Machine Unlearning e GDPR: il diritto all’oblio nell’era dell’IA

Abstract

Il progressivo radicamento dei sistemi di intelligenza artificiale nei processi aziendali e nella vita quotidiana pone con crescente urgenza una questione che si colloca al crocevia tra informatica e diritto: cosa accade ai dati personali che sono stati utilizzati per addestrare un modello di machine learning quando l’interessato esercita il proprio diritto alla cancellazione ai sensi dell’articolo 17 del Regolamento (UE) 2016/679 (GDPR)? La risposta tecnica a questa domanda giuridica si chiama machine unlearning, vale a dire l’insieme delle tecniche volte a rimuovere o neutralizzare l’influenza di specifici dati di addestramento all’interno di un modello già addestrato. Il tema interseca il quadro normativo del GDPR, le Linee Guida dell’European Data Protection Board (EDPB), le disposizioni del Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act) e i provvedimenti dell’Autorità Garante per la protezione dei dati personali, assumendo rilievo operativo centrale per DPO, responsabili del trattamento e fornitori di sistemi AI. Il presente articolo analizza il problema in tutte le sue dimensioni — normativa, tecnica e pratica — per offrire al professionista della protezione dei dati gli strumenti concettuali e le indicazioni operative necessari ad affrontare la questione.

—

I. Introduzione e inquadramento generale

I dati personali non vengono più soltanto raccolti e archiviati, ma utilizzati per l’addestramento di modelli statistici. I moderni sistemi di intelligenza artificiale — dai modelli di linguaggio di grandi dimensioni (Large Language Models, LLM) ai classificatori di immagini, dai sistemi di raccomandazione ai motori di analisi predittiva — apprendono rappresentazioni complesse del mondo a partire da enormi quantità di dati di addestramento. Una volta completato il processo di training, i parametri del modello (i cosiddetti pesi) incorporano, in forma statisticamente distribuita e non immediatamente leggibile, le informazioni contenute in quei dati. Il modello, in altri termini, ha “imparato” qualcosa da ciascun dato: e quel qualcosa non scompare facilmente.

Questo meccanismo proietta un esteso cono d’ombra su uno dei diritti fondamentali riconosciuti dall’ordinamento europeo: il diritto alla cancellazione dei dati personali, comunemente noto come “diritto all’oblio”, sancito dall’articolo 17 del GDPR. Se un individuo chiede che i propri dati vengano rimossi da un sistema di intelligenza artificiale, cosa significa concretamente soddisfare quella richiesta? È sufficiente eliminare i dati dal dataset di addestramento originario? O è necessario intervenire anche sul modello già addestrato, che porta in sé le tracce di quei dati? E, in questo secondo caso, come è tecnicamente possibile farlo senza vanificare l’utilità del modello?

Queste domande non sono più meramente accademiche. Il Garante per la protezione dei dati personali italiano ha già dimostrato di voler applicare il GDPR ai sistemi di intelligenza artificiale con determinazione — il caso ChatGPT ne è la testimonianza più nota (sebbene interrotta nel suo sviluppo giurisprudenziale dalla decisione del Tribunale di Roma che ha sancito l’incompetenza territoriale del Garante italiano) — e l’EDPB ha avviato un percorso di riflessione sistematica sul tema. L’AI Act, entrato in vigore il 1° agosto 2024 e applicabile in modo scaglionato, aggiunge ulteriori obblighi di trasparenza e di governance dei dati che si intrecciano con quelli già derivanti dal GDPR. Il machine unlearning emerge, in questo contesto, non come una mera curiosità informatica, ma come una necessità giuridica e operativa.

L’obiettivo di questo articolo è triplice. In primo luogo, ricostruire il quadro normativo rilevante, identificando le norme che impongono o presuppongono la possibilità di “disimparare” dati da parte di un sistema AI. In secondo luogo, illustrare — con il rigore necessario ma senza eccessive tecnicità — le principali metodologie di machine unlearning oggi disponibili, evidenziandone i limiti. Infine, tradurre tutto ciò in indicazioni operative concrete per DPO, responsabili del trattamento e consulenti.

—

II. Il quadro normativo di riferimento

A. Il GDPR e il diritto alla cancellazione

Il punto di partenza normativo è, inevitabilmente, l’articolo 17 del Regolamento (UE) 2016/679. La disposizione riconosce all’interessato il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano “senza ingiustificato ritardo” quando ricorra una delle condizioni tassativamente elencate: i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti; l’interessato revoca il consenso e non sussiste altro fondamento giuridico; l’interessato si oppone al trattamento; i dati sono stati trattati illecitamente; la cancellazione è imposta dal diritto dell’Unione o dello Stato membro; i dati sono stati raccolti nell’ambito di servizi della società dell’informazione offerti direttamente a minori.

La norma fa parte di un sistema coerente che include anche il principio di limitazione della conservazione (articolo 5, paragrafo 1, lettera e), secondo cui i dati personali devono essere “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati”. Combinati, questi principi delineano un’architettura di diritti che presuppone — implicitamente ma necessariamente — che il titolare abbia il controllo effettivo dei dati in ogni momento del loro ciclo di vita.

Il problema che il machine learning introduce è precisamente qui: il ciclo di vita dei dati non termina con la fine dell’addestramento. I dati, una volta usati per costruire un modello, continuano a “vivere” nei parametri di quel modello in forma latente. Se il titolare del trattamento cancella il file originario ma mantiene il modello addestrato su quei dati, ha davvero adempiuto all’obbligo di cancellazione? La risposta dipende, in larga misura, dalla natura del modello e dal contributo che quel singolo dato ha apportato alla sua costruzione — e questa è già, di per sé, una valutazione complessa.

B. Il principio di privacy by design e la minimizzazione dei dati

L’articolo 25 del GDPR impone al titolare del trattamento di adottare, sia al momento della determinazione dei mezzi del trattamento sia all’atto del trattamento stesso, misure tecniche e organizzative adeguate — come la pseudonimizzazione — e di trattare, per impostazione predefinita, solo i dati personali necessari per ciascuna finalità specifica. Il Considerando 78 chiarisce che questi principi si applicano a tutti i trattamenti, compresi quelli realizzati tramite sistemi automatizzati.

Applicato ai sistemi AI, il principio di privacy by design impone che già nella fase di progettazione del sistema si considerino le modalità con cui verranno gestite le eventuali richieste di cancellazione. Un sistema progettato senza tenere conto del machine unlearning è, per definizione, un sistema che non rispetta il principio di privacy by design con riferimento all’intero ciclo di vita del dato.

C. Le Linee Guida dell’EDPB e la posizione delle autorità di controllo

L’EDPB ha affrontato il tema dell’intelligenza artificiale e della protezione dei dati in più occasioni, con un approccio progressivamente più articolato. Le Linee Guida 05/2022 sull’uso della tecnologia di riconoscimento facciale nel settore delle attività di contrasto e il Parere 28/2024 su taluni aspetti di protezione dei dati relativi al trattamento di dati personali nel contesto dei modelli di IA affrontano, da diverse angolazioni, la questione del trattamento dei dati nel contesto dell’intelligenza artificiale.

In particolare, l’EDPB ha chiarito che la base giuridica del trattamento per l’addestramento di modelli AI deve essere identificata con precisione, che il principio di minimizzazione dei dati si applica anche alla fase di training, e che i diritti degli interessati — incluso il diritto alla cancellazione — devono essere garantiti non soltanto sul dataset originario ma sull’intero sistema di trattamento. Questo orientamento, pur non contenendo ancora prescrizioni tecniche specifiche sul machine unlearning, ne costituisce il fondamento giuridico implicito.

Il Garante per la protezione dei dati personali italiano, dal canto suo, ha dimostrato di applicare questi principi con rigore. Il provvedimento nei confronti di OpenAI per il servizio ChatGPT — adottato il 30 marzo 2023 e poi seguito da un’istruttoria approfondita — ha tra l’altro evidenziato la difficoltà di garantire i diritti degli interessati (incluso il diritto alla cancellazione) nell’ambito di un Large Language Model. Secondo quanto emerso nel corso del procedimento, OpenAI non era in grado di garantire la rettifica o la cancellazione delle informazioni personali eventualmente “assorbite” dal modello durante il training, il che aveva portato il Garante a contestare, tra l’altro, la violazione delle disposizioni del GDPR in materia di base giuridica del trattamento e di trasparenza verso gli interessati.

D. L’AI Act: obblighi di governance dei dati e interazione con il GDPR

Il Regolamento (UE) 2024/1689 sull’intelligenza artificiale introduce un livello ulteriore di regolamentazione che interagisce direttamente con le problematiche oggetto del presente articolo. L’AI Act non abroga né sostituisce il GDPR — il Considerando 10 del Regolamento chiarisce espressamente che le disposizioni del GDPR continuano ad applicarsi a qualsiasi trattamento di dati personali effettuato nel contesto dei sistemi AI — ma lo integra con obblighi specifici per i sistemi ad alto rischio e per i modelli di IA per uso generale (General Purpose AI models, GPAI).

Per i sistemi AI ad alto rischio, l’articolo 10 dell’AI Act impone specifici requisiti in materia di governance dei dati di addestramento, validazione e test. In particolare, i paragrafi 2 e 3 dell’articolo 10 prevedono che i fornitori di sistemi AI ad alto rischio debbano essere in grado di identificare e documentare i dataset utilizzati per l’addestramento, e che debbano adottare misure per garantire che i dati siano pertinenti, sufficientemente rappresentativi e, nella misura del possibile, esenti da errori e completi rispetto alle finalità perseguite. La possibilità di rimuovere specifici dati dal processo di apprendimento — o di neutralizzarne l’influenza sul modello — è una precondizione implicita di questi obblighi.

Per i modelli GPAI, gli articoli da 53 a 56 dell’AI Act prevedono obblighi di trasparenza, documentazione tecnica e rispetto delle norme applicabili in materia di diritto d’autore. I fornitori di modelli GPAI con rischio sistemico (articolo 51) sono soggetti a obblighi ancora più stringenti, inclusa la valutazione delle capacità del modello e la gestione dei rischi sistemici.

In questo quadro, il machine unlearning emerge non soltanto come uno strumento utile per dare attuazione al diritto alla cancellazione, ma come uno degli elementi della più ampia governance dei dati che l’AI Act richiede ai fornitori di sistemi AI.

E. La normativa nazionale: il Codice Privacy e i provvedimenti del Garante

A livello nazionale, il Decreto Legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), come modificato dal Decreto Legislativo 10 agosto 2018, n. 101, adegua l’ordinamento italiano alle disposizioni del GDPR. L’articolo 2-quinquiesdecies del Codice attribuisce al Garante il potere di prescrivere specifiche misure a tutela degli interessati quando il trattamento presenta rischi elevati, potere che può essere utilmente impiegato anche in materia di AI.

Il Garante ha già esercitato poteri analoghi nell’ambito del citato procedimento relativo a ChatGPT, imponendo a OpenAI misure specifiche — inclusa la predisposizione di uno strumento che consentisse agli interessati di opporsi all’uso dei propri dati per il training del modello — che si avvicinano concettualmente all’idea di machine unlearning, pur non prescrivendolo esplicitamente in termini tecnici. Tale importante precedente, purtroppo, ha trovato interruzione in sede giurisdizionale da parte del Tribunale di Roma che, sancendo l’incompetenza territoriale del Garante italiano, pur non entrando nel merito della questione, ha stabilito la giurisdizione del Garante Irlandese che non ha ancora preso in carico la questione specifica ereditata dall’Italia, prediligendo, piuttosto che azioni preventive di blocco, l’apertura di inchieste formali mirate, richiedendo modifiche strutturali agli algoritmi e collaborando con il Comitato Europeo per la Protezione dei Dati.

—

III. Analisi tecnica e giuridica del machine unlearning

A. Cosa si intende per machine unlearning

Il termine machine unlearning (talvolta tradotto in italiano come “disapprendimento automatico”) indica l’insieme delle tecniche informatiche finalizzate a rimuovere o ridurre significativamente l’influenza di uno specifico sottoinsieme di dati di addestramento su un modello già addestrato, senza dover procedere a un nuovo addestramento completo (retraining from scratch) — operazione che, per i modelli moderni di grandi dimensioni, richiederebbe risorse computazionali e temporali proibitive.

Il problema nasce da una caratteristica fondamentale dell’apprendimento automatico: quando un modello viene addestrato su un dataset, i parametri del modello vengono aggiornati iterativamente in modo da minimizzare una funzione di errore rispetto all’intero dataset. L’informazione contenuta in ciascun dato di addestramento viene, per così dire, “distribuita” su tutti i parametri del modello in forma non lineare e non separabile. Non esiste, nella struttura interna del modello, un “cassetto” in cui sono conservate le informazioni relative a uno specifico individuo: queste sono diffuse, mescolate, trasformate.

Di conseguenza, la semplice cancellazione del dato originario dal dataset non implica la sua rimozione dall’influenza esercitata sul modello. Il modello “ricorda” — in senso tecnico — le caratteristiche statistiche del dato attraverso i suoi pesi, anche dopo che il dato originale è stato eliminato.

B. Le principali tecniche di machine unlearning

La letteratura scientifica ha sviluppato diverse famiglie di approcci al machine unlearning, ciascuna con caratteristiche, vantaggi e limitazioni proprie. Pur senza pretesa di esaustività tecnica, è utile illustrarne le principali per comprendere le implicazioni giuridiche.

Il primo e più robusto approccio è il retraining esatto (exact unlearning): il modello viene semplicemente riaddestrato da zero escludendo i dati da rimuovere. Questo approccio garantisce la rimozione completa dell’influenza del dato, ma è computazionalmente insostenibile per i modelli moderni. Un Large Language Model come quelli alla base dei sistemi di IA generativa è costituito da miliardi di parametri e richiede settimane di calcolo distribuito su migliaia di GPU: rifare l’addestramento ogni volta che un interessato esercita il diritto alla cancellazione è, allo stato attuale, praticamente impossibile.

Il secondo approccio è il cosiddetto approximate unlearning o disapprendimento approssimato: invece di rimuovere completamente e matematicamente l’influenza del dato, si applicano tecniche che la riducono a un livello statisticamente trascurabile. Rientrano in questa categoria tecniche come l’influence function unlearning (che misura l’influenza di ciascun dato sul comportamento del modello e la compensa), il gradient ascent (che inverte l’aggiornamento dei parametri effettuato durante il training su quel dato), il fine-tuning selettivo e il knowledge distillation (che riaddestra un modello più piccolo escludendo i dati da dimenticare, e lo usa come riferimento per aggiornare il modello originale).

Una terza famiglia di tecniche è basata sulla partizione dei dati: il dataset di addestramento viene diviso in shards (frammenti), e vengono addestrati modelli separati su ciascun frammento. Quando un dato deve essere rimosso, è sufficiente riaddestrare solo il modello corrispondente al frammento che lo conteneva, aggregando poi i risultati. Questo approccio — noto come SISA (Sharded, Isolated, Sliced, and Aggregated training) — riduce significativamente il costo computazionale del retraining, ma modifica la struttura del processo di addestramento e può influire sulle prestazioni del modello complessivo.

Infine, esistono approcci basati su tecniche di privacy differenziale: addestrare il modello con garanzie di privacy differenziale limita ab initio la quantità di informazione che il modello può “memorizzare” su ciascun singolo dato, rendendo il problema del machine unlearning meno critico — ma al prezzo di una riduzione delle prestazioni del modello stesso.

C. Il problema della “memorizzazione” e della reidentificazione

Un aspetto particolarmente rilevante dal punto di vista giuridico è il fenomeno della memorizzazione (memorization): i modelli di machine learning, soprattutto quelli di grandi dimensioni, tendono in certi casi a “memorizzare” specifici esempi di training in modo quasi letterale, tanto da essere in grado di riprodurli (o di riprodurne porzioni significative) se opportunamente interrogati. Questo fenomeno è stato documentato empiricamente in numerosi studi su LLM e modelli generativi, e costituisce un rischio concreto di violazione del GDPR: il modello diventa, in questi casi, un vettore di diffusione di dati personali.

Dal punto di vista giuridico, un modello che memorizza e può riprodurre dati personali costituisce un archivio di quei dati ai fini del GDPR, anche se i dati originali sono stati cancellati dal dataset. L’articolo 4, numero 6, del GDPR definisce l'”archivio” come “qualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico”. Un modello che memorizza dati potrebbe rientrare in questa definizione, con tutte le conseguenze che ne derivano in termini di applicabilità del GDPR.

La questione è resa ancora più complessa dai fenomeni di membership inference attack e data extraction attack: tecniche di attacco informatico che consentono, rispettivamente, di determinare se un dato specifico era presente nel dataset di addestramento di un modello, e di estrarre dal modello dati di addestramento specifici. L’esistenza di queste tecniche di attacco dimostra che la separazione tra “modello” e “dato originale” non è così netta come si potrebbe pensare, e che il rischio di esposizione di dati personali tramite il modello è reale e documentato.

—

IV. Profili critici: tra obblighi giuridici e limiti tecnici

A. La “completezza” della cancellazione: standard giuridico versus fattibilità tecnica

Il nodo centrale della questione è la definizione dello standard giuridico che deve soddisfare la cancellazione dei dati in un contesto di AI. L’articolo 17 del GDPR parla di cancellazione dei dati personali, ma non specifica cosa debba intendersi per “cancellazione” in relazione a un modello di machine learning. Questa lacuna normativa è, in un certo senso, inevitabile: il GDPR è stato adottato nel 2016, quando i modelli di linguaggio di grandi dimensioni erano ancora un fenomeno marginale, e il legislatore europeo non poteva anticiparne le implicazioni.

Alla data di redazione del presente contributo l’EDPB non ha adottato linee guida specifiche sul machine unlearning, ma l’orientamento generale delle autorità di controllo — incluso il Garante italiano — sembra muoversi nella direzione di richiedere non una rimozione matematicamente perfetta, ma una riduzione dell’influenza del dato a un livello statisticamente non distinguibile dalla sua assenza. Questo approccio pragmatico è giustificato dalla considerazione che anche i sistemi “tradizionali” di cancellazione dei dati raramente garantiscono una rimozione assoluta (si pensi alla possibilità di recuperare dati da supporti di archiviazione mediante tecniche forensi), e che il diritto europeo ha sempre adottato un approccio di proporzionalità.

Tuttavia, questo orientamento pragmatico pone a sua volta una serie di questioni. Chi certifica che il livello di “dimenticanza” raggiunto è sufficiente? Con quale metodo viene misurata l’influenza residua del dato sul modello? Come si documenta l’operazione di unlearning in modo che possa essere verificata dall’autorità di controllo? Queste domande restano, allo stato attuale, senza risposta definitiva.

B. Il problema della proporzionalità e del conflitto tra diritti

Il diritto alla cancellazione non è assoluto: l’articolo 17, paragrafo 3, del GDPR prevede eccezioni quando il trattamento è necessario, tra l’altro, per l’adempimento di un obbligo legale, per l’esecuzione di un compito di interesse pubblico, o per la difesa di un diritto in sede giudiziaria. Anche al di fuori delle eccezioni espressamente previste, la Corte di Giustizia dell’Unione Europea ha ripetutamente affermato — a partire dalla storica sentenza Google Spain del 13 maggio 2014 (causa C-131/12) — che il diritto alla cancellazione deve essere bilanciato con altri diritti e interessi legittimi, inclusa la libertà di informazione e il diritto alla conoscenza.

Nel contesto dei sistemi AI, questo bilanciamento è particolarmente delicato. Un modello linguistico addestrato su dati storici, ad esempio, potrebbe aver appreso informazioni accurate su eventi di dominio pubblico che coinvolgono persone fisiche identificabili. Cancellare l’influenza di quei dati potrebbe ridurre la qualità e l’accuratezza del modello. C’è un interesse legittimo del fornitore del modello — e della società nel suo complesso — alla conservazione di un sistema di alta qualità che si scontra con il diritto dell’interessato alla cancellazione?

Su quest’ultimo terreno si sviluppa il principale nodo del tema di indagine del presente contributo, e non ha ancora trovato una soluzione normativa soddisfacente. L’AI Act, pur introducendo obblighi stringenti per i sistemi ad alto rischio, non risolve esplicitamente il conflitto tra il diritto alla cancellazione e l’integrità del modello AI. È probabile che la questione dovrà essere affrontata caso per caso dalle autorità di controllo e, in ultima istanza, dalla Corte di Giustizia.

C. La questione della “anonimizzazione” dei modelli AI

Un approccio alternativo al machine unlearning che viene talvolta proposto dai fornitori di sistemi AI è quello dell’anonimizzazione: invece di rimuovere l’influenza del dato specifico, si sostiene che il modello, nel suo complesso, non contenga dati personali, poiché ha trasformato l’informazione originaria in rappresentazioni statistiche non riconducibili a individui specifici.

Questo argomento è, nella maggior parte dei casi, giuridicamente debole. Il Considerando 26 del GDPR stabilisce che per determinare se una persona è identificabile occorre tenere conto di tutti i mezzi che il titolare del trattamento o chiunque altro ragionevolmente potrebbe utilizzare — incluse le tecniche di attacco sopra menzionate (membership inference, data extraction). Se esistono tecniche che consentono di estrarre informazioni personali da un modello, la semplice affermazione che il modello è “anonimizzato” non regge alla verifica del test di identificabilità.

Il Gruppo di lavoro Articolo 29 ha chiarito, nel Parere 05/2014 sulle tecniche di anonimizzazione, che l’anonimizzazione è un processo irreversibile che deve resistere a qualsiasi ragionevole tentativo di reidentificazione. Applicato ai modelli AI, questo standard è estremamente difficile da soddisfare in modo verificabile, e certamente non è soddisfatto dai soli modelli addestrati senza specifiche misure di privacy differenziale.

D. La responsabilità nella catena del trattamento: titolare, responsabile e sub-responsabile

Un ulteriore profilo critico riguarda la distribuzione delle responsabilità nella filiera del trattamento. I sistemi AI vengono sempre più spesso sviluppati da soggetti terzi e poi utilizzati da aziende di varie dimensioni che li integrano nei propri processi. In questo schema, il fornitore del modello (ad esempio, un’azienda che offre un LLM tramite API) è tipicamente il responsabile del trattamento ai sensi dell’articolo 28 del GDPR rispetto all’azienda cliente che è il titolare del trattamento.

Se il titolare del trattamento riceve una richiesta di cancellazione da un interessato i cui dati sono stati utilizzati per addestrare il modello base, è in grado di soddisfarla? Dipende interamente dalla capacità tecnica del responsabile del trattamento — il fornitore del modello — di implementare tecniche di machine unlearning. L’articolo 28, paragrafo 3, lettera g), del GDPR impone al responsabile del trattamento di “cancellare o restituire al titolare del trattamento tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento”. Questa disposizione, interpretata alla luce dell’articolo 17, implica che il contratto tra titolare e responsabile del trattamento debba includere clausole specifiche sulla gestione delle richieste di cancellazione anche con riferimento ai modelli AI addestrati su dati personali.

—

V. Implicazioni operative per DPO e imprese

A. La Data Protection Impact Assessment (DPIA) come strumento anticipatorio

Il primo strumento operativo che il DPO e il titolare del trattamento devono attivare quando intendono sviluppare o adottare un sistema AI addestrato su dati personali è la Valutazione d’Impatto sulla Protezione dei Dati (DPIA), prescritta dall’articolo 35 del GDPR. La DPIA è obbligatoria quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche — il che è tipicamente il caso dei sistemi AI — e deve includere una valutazione dei rischi specifici derivanti dal trattamento, nonché delle misure previste per affrontarli.

Nel contesto del machine unlearning, la DPIA deve affrontare esplicitamente le seguenti questioni: la fattibilità tecnica della cancellazione dei dati dal modello già addestrato; le procedure predisposte per gestire le richieste di cancellazione degli interessati; le misure tecniche adottate per ridurre il rischio di memorizzazione e di estrazione di dati personali dal modello; il bilanciamento tra il diritto alla cancellazione e gli altri interessi in gioco.

Il Garante per la protezione dei dati personali ha pubblicato un elenco delle tipologie di trattamenti soggetti all’obbligo di DPIA, tra cui rientrano “trattamenti che comportano l’utilizzo di tecnologie innovative” che “possono presentare rischi elevati” per i diritti degli interessati. I sistemi AI addestrati su dati personali rientrano tipicamente in questa categoria, e la DPIA deve essere completata prima dell’avvio del trattamento.

B. La predisposizione di procedure di gestione delle richieste di cancellazione

Un secondo profilo operativo riguarda la predisposizione di procedure formali per la gestione delle richieste di esercizio dei diritti, con specifico riferimento alla cancellazione nel contesto AI. Il DPO deve assicurarsi che l’organizzazione disponga di procedure che coprano non solo la cancellazione dei dati dal dataset originario, ma anche l’attivazione delle tecniche di machine unlearning appropriate.

Queste procedure dovrebbero includere: l’identificazione dei soggetti responsabili dell’esecuzione delle operazioni di unlearning; la documentazione tecnica del processo (quale tecnica viene utilizzata, con quale frequenza viene eseguita, come viene verificata l’efficacia); la comunicazione all’interessato dell’avvenuta cancellazione entro il termine di un mese previsto dall’articolo 12, paragrafo 3, del GDPR (prorogabile di ulteriori due mesi in casi di complessità); e la tenuta di un registro delle operazioni di unlearning effettuate.

Quest’ultimo punto è particolarmente rilevante. Il principio di accountability sancito dall’articolo 5, paragrafo 2, del GDPR impone al titolare del trattamento di essere in grado di dimostrare il rispetto dei principi del Regolamento. In assenza di documentazione specifica sulle operazioni di machine unlearning effettuate, il titolare non sarà in grado di soddisfare questo onere probatorio in caso di ispezione dell’autorità di controllo o di contenzioso con l’interessato.

C. La contrattualizzazione con i fornitori di sistemi AI

Come già accennato nel paragrafo precedente, un nodo critico riguarda i rapporti contrattuali con i fornitori di sistemi AI. Il DPO deve assicurarsi che il Data Processing Agreement (DPA) concluso ai sensi dell’articolo 28 del GDPR con il fornitore del sistema AI contenga clausole specifiche che disciplinino:

In primo luogo, l’obbligo del fornitore di implementare tecniche di machine unlearning quando riceva dal titolare una richiesta di cancellazione relativa a dati utilizzati per l’addestramento del modello. In secondo luogo, i tempi entro cui il fornitore deve eseguire l’operazione di unlearning, compatibili con i termini previsti dall’articolo 12 del GDPR. In terzo luogo, la documentazione che il fornitore deve fornire al titolare a prova dell’avvenuta cancellazione. In quarto luogo, le misure tecniche adottate dal fornitore per prevenire la memorizzazione di dati personali nel modello ab initio (ad esempio, l’adozione di tecniche di privacy differenziale durante il training). In quinto luogo, il diritto del titolare — o di un revisore da esso incaricato — di verificare l’efficacia delle misure adottate.

Nella pratica, molti fornitori di sistemi AI di grandi dimensioni non sono attualmente in grado di offrire garanzie contrattuali specifiche sul machine unlearning, il che pone il titolare del trattamento in una posizione di difficoltà. In questi casi, il DPO dovrebbe valutare se è possibile limitare ab initio la quantità di dati personali utilizzati per l’addestramento del modello — applicando il principio di minimizzazione dei dati — o se è preferibile non utilizzare quel sistema per trattamenti che coinvolgono dati personali.

D. L’AI Act e i nuovi obblighi per i fornitori: opportunità di compliance integrata

L’AI Act offre, paradossalmente, un’opportunità di compliance integrata che i DPO dovrebbero saper cogliere. I fornitori di sistemi AI ad alto rischio sono tenuti, ai sensi dell’articolo 9 dell’AI Act, a implementare un sistema di gestione dei rischi che comprenda procedure di monitoraggio e aggiornamento continuo. I fornitori di modelli GPAI con rischio sistemico devono, ai sensi dell’articolo 55, valutare e attenuare i rischi sistemici del modello e garantire un livello adeguato di protezione della cibersicurezza.

Queste disposizioni dell’AI Act si sovrappongono agli obblighi già derivanti dal GDPR e creano uno spazio in cui il DPO e il responsabile della compliance AI possono lavorare congiuntamente per sviluppare soluzioni integrate. La documentazione tecnica richiesta dall’AI Act — che include la descrizione del dataset di addestramento, delle procedure di governance dei dati e delle misure di sicurezza — può essere opportunamente arricchita con le informazioni relative alle tecniche di machine unlearning adottate, creando un corpus documentale che soddisfa simultaneamente i requisiti di entrambi i Regolamenti.

E. Aspetti legati alla sicurezza informatica e alla NIS2

Un profilo operativo che merita menzione, pur nella sua specificità, riguarda il rapporto tra machine unlearning e cybersecurity. La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, impone ai soggetti essenziali e importanti l’adozione di misure di gestione dei rischi di sicurezza informatica che includano la gestione degli incidenti, la sicurezza della catena di approvvigionamento e la sicurezza nello sviluppo e nella manutenzione dei sistemi informativi.

I sistemi AI che “memorizzano” dati personali sono potenzialmente vulnerabili agli attacchi di data extraction sopra descritti, che costituiscono una tipologia di violazione dei dati personali ai sensi dell’articolo 33 del GDPR e, a seconda della gravità, un incidente di sicurezza rilevante ai sensi della NIS2. Il DPO deve coordinarsi con il CISO e con il team di sicurezza informatica per assicurarsi che le misure di sicurezza dei sistemi AI includano specifiche contromisure contro gli attacchi di membership inference e data extraction, e che le procedure di machine unlearning siano integrate nel piano di risposta agli incidenti.

F. La formazione e la sensibilizzazione del personale

Un ultimo aspetto operativo, spesso trascurato, riguarda la formazione del personale. L’articolo 29 del GDPR impone che le persone autorizzate al trattamento dei dati personali lo effettuino solo su istruzione del titolare, il che presuppone una conoscenza adeguata delle modalità con cui i sistemi AI trattano i dati personali. I team di data science e di machine learning che sviluppano o gestiscono sistemi AI addestrati su dati personali devono essere formati non solo sugli aspetti tecnici del machine unlearning, ma anche sulle implicazioni giuridiche del loro operato, in modo da potere integrare considerazioni di privacy by design nelle scelte tecniche fin dalla fase di progettazione.

Il DPO dovrebbe promuovere l’adozione di un programma di formazione specifico per questi team, che copra almeno i seguenti temi: i principi del GDPR applicabili ai sistemi AI; le tecniche di machine unlearning disponibili e le loro limitazioni; le procedure aziendali per la gestione delle richieste di cancellazione; i rischi di sicurezza specifici dei sistemi AI e le relative contromisure.

—

VI. Conclusioni

Il machine unlearning si trova oggi in una posizione peculiare: è un obbligo giuridico implicito — derivante dall’articolo 17 del GDPR e dal principio di privacy by design dell’articolo 25 — ma la sua attuazione pratica è ancora un problema tecnico aperto, per il quale non esistono soluzioni universalmente efficaci e computazionalmente sostenibili per i modelli di maggiori dimensioni.

Questa tensione tra diritto e tecnica non è nuova nella storia della protezione dei dati, ma nel contesto dell’intelligenza artificiale assume una peculiare acutezza per almeno tre ragioni. In primo luogo, per la scala: i sistemi AI vengono addestrati su volumi di dati senza precedenti, che coinvolgono potenzialmente miliardi di persone. In secondo luogo, per l’opacità: la struttura interna dei modelli è difficilmente interpretabile anche per gli esperti, rendendo ardua la verifica dell’efficacia delle operazioni di unlearning. Infine, per la velocità di evoluzione: le tecnologie AI evolvono più rapidamente dei tempi di adeguamento normativo e giurisprudenziale.

Le prospettive evolutive si articolano su più fronti. Sul piano normativo, è probabile che l’EDPB adotti nel prossimo futuro linee guida specifiche sul machine unlearning, che definiscano lo standard minimo di cancellazione richiesto in diversi contesti e per diversi tipi di modelli. Il comitato europeo per l’intelligenza artificiale, insieme all’Ufficio europeo per l’intelligenza artificiale istituito presso la Commissione, potrebbe contribuire a definire standard tecnici condivisi per la misurazione dell’efficacia delle operazioni di unlearning. Sul piano tecnico, la ricerca sul machine unlearning è in rapida evoluzione: nuove tecniche più efficienti e verificabili vengono proposte continuamente, e nel giro di pochi anni è plausibile che esistano soluzioni commercialmente praticabili anche per i modelli di maggiori dimensioni.

Sul piano giurisprudenziale, i prossimi anni vedranno probabilmente le prime decisioni significative delle autorità di controllo e dei tribunali nazionali ed europei sul diritto alla cancellazione in relazione ai sistemi AI. Il caso ChatGPT aperto dal Garante italiano, che per la prima volta ha messo sotto esame un LLM di scala globale rispetto agli obblighi del GDPR, potrebbe diventare un caso paradigmatico: l’annullamento da parte del Tribunale di Roma della sanzione originariamente inflitta dal Garante a OPEN AI per difetto di competenza e la rimessione della vicenda al Garante Irlandese apre uno scenario ancora incerto che dovrà vedere, prima o poi, un pronunciamento sul merito di una questione delicatissima.

Le questioni che restano aperte sono numerose e di non facile risoluzione. Come si determina il confine tra “dati personali incorporati nel modello” e “conoscenza anonimizzata”? Qual è lo standard di prova sufficiente per dimostrare l’efficacia di un’operazione di unlearning? Come si bilancia il diritto alla cancellazione con la libertà di ricerca scientifica e con l’interesse pubblico alla disponibilità di sistemi AI di alta qualità? Chi certifica la conformità delle operazioni di unlearning, e con quale metodo?

Per il DPO e il giurista d’impresa, la risposta pratica a queste incertezze non può che essere la prudenza proattiva: progettare i sistemi AI con la cancellazione in mente fin dall’inizio, minimizzare l’uso di dati personali nell’addestramento, contrattualizzare con precisione i rapporti con i fornitori, documentare ogni operazione con il massimo rigore, e monitorare l’evoluzione normativa e giurisprudenziale con attenzione costante.

Il diritto all’oblio ha attraversato la storia della protezione dei dati personali come un principio progressivamente affermato contro le resistenze della tecnologia: dalla difficoltà di cancellare dati dagli archivi cartacei alle complessità dei sistemi informativi distribuiti, fino al caso Google Spain. Il machine unlearning ne rappresenta l’applicazione più recente.

—