The Pulse
La Thailandia pubblica linee guida non vincolanti sulla protezione dei dati nell’IA
Il Comitato per la protezione dei dati personali della Thailandia ha pubblicato linee guida non vincolanti sull’applicazione della legge sulla protezione dei dati personali allo sviluppo e all’uso dell’IA. Le linee guida riguardano i dati d
AI.info Team · Scritto con l’IA ·
Il 12 ottobre, il Comitato per la protezione dei dati personali della Thailandia ha pubblicato linee guida non vincolanti che spiegano come la legge sulla protezione dei dati personali già in vigore nel Paese si applichi allo sviluppo e all’uso dell’intelligenza artificiale. Le linee guida coprono il ciclo di vita dell’IA, dallo sviluppo e dall’addestramento dei modelli fino alla loro messa in uso, e affrontano le basi giuridiche per il trattamento dei dati personali, la minimizzazione dei dati, le valutazioni dei rischi, la sicurezza e i diritti degli interessati, secondo il resoconto dell’annuncio pubblicato da MLex.
Il PDPC applica il PDPA allo sviluppo e all’uso dell’IA
Le linee guida del comitato non istituiscono una legge distinta sull’IA. Interpretano invece gli obblighi già previsti dalla legge sulla protezione dei dati personali, o PDPA, per le organizzazioni che sviluppano o utilizzano sistemi che trattano informazioni personali. Il loro carattere non vincolante distingue il documento da una legge giuridicamente vincolante, pur offrendo alle organizzazioni un’indicazione dell’autorità di regolamentazione su come il quadro esistente si applichi all’IA.
Le linee guida affrontano le basi giuridiche per il trattamento dei dati personali, la minimizzazione dei dati, la valutazione dei rischi, le valutazioni d’impatto sulla protezione dei dati e le misure di sicurezza. Riguardano anche i diritti delle persone le cui informazioni entrano nei sistemi di IA. Il loro ambito va oltre l’addestramento dei modelli e comprende la fase di messa in uso, nella quale i sistemi possono trattare informazioni fornite dagli utenti o produrre output riguardanti persone identificabili.
Dati di addestramento, prompt e fornitori rientrano tutti nel quadro
Tra le questioni specifiche dell’IA figurano l’uso di dati personali per addestrare i modelli, la gestione dei prompt e degli output e la ripartizione delle responsabilità quando le organizzazioni si affidano a fornitori esterni di IA. Queste questioni possono coinvolgere più soggetti: un’azienda che sceglie quali informazioni immettere, un fornitore che gestisce il sistema e uno sviluppatore che può usare i dati per costruire o perfezionare un modello.
Le linee guida affiancano inoltre la minimizzazione dei dati e la valutazione dei rischi alle basi giuridiche per il trattamento. In pratica, ciò significa che le organizzazioni devono considerare i dati personali anche oltre il momento in cui entrano in un dataset di addestramento. Secondo MLex, i prompt, i contenuti generati e gli accordi per il trattamento da parte di terzi rientrano anch’essi tra gli ambiti affrontati dal comitato.
Le richieste di cancellazione pongono una sfida tecnica
Le richieste di cancellazione delle informazioni personali possono diventare difficili da soddisfare quando i dati sono già stati incorporati in un modello addestrato. Le linee guida del comitato esaminano questo problema insieme ai più ampi diritti degli interessati, riconoscendo una tensione pratica tra le richieste fondate sulla legge e il lavoro tecnico necessario per individuare o rimuovere informazioni all’interno dei sistemi di IA.
La questione riguarda le aziende che potrebbero considerare un dataset di addestramento il luogo principale in cui risiedono i dati personali. Il fatto che le linee guida coprano prompt, output, fornitori e modelli addestrati indica un insieme più ampio di dati registrati e fasi di trattamento di cui le organizzazioni potrebbero dover tenere conto quando rispondono alle richieste di esercizio dei diritti.
Le linee guida definitive seguono una bozza sottoposta a consultazione pubblica
Il comitato aveva pubblicato una bozza delle linee guida sulla protezione dei dati nell’IA il 17 febbraio e invitato a presentare osservazioni pubbliche fino al 25 febbraio, secondo Tilleke & Gibbins. L’annuncio di ottobre segna la pubblicazione delle linee guida non vincolanti dopo la fase di consultazione sulla bozza.
Il documento traduce gli obblighi generali di protezione dei dati in ambiti legati all’IA che le organizzazioni possono esaminare lungo l’intero ciclo di vita di un sistema. La sua rilevanza immediata è pratica, non legislativa: i team che trattano dati personali dovranno tenere conto del materiale di addestramento, dei prompt, degli output, dei fornitori esterni e delle richieste di cancellazione nell’ambito del PDPA esistente.