Privacy dei dati e regolamentazioni AI: cosa attende i datori di lavoro nel Regno Unito e nell'UE nel 2024

Mentre l'anno 2024 si svolge, l'intersezione tra protezione dei dati e intelligenza artificiale (AI) porta i riflettori, non solo nel Regno Unito ma a livello globale. L'atteso EU AI Act, spesso definito "la prima legge completa sull'AI del mondo", si sta avvicinando all'implementazione. A dicembre 2023, il Parlamento europeo e il Consiglio europeo hanno raggiunto un accordo provvisorio sul suo contenuto. Sebbene il testo finale debba ancora essere pubblicato, le bozze precedenti forniscono spunti. Ci si aspetta che venga adottato all'inizio del 2024 e diventerà pienamente efficace due anni dopo. 

I datori di lavoro dovrebbero notare che l'AI utilizzata nell'impiego che presenta livelli di rischio elevati, come definito dalla legislazione, sarà soggetta a ulteriori obblighi di conformità e salvaguardie. Importante, l'EU AI Act avrà una portata globale, influenzando le aziende internazionali che utilizzano l'AI all'interno dell'UE, indipendentemente dalla loro sede. Le violazioni di questa regolamentazione possono portare a multe sostanziali, fino a 35 milioni di EUR o il 7% del fatturato annuo globale.

Regolamentazione dell'AI nel Regno Unito: un approccio diverso

In contrasto con l'approccio rigoroso dell'UE, il Regno Unito sta perseguendo un percorso distinto, astenendosi dall'introdurre una legislazione completa sull'AI. Invece, si concentra sulla promozione dell'innovazione e sulla regolamentazione e guida settoriali. I critici, inclusa la Commissione per l'Uguaglianza e i Diritti Umani (EHRC), sostengono che l'approccio del Regno Unito sia carente. Tuttavia, ci sono stati segni di movimento regolamentare, esemplificati dal Disegno di Legge sull'Intelligenza Artificiale (Regolamentazione), un breve Disegno di Legge dei Membri Privati introdotto nel novembre 2023. Questo disegno di legge mira a stabilire un'Autorità centrale per l'AI responsabile della supervisione della regolamentazione dell'AI.

Una scintilla di speranza è emersa a settembre 2023 quando il Congresso dei Sindacati (TUC), che rappresenta i sindacati nel Regno Unito, ha chiesto una legislazione urgente per proteggere i diritti dei lavoratori e ha formato un taskforce sull'AI. La taskforce intende presentare una bozza del Disegno di Legge su AI e Impiego all'inizio del 2024. Difenderà emendamenti legislativi al GDPR del Regno Unito per affrontare potenziali problemi come algoritmi discriminatori e minacce ai diritti sulla privacy dei dati associati all'analisi dell'AI di espressioni facciali, tono di voce e accenti durante le valutazioni dei candidati al lavoro.

Possibile allontanamento del Regno Unito dal GDPR

Dopo la Brexit, il governo del Regno Unito ha proposto il Disegno di Legge sulla Protezione dei Dati e sulle Informazioni Digitali, mirato a semplificare e modernizzare il quadro di protezione dei dati del Regno Unito. Sebbene questo cambiamento legislativo possa facilitare la conformità alla protezione dei dati per le aziende nazionali, i datori di lavoro internazionali probabilmente manterranno la conformità con gli standard rigorosi del GDPR. Un'area di preoccupazione è se questo allontanamento dal GDPR potrebbe mettere a rischio la decisione di adeguatezza concessa al Regno Unito dall'UE. Perdere questa decisione potrebbe risultare in ulteriore documentazione per le aziende del Regno Unito che gestiscono trasferimenti di dati dall'UE. Si prevede che il Disegno di Legge passi nella primavera del 2024, sebbene la tempistica possa essere influenzata dalle prossime elezioni del Regno Unito.

Linee guida dell'ICO e revisione della Commissione europea

L'Ufficio del Commissario per le Informazioni (ICO), il regolatore della protezione dei dati del Regno Unito, dovrebbe rilasciare ulteriori linee guida in risposta all'evoluzione della tecnologia e degli sviluppi legali. Questo include risorse AI espanse e consigli mirati per i datori di lavoro, specialmente nelle aree dei trasferimenti internazionali e delle migliori pratiche. Nel frattempo, l'ICO sta attualmente sollecitando input su linee guida bozze che coprono vari argomenti, come la conservazione dei record di impiego e il reclutamento e la selezione.

Nel 2024, la Commissione europea è destinata a rivedere il GDPR dell'UE. Sebbene il GDPR abbia in gran parte avuto successo nell'armonizzare le regole di protezione dei dati e migliorare la protezione della privacy, alcuni aspetti minori, come gli oneri di conformità per le piccole organizzazioni, potrebbero essere sottoposti a scrutinio.

Aree di focus normative: IA nel reclutamento e protezione dei dati nei servizi finanziari

Come parte della sua agenda strategica, l'ICO si è impegnata a scrutinare il ruolo dell'IA nel reclutamento e la conformità alla protezione dei dati nel settore dei servizi finanziari. Nell'ottobre 2023, l'ICO ha emesso un avviso di applicazione preliminare contro una società tecnologica per il potenziale mancato adeguato valutazione dei rischi per la privacy posti da un chatbot di IA generativa. Questo segnala la probabile aumento delle azioni di enforcement da parte dell'ICO contro le aziende che trascurano le implicazioni per la privacy dell'IA generativa.

In sintesi, il 2024 si prospetta come un anno cruciale per la normativa sulla privacy dei dati e sull'IA nel Regno Unito e nell'UE. Sebbene l'AI Act dell'UE prometta una supervisione completa dell'IA, il Regno Unito adotta un approccio più focalizzato sull'industria. Entrambe le regioni stanno navigando la complessa intersezione tra privacy dei dati e IA, con potenziali implicazioni per datori di lavoro, titolari del trattamento e innovatori tecnologici.