¶ Richiesta 4: Proprietà dei dati
I dati che riguardano una persona appartengono a quella persona -- giuridicamente, non solo moralmente.
¶ Richiesta centrale
Ogni utilizzo commerciale di dati personali da parte di sistemi di IA richiede un consenso attivo e revocabile. La vendita senza consenso deve essere punibile penalmente.
¶ La situazione attuale
¶ I dati come materia prima
I grandi modelli di IA -- GPT-4, Gemini, Claude, Llama -- sono stati addestrati con miliardi di testi, immagini e video. Una parte considerevole di questi dati di addestramento proviene da Internet: post nei forum, articoli di blog, foto, commenti -- scritti da persone che non hanno mai acconsentito a che le loro parole servissero da materiale di addestramento per un modello linguistico [1].
Shoshana Zuboff ha descritto questo modello come capitalismo della sorveglianza: l'esperienza umana viene estratta come materia prima gratuita e trasformata in previsioni comportamentali commerciate sui mercati predittivi [2].
¶ Legge svizzera sulla protezione dei dati
La nuova legge svizzera sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023, rafforza i diritti degli interessati. Richiede trasparenza, vincolo di scopo e proporzionalità [3]. Tuttavia:
- La nLPD non prevede una proprietà dei dati. Regola il trattamento, non il possesso.
- Il consenso è spesso nascosto nelle CGC -- «Accetto» come azione riflessa, non come decisione informata.
- L'applicazione è debole: l'IFPDT non ha competenza sanzionatoria come le autorità per la protezione dei dati dell'UE [4].
¶ Cosa deve cambiare
¶ Dalla protezione dei dati alla proprietà dei dati
Il cambio di paradigma: i dati che identificano o riguardano una persona non sono solo meritevoli di protezione -- appartengono a quella persona. Come una casa appartiene al proprietario, così i dati biometrici, i dati sanitari, i profili di movimento e le tracce digitali appartengono alla persona che li genera.
¶ Consenso attivo
Non più «Opt-out» (devi opporti attivamente), ma «Opt-in» (devi acconsentire attivamente). Ogni utilizzo commerciale richiede un consenso separato e comprensibile -- non nascosto in CGC di 40 pagine, ma in linguaggio chiaro, con indicazione concreta dello scopo d'utilizzo.
¶ Vendita senza consenso = reato
Se qualcuno vende la tua casa senza il tuo consenso è una frode. Se qualcuno vende i tuoi dati senza il tuo consenso oggi è... legale. Questa asimmetria deve finire. La vendita di dati personali senza consenso esplicito e revocabile deve essere ancorata come fattispecie penale nel Codice penale.
¶ Misure concrete
- Proprietà legale dei dati: Ancoraggio della proprietà dei dati personali nel CC (analogamente al diritto delle cose).
- Consenso attivo: Ogni utilizzo commerciale richiede l'opt-in. Consensi precompilati sono nulli.
- Diritto di revoca: I consensi devono essere revocabili in qualsiasi momento, gratuitamente e senza motivazione.
- Punibilità: La vendita o la trasmissione di dati personali senza consenso è classificata come contravvenzione nel CP.
- Portabilità dei dati: Ogni persona ha il diritto di esportare i propri dati in formato leggibile dalla macchina da qualsiasi piattaforma.
- Diritto alla cancellazione dai modelli IA: Se una persona revoca il consenso, i suoi dati devono essere dimostrabilmente rimossi dai set di dati di addestramento.
¶ Inquadramento internazionale
Il Regolamento generale sulla protezione dei dati dell'UE (RGPD) ha fissato standard dal 2018: diritto all'oblio, portabilità dei dati, sanzioni elevate [5]. La nLPD svizzera vi si ispira, ma resta più debole nell'applicazione.
L'EU AI Act integra: i sistemi di IA devono documentare quali dati di addestramento sono stati utilizzati -- un primo passo verso la trasparenza, ma non ancora verso la proprietà [6].
¶ Fonti
[1] Bender, Emily et al.: On the Dangers of Stochastic Parrots. FAccT 2021.
[2] Zuboff, Shoshana: The Age of Surveillance Capitalism. PublicAffairs, 2019.
[3] Nuova legge svizzera sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023.
[5] RGPD UE, Regolamento UE 2016/679.
[6] EU AI Act, Regolamento UE 2024/1689, art. 10 (dati e governance dei dati).