Arbitro bancario e intelligenza artificiale: le garanzie del regolamento della Banca d’Italia

Nell’esercizio della sua potestà regolamentare, Banca d’Italia ha recentemente adottato il Regolamento recante disposizioni sul trattamento dei dati personali effettuato dalla Banca d’Italia nell’ambito delle attività di supporto all’Arbitro Bancario Finanziario (ABF) (di seguito, per brevità, “Regolamento”), sul cui schema il Garante privacy aveva fornito il proprio parere a maggio di quest’anno.

Qualora un trattamento di dati personali sia effettuato per il perseguimento di motivi di interesse pubblico o nell’ambito dell’esercizio di pubblici poteri, l’art. 6, 3° comma del GDPR e, in particolare, gli artt. 2-ter e 2-sexies del Codice privacy prevedono la necessità di “disposizioni di legge o di regolamento o da atti amministrativi generali che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”. Il Regolamento, che qui verrà brevemente ripercorso nei tratti essenziali, sembra proprio assolvere a tale funzione.

Nel Regolamento sono in particolare disciplinate tre aree di trattamento di dati personali rispetto a cui Banca d’Italia si dichiara titolare:

1) la nomina, il rinnovo, la decadenza e la revoca dei componenti dell’Organo decidente (o “Collegio ABF”) deputato alla decisione delle controversie;

2) la gestione dei fascicoli dei ricorsi;

3) l’analisi della documentazione relativa ai ricorsi, effettuata anche tramite strumenti di ricerca avanzata, sistemi di intelligenza artificiale (“IA”) e tecnologie correlate.

Su quest’ultimo punto, è interessante notare sin d’ora che Banca d’Italia non si limita a descrivere questi strumenti, ma prende posizione sulla loro qualificazione ai sensi del Regolamento (UE) 2024/1689 (meglio noto come “AI Act”). Banca d’Italia esclude che si tratti di sistemi ad alto rischio poiché, secondo quanto afferma, non saranno “utilizzati nella risoluzione alternativa delle controversie per l’attività di ricerca o interpretazione dei fatti e del diritto e per l’applicazione della legge a una serie concreta di fatti”, bensì verranno impiegati esclusivamente a supporto dell’attività amministrativa delle segreterie tecniche. Vediamo più nel dettaglio per quali scopi sono utilizzati questi sistemi.

Banca d’Italia descrive essenzialmente tre funzioni.

La prima è una verifica preliminare di ricevibilità del ricorso: il sistema di IA estrae dalla documentazione elementi utili alla valutazione (come date, importi e intermediari coinvolti) e ricerca i ricorsi presentati negli ultimi dieci anni dallo stesso ricorrente contro lo stesso intermediario, allo scopo di accertare il rispetto del divieto di bis in idem.

La seconda è l’analisi e la raccolta, per cluster, delle decisioni anonimizzate dei Collegi ABF per individuare gli orientamenti dell’Arbitro sulle principali materie di contenzioso, individuando così le decisioni tipiche e quelle che più si discostano da esse, allo scopo di completare il quadro informativo a supporto della decisione.

Infine, la terza funzione consiste in analisi aggregate sulla distribuzione territoriale e temporale del contenzioso, destinate anche a orientare la vigilanza sugli intermediari e a supportare la redazione della relazione annuale sulle attività svolte dall’Arbitro.

A queste funzioni si aggiunge un ausilio alla verifica dell’anonimizzazione delle decisioni da pubblicare.

Banca d’Italia ribadisce, in più punti nel corso del Regolamento, che l’utilizzo dei sistemi di IA “non influenza materialmente il processo decisionale e non presenta un rischio significativo per i diritti e le libertà delle persone fisiche”. Sostiene che i medesimi sono “usati per l’individuazione degli orientamenti ricorrenti su determinate fattispecie oggetto di contenzioso e degli eventuali scostamenti dagli stessi, nonché per lo svolgimento di attività amministrative preliminari, ausiliarie e accessorie rispetto all’attività di gestione delle controversie”, senza che l’uso di tali sistemi possa comportare “pertanto, in alcun modo, una sostituzione nell’interpretazione dei fatti e della normativa o nell’applicazione della legge al caso concreto, rimesse alle valutazioni umane, terze e imparziali, dell’Organo decidente”.

Al fine di escludere i sistemi di IA descritti dal novero di quelli considerati ad alto rischio, Banca d’Italia invoca la deroga dell’art. 6, 3° comma e il considerando 61 dell’AI Act, sostenendo che tali sistemi siano solo deputati a “rilevare schemi decisionali o deviazioni da schemi precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana”.

Tuttavia, è evidente che indicare al decisore quale sia la soluzione tipica di un gruppo di casi e quale l’eccezione potrebbe orientare, per sua natura, la lettura e, dunque, la decisione del ricorso. È il rischio che lo stesso AI Act, a proposito della sorveglianza umana, definisce “distorsione dell’automazione”, vale a dire la tendenza a fare automaticamente affidamento o a fare eccessivo affidamento sull’output prodotto da un sistema di IA ad alto rischio.

Un altro punto del Regolamento che solleva qualche dubbio riguarda la dichiarata assenza di trattamento di dati personali nell’ambito dell’utilizzo dell’IA per scopi di analisi. Se l’affermazione può essere esatta per l’attività di clusterizzazione, che è svolta su decisioni già anonimizzate, non può ritenersi valida per la verifica di ricevibilità, per la ricerca dei ricorsi precedenti dello stesso ricorrente e per l’attività di supporto all’attività di anonimizzazione. D’altronde, il paragrafo sulle tipologie di dati include espressamente le categorie particolari tra quelli presenti nella documentazione analizzata con l’IA.

Infine, sebbene l’elenco delle misure di sicurezza adottate sia ben articolato, sembra che parte dei presidi a tutela dei dati personali siano affidati a regole d’uso, piuttosto che a garanzie tecniche incorporate nei sistemi. A titolo esemplificativo, in relazione alla possibilità di svolgere la ricerca full-text su ricorsi, allegati, controdeduzioni e relazioni tecniche dell’ultimo decennio, il Regolamento afferma che, sebbene tali documenti possano contenere dati particolari e giudiziari, gli stessi non vengono mai usati come termini di ricerca. Si tratta di una regola di comportamento, non di un limite tecnico. In altre parole, i dati restano indicizzati e interrogabili, con la conseguenza che il presidio è affidato alla formazione degli utenti, alla profilazione degli accessi e alla conservazione dei log.

A tal proposito, sembra utile accennare ad un altro recente documento della Banca d’Italia, il n. 93 della collana “Mercati, infrastrutture, sistemi di pagamento”, dedicato alle privacy-enhancing technologies nei sistemi di pagamento digitali. Il contesto è diverso, ma si possono mutuare i concetti fondamentali. Distinguendo tra una privacy affidata a un sistema di sole regole e fiducia e una privacy incorporata nella tecnologia, gli autori del paper osservano che la prima è più esposta ai fallimenti organizzativi e che le garanzie vanno considerate fin dalla progettazione, in coerenza con l’art. 25 del GDPR. Dunque, trasposto all’ABF, il criterio suggerirebbe, ad esempio, di escludere già in fase di indicizzazione le parti dei fascicoli che contengono categorie particolari di dati, o di sottoporre le interrogazioni a verifiche a campione, piuttosto che affidarsi al solo divieto d’uso.

Il Regolamento è forse uno dei primi, e apprezzabili, esempi di concreta attuazione degli artt. 2-ter e 2-sexies del Codice privacy. Banca d’Italia è poi andata oltre il contenuto minimo previsto da queste norme, cogliendo l’occasione per descrivere in dettaglio le funzioni dei sistemi di IA, motivandone la qualificazione ai sensi dell’AI Act. Ha così reso conoscibili agli interessati e agli operatori valutazioni che avrebbero potuto restare nella documentazione interna.

Il dato pratico, che deriva dalla lettura del Regolamento, è che i precedenti richiamati nella relazione tecnica predisposta dalle segreterie tecniche per il Collegio vengono selezionati anche con l’ausilio dell’IA. Il Regolamento prevede tecniche di spiegabilità dei risultati e la conservazione della documentazione sull’evoluzione dei modelli. Gli elementi per ricostruire perché una decisione sia considerata tipica, e con quali altre sia stata raggruppata, quindi sembrano esistere, ma sono concepiti come strumenti di supervisione interna. Resta da capire se, e in che misura, potranno essere resi conoscibili anche alle parti.

________

*Avv. Laura Greco - Studio Legale Finocchiaro