Dal report gratuito al documento: tre nuove pratiche per regolamento IA e GDPR

Se avete già compilato il questionario gratuito di applicabilità di Komplya, avete una risposta chiara sul fatto che il regolamento sull'IA o il GDPR riguardino la vostra azienda. Quel questionario resta gratuito e non cambia. Cambia invece quello che viene dopo. Sapere quali obblighi si applicano e poter consegnare a qualcun altro un documento che lo dimostri sono due cose diverse: finora, tra le due, c'era un salto da colmare a mano, copiando il risultato a schermo in un documento proprio, sperando che reggesse a una verifica. È esattamente questo salto che colmano tre nuovi acquisti una tantum, che trasformano il report gratuito in documenti pensati per essere consegnati a una banca, a un cliente, a un investitore o a una revisione.

Cosa c'è di nuovo

Report di classificazione del rischio IA — 49 €

È il vostro report di applicabilità gratuito, riformattato come documento di esportazione a marchio proprio, corredato di riferimenti normativi. Stesso motore, stessa analisi, ma strutturato e referenziato come documento autonomo invece che come pagina a schermo. Serve per il momento in cui qualcuno fuori dalla vostra azienda chiede una prova, non solo un'affermazione: una banca che valuta un finanziamento, un investitore in fase di due diligence, un cliente in un questionario di fornitura, oppure la vostra stessa revisione interna. Invece di uno screenshot, fornite un documento con i riferimenti normativi già incorporati.

Generatore di DPIA — 69 €

Una valutazione d'impatto sulla protezione dei dati, redatta con l'IA e strutturata secondo l'articolo 35, paragrafo 7 del GDPR: una descrizione sistematica del trattamento, una valutazione di necessità e proporzionalità, una valutazione dei rischi per i diritti e le libertà degli interessati, e le misure di mitigazione previste o già in essere. La redazione si basa sui criteri dell'articolo 35, paragrafo 3 del GDPR e sulle linee guida WP248, così che il documento ragioni sul vostro trattamento reale invece di limitarsi a compilare un modello generico. Chi la richiede tipicamente: il Garante o un'altra autorità di controllo, un cliente importante nell'ambito di una verifica di sicurezza dei fornitori, oppure il vostro stesso responsabile della protezione dei dati.

Pacchetto completo — 99 €

Entrambi i documenti di policy (Policy sull'uso dell'IA e Informativa sulla privacy), il report di classificazione del rischio, la DPIA e una nuova copertina Evidence & Audit Pack che indicizza tutto in un unico pacchetto. La copertina serve perché chi riceve il pacchetto, un revisore, un investitore, un'autorità, non debba capire da solo quale documento risponde a quale domanda: è già indicizzato.

Quando serve davvero una DPIA?

Vale la pena capirlo indipendentemente dall'intenzione di acquistare qualcosa. L'articolo 35 del GDPR richiede una DPIA quando un tipo di trattamento, in particolare mediante l'uso di nuove tecnologie, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. L'articolo 35, paragrafo 3 del GDPR e le linee guida WP248 dell'ex Gruppo di lavoro Articolo 29 stabiliscono i criteri che le autorità usano in pratica per decidere se questa soglia è superata. Se il vostro trattamento soddisfa due o più dei seguenti criteri, una DPIA è molto probabilmente necessaria; diversi sistemi di IA ne soddisfano più di uno da soli:

• Valutazione o scoring, incluso il profiling che produce effetti giuridici o effetti analogamente significativi sulla persona, come lo scoring creditizio automatizzato o una preselezione di CV che scarta candidati.
• Trattamento su larga scala di categorie particolari di dati (salute, dati biometrici, origine etnica, opinioni politiche e simili) o di dati relativi a condanne penali.
• Monitoraggio sistematico di persone, incluso il monitoraggio di un'area accessibile al pubblico o l'osservazione continuativa di comportamenti.
• Trattamento che coinvolge interessati vulnerabili, come dipendenti, minori o persone in una condizione di dipendenza economica o sociale rispetto al titolare del trattamento.
• Uso innovativo di tecnologie o soluzioni organizzative, incluse applicazioni nuove dell'IA, quando i rischi per gli interessati non sono ancora ben compresi né rappresentano prassi consolidata.
• Combinazione o raffronto di set di dati provenienti da fonti diverse oltre quanto una persona potrebbe ragionevolmente aspettarsi.

In pratica, la maggior parte delle aziende che gestisce un sistema di IA che valuta, filtra o monitora persone soddisfa almeno due di questi criteri già a una prima verifica. È esattamente la popolazione che il questionario gratuito è pensato per individuare, ed è per questo che la DPIA è spesso uno dei primi documenti che segue un risultato "vi riguarda", non un extra opzionale da rimandare.

Il conto torna indipendentemente da quale documento serva con più urgenza questa settimana. Se serve solo il report di rischio per una pratica bancaria, si può acquistare da solo a 49 €. Se un cliente o un'autorità chiede subito una DPIA, costa 69 € da sola. Ma se sapete già che prima o poi vi serviranno più di uno di questi documenti, come accade alla maggior parte delle aziende soggette a regolamento sull'IA e GDPR, il pacchetto completo è la via più economica verso gli stessi documenti, non un'opzione premium.

Niente di tutto questo sostituisce il questionario gratuito di applicabilità, e niente costituisce una consulenza legale sulla vostra situazione specifica. Il questionario continua a rispondere se qualcosa vi riguarda, e resta gratuito. Questi tre nuovi acquisti rispondono a una domanda diversa: una volta chiaro cosa si applica, cosa consegnate concretamente a chi vi chiede una prova.