garanties per als menors.

El regulador no va prohibir la tecnologia, sinó que va exigir complir la llei. És un matís important: la resposta va ser una limitació del tractament de dades d’usuaris italians, no un veto a la intel·ligència artificial, i es va aixecar quan la companyia va demostrar que havia adoptat les mesures demanades. El procés, de fet, va durar menys d’un mes. Aquesta proporcionalitat és la que solen buscar els reguladors europeus davant de tecnologies noves: exigir garanties sense impedir-ne el desenvolupament.

Què va fer OpenAI

Segons el comunicat del 28 d’abril, OpenAI va publicar informació sobre el tractament de dades per entrenar els seus models, va ampliar la seva política de privacitat i la va fer visible en el registre, i va posar a disposició de totes les persones a Europa, siguin usuàries o no, un formulari per oposar-se que les seves dades s’usin per a l’entrenament. Va permetre a més als usuaris europeus excloure les seves converses.

Els usuaris italians que tornen han de confirmar que són majors de 18 anys o que en tenen més de 13 amb consentiment dels pares, i el registre pregunta la data de naixement. La companyia invoca l’interès legítim per a l’entrenament, subjecte a oposició, i el contracte per prestar el servei. El Garante va reconèixer els avenços, va demanar un sistema de verificació d’edat i continuarà la seva investigació juntament amb el grup de treball del Comitè Europeu de Protecció de Dades.

Lliçons per a l’empresa

Quan una empresa introdueix dades personals en una eina d’intel·ligència artificial ha de tenir una base jurídica, informar les persones afectades, limitar l’ús a la finalitat prevista i comprovar on i com es tracten les dades. Convé revisar també si el proveïdor permet excloure les dades de l’entrenament i què passa amb les converses que es guarden. Convé deixar constància d’aquestes comprovacions al registre d’activitats de tractament i, si l’ús és intensiu, valorar una avaluació d’impacte en protecció de dades.

Les empreses que desenvolupin serveis propis amb intel·ligència artificial haurien de documentar les seves bases de dades d’entrenament i atendre els drets de les persones. Les pimes que facin servir aquestes eines a través de proveïdors haurien d’exigir-los informació clara sobre què fan amb les dades que s’introdueixen. És informació general; el seu delegat de protecció de dades o el seu assessor l’hi poden ajudar a aplicar aquestes idees al seu cas.

La llei de sempre s’aplica a la tecnologia nova, i és més barat assabentar-se’n a temps.

Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.