Nel giugno 2025, l'autorità francese di controllo della protezione dei dati CNIL ha pubblicato una guida sull'applicazione dell'articolo 6, paragrafo 1, lettera f). GDPR (interesse legittimo) come base legale per il Sviluppo di sistemi di intelligenza artificiale più precisamente. L'assistenza è rivolta alle aziende e alle organizzazioni che si trovano nella fase di sviluppo o di innovazione di sistemi IT, software o applicazioni AI.
Obiettivo della guida CNIL
La domanda centrale della guida della CNIL è: a quali condizioni si può Dati personali possono essere elaborati già durante la fase di sviluppo di un sistema di IA senza che sia necessario Consenso o richiede un'altra base giuridica specifica?
La CNIL sottolinea che lo sviluppo dei sistemi può basarsi anche su altre Base giuridica possono essere basati, in particolare
- il Consenso dell'interessato (art. 6 par. 1 lett. a) GDPR),
- Adempimento del contratto (art. 6, comma 1, lettera b)) GDPR).
Tuttavia, l'interesse legittimo è particolarmente rilevante se nessuna di queste alternative è praticabile.
Definizione: "Sviluppo di un sistema".
Questo comprende tutte le attività relative alla progettazione, allo sviluppo, al collaudo e al miglioramento dei sistemi che vengono successivamente Dati personali dovrebbe essere elaborato. Esempi:
- Sviluppo di sistemi di raccomandazione
- Sviluppo di algoritmi di rilevamento delle frodi
- Formazione di chatbot o modelli linguistici AI.
- Testare nuovi moduli CRM o ERP.
Importante: questo riguarda esclusivamente la fase di pre-produzione, cioè il periodo che precede il funzionamento in diretta.
Interesse legittimo ai sensi dell'art. 6 par. 1 lett. f GDPR
La CNIL conferma che il Elaborazione di dati personali per finalità di sviluppo può generalmente basarsi sul legittimo interesse del responsabile del trattamento. Tuttavia, ciò richiede un esame attento e strutturato sulla base dei requisiti dell'art. 6, comma 1, lettera f). GDPR orientato.
In primo luogo, il Persone responsabili dimostrare un interesse legittimo. Ciò può riguardare, ad esempio, il miglioramento dei servizi, l'aumento del tasso di Sicurezza informatica o lo sviluppo di nuove funzionalità a misura di cliente. Anche gli interessi economici o l'ottimizzazione dei processi interni possono essere riconosciuti come interessi legittimi.
Si deve poi verificare se il progetto Elaborazione è necessario. Ciò significa che non devono esistere altre alternative più rispettose della protezione dei dati che permettano di raggiungere lo stesso obiettivo di sviluppo. Si deve analizzare se l'uso di dati anonimi o sintetici sia sufficiente o se l'accesso ai dati di base non sia sufficiente. Dati personali è davvero necessario.
Nella terza fase, gli interessi legittimi del responsabile del trattamento vengono ponderati con i diritti e le libertà fondamentali degli interessati. In particolare, devono essere presi in considerazione i seguenti fattori:
- Tipo di dati trattati (ad esempio, se si tratta di dati sensibili)
- Ambito di applicazione Elaborazione
- Durata dello stoccaggio
- Trasparenza nei confronti delle persone interessate
- Implementazione di misure di protezione come Pseudonimizzazione, Cifratura o restrizioni di accesso
L'obiettivo di questo bilanciamento è garantire che gli interessi o i diritti fondamentali dell'interessato non prevalgano sugli interessi del responsabile del trattamento.
Categorie particolari di dati personali
La CNIL chiarisce che il Elaborazione di questi dati è consentito solo a condizioni molto severe. Queste categorie speciali comprendono, ad esempio Dati sulla salutedati biometrici per l'identificazione univoca, dati genetici, dati sull'origine razziale o etnica, sulle opinioni politiche, sulle convinzioni religiose o filosofiche, sull'appartenenza sindacale e sull'orientamento sessuale.
Per la fase di sviluppo di un sistema, ciò significa specificamente che un Elaborazione di tali dati non è generalmente consentito. A meno che non si verifichi una delle eccezioni elencate nell'art. 9, par. 2, del Codice Civile. GDPR eccezioni citate. Queste includono in particolare
- Il esplicito Consenso dell'interessato ai sensi dell'art. 9 par. 2 lett. a GDPR.
- Uno Elaborazioneche per motivi di interesse pubblico sostanziale è necessario (art. 9, comma 2, lettera g)). GDPR), a condizione che sia fondato su una base legale.
- Inoltre, eccezioni specificamente regolamentate come l'affermazione, l'esercizio o la difesa di diritti legali.
La CNIL sottolinea che, anche nel caso in cui si applichi un'eccezione, i principi generali di protezione dei dati ai sensi dell'Art. Art. 5 GDPR devono essere osservati, in particolare:
- Minimizzazione dei dati
- Stanziamento di fondi
- Limitazione della memoria
- Integrità e Riservatezza
Inoltre, la CNIL raccomanda che l'uso di tali dati sia impedito già nella fase di sviluppo attraverso misure tecniche di protezione quali Pseudonimizzazione, Cifratura o l'uso di dati di prova sintetici da garantire. Nei casi in cui il Elaborazione di categorie particolari di dati personali non può essere evitato, una Valutazione dell'impatto sulla protezione dei dati (DSFA) devono essere controllati e documentati.
Interesse legittimo e valutazione d'impatto sulla protezione dei dati (DPIA)
La CNIL sottolinea l'importanza di una Valutazione dell'impatto sulla protezione dei dati (DSFA) come strumento importante per la valutazione e la minimizzazione del rischio quando i progetti di sviluppo comportano un rischio elevato per i diritti e le libertà degli interessati. La base giuridica è Art. 35 GDPRche prevede l'obbligo di effettuare una DPIA nel caso di trattamenti rischiosi.
Tipico Indicatori per l'obbligo di DPIA sono tra gli altri:
- Ampio Elaborazione dati personalisoprattutto quando si tratta di grandi quantità di dati o di un gran numero di persone interessate.
- Il Utilizzo di tecnologie nuove o innovativead esempio nello sviluppo di sistemi di intelligenza artificiale, applicazioni di apprendimento automatico o di Grandi dati Soluzioni.
- Il Elaborazione di dati ad alto rischiocategorie di dati personali sensibili o speciali (art. 9 GDPR). GDPR) sono interessati.
- Processo decisionale automatizzato o Profilazioneche hanno un impatto significativo su colpiti le persone possono avere.
In conformità con i requisiti del GDPR i seguenti passaggi:
- Descrizione sistematica delle attività di trattamento previstele finalità e le categorie di dati interessati.
- Valutazione della necessità e della proporzionalità il Elaborazione in relazione allo scopo perseguito.
- Identificazione e valutazione dei rischi per i diritti e le libertà degli interessati.
- Determinazione e Documentazione delle misure correttiveL'obiettivo è ridurre o eliminare i rischi identificati (ad es. Misure tecniche e organizzative, Pseudonimizzazione, controlli di accesso).
La CNIL raccomanda che il DSFA all'inizio della fase di sviluppo al fine di riconoscere i rischi nella fase di progettazione del sistema e implementare contromisure adeguate. Inoltre, la DPIA deve aggiornato regolarmente in particolare in caso di modifiche significative al sistema o alle finalità del trattamento.
Suggerimento di lettura: Quando deve essere effettuata una valutazione d'impatto sulla protezione dei dati?
Misure specifiche di protezione dei dati ("garanzie")
La CNIL attribuisce una particolare importanza all'attuazione di precauzioni per la protezione dei dati (garanzie) già nella fase di sviluppo di un sistema. L'obiettivo di queste misure è ridurre al minimo il rischio per i diritti e le libertà degli interessati, anche se il trattamento dei dati non è ancora in funzione.
Le garanzie raccomandate dalla CNIL comprendono in particolare
- PseudonimizzazioneDove è tecnicamente possibile e praticabile, la Dati personali sono trattati in modo pseudonimo. Ciò significa che l'identità dell'interessato non è immediatamente riconoscibile senza ulteriori informazioni. La separazione tra dati identificativi e dati di contenuto, nonché la sicurezza del Immagazzinamento delle liste di assegnazione sono essenziali in questo caso.
- Minimizzazione dei datiDevono essere trattati solo i dati assolutamente necessari per il rispettivo scopo di sviluppo. La CNIL raccomanda espressamente di esaminare criticamente se i campi di dati utilizzati sono realmente necessari o se è possibile ridurli al minimo.
- Restrizioni di accesso e gestione dei ruoliL'accesso ai dati personali deve essere strettamente limitato a quei dipendenti o sviluppatori che sono direttamente coinvolti nel progetto di sviluppo e per i quali la conoscenza dei dati è essenziale. Devono essere utilizzati sistemi tecnici di controllo degli accessi (ad esempio, controllo degli accessi basato sui ruoli) e misure organizzative come gli obblighi di riservatezza.
- Utilizzo di dati di prova sintetici o anonimizzatiSe possibile, per i test e lo sviluppo si dovrebbero utilizzare dati completamente anonimizzati o generati sinteticamente, per evitare l'uso di dati reali. Dati personali da evitare. Dati sintetici offrono il vantaggio di riprodurre strutture di dati realistiche senza dover ricorrere a informazioni personali reali.
- Cifratura e altre misure tecniche di protezioneOltre ai punti sopra citati, la CNIL richiede anche l'utilizzo di misure tecniche di protezione quali Cifratura durante lo stoccaggio e la trasmissione, Registrazione degli accessie il Controlli di sicurezza regolari dell'ambiente di sviluppo.
Persone responsabili dovrebbe avere anche un dettagliato Documentazione tutte le misure di protezione adottate al fine di poter dimostrare, in caso di verifica da parte delle autorità di vigilanza, che i requisiti del GDPR erano già stati presi in considerazione durante la fase di sviluppo.
Trasparenza e obblighi di informazione
La CNIL sottolinea che anche durante la fase di sviluppo di un sistema, la Trasparenza e Obbligo di informazione in conformità agli artt. 13 e 14 GDPR applicare integralmente. Ciò significa che colpiti le persone devono essere informate del fatto che i loro dati personali sono trattati a fini di sviluppo, anche se lo sviluppo non è ancora stato trasferito al funzionamento produttivo.
Le persone interessate devono essere informate in particolare dei seguenti punti:
- Scopo del ElaborazioneSi deve dichiarare espressamente che il Elaborazione dati per lo sviluppo, il collaudo o il miglioramento di un sistema.
- Base giuridica del ElaborazioneIn questo caso, l'interesse legittimo ai sensi dell'art. 6, par. 1, lett. f), del Codice Civile, è stato violato. GDPR compresa una breve descrizione del rispettivo interesse.
- Destinatari o categorie di destinatariSe i fornitori di servizi esterni o altri organismi hanno accesso ai dati, devono essere nominati.
- Durata della conservazione o criteri per la determinazione della durataÈ necessario specificare la durata della conservazione dei dati nella fase di sviluppo o i criteri utilizzati per determinare il periodo di conservazione.
- Diritti degli interessatiGli interessati sono informati dei loro diritti, come ad esempio l'informazione, Correzione, CancellazioneLimitazione del Elaborazione, Contraddizione e Reclamo con un Autorità di vigilanzaper informarvi.
- Origine dei datiSe i dati personali non sono stati raccolti direttamente dall'interessato, deve essere resa nota anche la fonte dei dati.
Inoltre, la CNIL raccomanda che le informazioni in un linguaggio chiaro e semplice e, se possibile negli stessi canaliGli interessati comunicano con l'azienda anche in altri modi (ad esempio, linee guida sulla protezione dei dati sul sito web, lettere di notifica separate o avvisi nei portali dei clienti).
L'adempimento di questo Obbligo di informazione dovrebbe anche documentato per iscritto per poter fornire alle autorità di vigilanza la prova della corretta attuazione.
Interesse legittimo: Esempi di scenari ammissibili e non ammissibili
Permesso:
Sviluppo di uno strumento di rilevamento delle frodi con dati reali pseudonimizzati provenienti da una base di clienti esistente.
Test di un algoritmo di raccomandazione con una quantità minima di dati e una chiara Controllo degli accessi ai dati.
Inammissibile:
Utilizzo di profili completi dei clienti senza Anonimizzazione o analisi del rischio.
Elaborazione categorie particolari di dati personali senza una base giuridica o un'eccezione corrispondente.
Rischi di responsabilità e sanzioni
Violazione dei requisiti di protezione dei dati stabiliti nelle linee guida può essere considerevole Conseguenze legali e finanziarie risultato. Il GDPR prevede la violazione di obblighi fondamentali, come ad esempio i principi di Elaborazione (Art. 5 GDPR), che Base giuridica (Art. 6 GDPR) o il Diritti degli interessati (Art. 12 e segg. GDPR), Ammende fino a 20 milioni di euro o fino a 4 % del fatturato annuo globale di una società a seconda dell'importo più elevato (art. 83, par. 5). GDPR).
In particolare, le violazioni nella fase di sviluppo possono comportare i seguenti rischi di responsabilità:
Multe inflitte dalle autorità di vigilanzaIn particolare in caso di assenza o inadeguatezza della ponderazione degli interessi, di mancata effettuazione di una Valutazione dell'impatto sulla protezione dei dati o misure di protezione tecniche e organizzative inadeguate.
Ordini delle autorità di vigilanzaCiò può includere il divieto di trattamento dei dati o l'ordine di interrompere il trattamento dei dati. Cancellazione di dati trattati illegalmente.
Richieste di risarcimento per danni dovuti a Parti interessateAi sensi dell'art. 82 GDPR avere colpiti persone hanno diritto a un risarcimento per i danni materiali o immateriali subiti.
Danno reputazionaleLe violazioni della protezione dei dati possono comportare una notevole perdita di fiducia da parte di clienti, partner e pubblico.
La CNIL raccomanda pertanto espressamente che, già nella fase di sviluppo Stabilire strutture interne di conformità e documentare in modo esauriente tutti i processi di protezione dei dati. Questi includono, tra gli altri:
Realizzazione e Documentazione il bilanciamento degli interessi
Realizzazione di un Valutazione dell'impatto sulla protezione dei datidove necessario
Documentazione le misure tecniche e organizzative implementate (TOM)
La prova del corretto adempimento della Obbligo di informazione
Adottando queste misure preventive, le aziende possono non solo evitare le sanzioni, ma anche ridurre al minimo i loro costi. Conformità alla protezione dei dati nel senso di responsabilità (Responsabilità eticaArt. 5 comma 2 GDPR) dimostrare.
Conclusione: protezione dei dati in fase di progettazione e di default durante lo sviluppo
Con il presente documento di orientamento, la CNIL fornisce alle aziende e agli sviluppatori un Guida allo sviluppo di sistemi conformi alla protezione dei dati alla mano. Il Interesse legittimo come base giuridica offre vantaggi pratici. Tuttavia, richiede anche un'attenta Valutazione del rischio, Trasparenzala realizzazione di DPIAdove necessario, e l'attuazione coerente di misure tecniche e organizzative (TOM).
Per le aziende, ciò significa Protezione dei dati per progettazione e per impostazione predefinita si applica già durante lo sviluppo e non solo nel funzionamento produttivo.
Fonte: "IA: Mobilitare la base giuridica dell'intérêt légitime per sviluppare un sistema di IA".
German 
English 
Italian 
French