Se non sai dimostrarlo, non esiste.

Intelligenza artificiale e ricerca medica… ma senza trasparenza.

Una società attiva nel settore della ricerca medico-scientifica, specializzata nello sviluppo di tecnologie basate su AI per l’analisi di cellule rare, viene sottoposta ad accertamento ispettivo da parte del Garante.

Il software sviluppato elabora immagini di cellule tumorali provenienti da campioni biologici di pazienti, con l’obiettivo di identificare automaticamente le cellule malate tramite algoritmi di deep learning.

Lo strumento, non ancora autorizzato come dispositivo medico, viene usato sia ai fini di ricerca interna, ma anche in vista di una possibile commercializzazione futura.

I dati utilizzati per l’addestramento dell’algoritmo provengono da una società americana del gruppo, che ha raccolto i consensi tramite un responsabile esterno.

Ma qualcosa non torna.

Documentazione carente, finalità opache.

Durante l’ispezione, il Garante ha messo a fuoco le debolezze strutturali del trattamento, riconducibili a un approccio non sufficientemente conforme al principio di accountability.

L’attività di verifica si è incentrata sulla valutazione della conformità al GDPR dei trattamenti effettuati con particolare attenzione a tre aspetti fondamentali:

• presupposti di liceità del trattamento;
• obblighi informativi nei confronti degli interessati;
• efficacia delle misure di pseudonimizzazione adottate.

Ciò che è emerso è un quadro di informazioni vaghe, finalità ambigue e controlli assenti:

• Informativa generica e poco trasparente che non spiegava chiaramente l’obiettivo del trattamento, né l’utilizzo dei dati, né la destinazione commerciale del software e la possibile cessione a terzi.
• Finalità del trattamento poco chiare e disgiunte, non collegate alla patologia trattata.
• Tempi di conservazione sproporzionati (fino a 25 anni) senza indicazione di criteri documentati né giustificazione oggettiva.
• Nessuna analisi del rischio di re-identificazione dei dati pseudonimizzati.
• E soprattutto: nessuna verifica indipendente sulla reale anonimizzazione di quei dati. La società si era limitata a fidarsi del fornitore passivamente.

In breve: la società non è stata in grado di dimostrare in modo documentato liceità, proporzionalità e trasparenza del trattamento.

Quindi: niente accountability.

 

Cosa insegna questo caso?

Che la responsabilizzazione non è solo un concetto giuridico.

È la capacità concreta di dare conto delle proprie scelte.

E, in caso di controllo, di documentarle.

Essere conformi non significa “scrivere bene le informative” o “fare attenzione ai dati sensibili”.

Significa sapere esattamente cosa si sta facendo, perché, con quali strumenti, e poterlo dimostrare. Sempre.

Serve un sistema, non un’intenzione.