Condurre una valutazione d’impatto

Alcuni usi dell’IA trattano dati personali in un modo che può toccare fortemente le persone: dati sanitari, dati di collaboratori per una valutazione, trattamento su larga scala. In questi casi la nLPD, all’articolo 22, e il RGPD, all’articolo 35, chiedono una valutazione d’impatto sulla protezione dei dati prima di cominciare.

• La descrizione del trattamento: finalità, dati, persone interessate, durata di conservazione.
• La valutazione dei rischi per la personalità e i diritti fondamentali delle persone.
• Le misure previste per ridurre questi rischi.
• La conclusione: il rischio residuo è accettabile?

Per la descrizione, il fascicolo di conformità di Learnya vi fornisce molti elementi: localizzazione dei dati e dei modelli in Svizzera, nessun utilizzo dei contenuti per l’addestramento, contratto di trattamento dei dati, esportazione self-service. I rischi e le misure, invece, dipendono dal vostro uso.

Se, nonostante le misure, il rischio resta elevato, la nLPD prevede, all’articolo 23, di consultare l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) prima di cominciare. Anche il RGPD prevede la consultazione dell’autorità di controllo. Nella maggior parte dei casi, misure migliori bastano a evitare questo passaggio.