Mio figlio non mi ha chiesto nulla dell’articolo 22 del GDPR. Ha poco più di un mese e, comprensibilmente, in questo periodo si occupa d’altro.
Ma un giorno potrebbe essere un algoritmo a decidere se concedergli un prestito, ammetterlo a un corso, selezionarlo per un lavoro, aumentargli il premio assicurativo o sospendergli un account dal quale dipende il suo reddito. Quando accadrà, spero che l’articolo 22 sia ancora lì.
E spero che sia diventato uno dei grandi principi della nostra tradizione giuridica.
La sanzione a Uber
Il 21 agosto Reuters ha dato notizia di una decisione dell’Autorità olandese per la protezione dei dati: una sanzione da 825 milioni di euro nei confronti di Uber per avere disattivato alcuni account di autisti attraverso sistemi automatizzati, senza informarli adeguatamente e senza garantire un effettivo controllo umano.
La decisione, datata 17 agosto, non è ancora stata pubblicata integralmente. Uber contesta la ricostruzione, considera la sanzione sproporzionata e ha già annunciato ricorso. È bene dirlo perché 825 milioni fanno un titolo magnifico, ma non trasformano automaticamente una decisione amministrativa in una verità definitiva.
Il punto interessante, però, non è neppure la cifra.
È la norma utilizzata.
Il diritto a non essere ridotti a un risultato
L’articolo 22 del GDPR riconosce alla persona il diritto a non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, quando quella decisione produce effetti giuridici o incide in modo altrettanto significativo sulla sua vita.
Detto meno giuridicamente: una macchina può calcolare, suggerire, ordinare informazioni e segnalare anomalie. Ma non dovrebbe poter pronunciare da sola l’ultima parola quando in gioco ci sono la vita, il lavoro o i diritti di una persona.
La norma prevede delle eccezioni. La decisione automatizzata può essere ammessa, per esempio, quando è necessaria per concludere o eseguire un contratto, quando è autorizzata dalla legge oppure quando si fonda sul consenso esplicito dell’interessato. Anche in questi casi, però, devono esistere garanzie adeguate: la possibilità di ottenere l’intervento di una persona, esprimere il proprio punto di vista e contestare la decisione.
Non è una norma contro la tecnologia. È una norma contro la resa del diritto alla tecnologia.
Ed è proprio questa la sua bellezza.
L’essere umano messo lì per finta
Il problema, naturalmente, si nasconde nelle parole “unicamente automatizzato”.
Basta inserire una persona alla fine del procedimento per sostenere che la decisione non sia più automatica? Basta che un dipendente prema un pulsante? Basta prevedere un modulo di reclamo che verrà letto quando il danno è già stato prodotto?
No. Altrimenti l’intervento umano diventa una scenografia.
Una verifica è realmente umana soltanto se chi la compie comprende gli elementi principali della decisione, può esaminare le circostanze concrete e dispone del potere effettivo di modificarne il risultato. Un essere umano incaricato soltanto di confermare ciò che la macchina ha già stabilito non è una garanzia. È un accessorio dell’algoritmo.
Il caso Uber rende il problema molto concreto. Secondo la decisione descritta da Reuters, alcuni sistemi avrebbero sospeso gli autisti sospettati di frode, per esempio dopo avere individuato deviazioni considerate ingiustificate. In alcuni casi sarebbero intervenute anche disattivazioni legate alle valutazioni degli utenti. Uber sostiene che le esclusioni permanenti non fossero automatizzate e che le proprie procedure prevedessero controlli e possibilità di ricorso.
Sarà il contenzioso a chiarire cosa sia realmente avvenuto. Ma la domanda giuridica rimane: quando una piattaforma ti toglie la possibilità di lavorare, chi ha deciso davvero?
La sentenza SCHUFA
La Corte di giustizia aveva già dato una risposta importante nel 2023, con la sentenza SCHUFA.
Il caso riguardava l’elaborazione automatica di un punteggio sulla capacità di una persona di rispettare i propri impegni economici. Formalmente il punteggio non decideva se concedere un finanziamento: veniva trasmesso a un’altra impresa, alla quale spettava la decisione finale.
La Corte ha guardato alla realtà, non alla costruzione formale. Se quel punteggio assume un ruolo determinante nella decisione del terzo, anche la sua elaborazione può rientrare nel processo decisionale automatizzato disciplinato dall’articolo 22.
È un passaggio essenziale. Il potere degli algoritmi non sparisce soltanto perché viene distribuito fra più soggetti o nascosto dietro un ultimo clic umano.
Dalle strade romane agli algoritmi
Ho sempre ritenuto l’articolo 22 una disposizione di portata storica.
Nel diritto romano le servitù prediali nacquero per risolvere problemi molto concreti: attraversare un fondo, condurre l’acqua, consentire a un terreno di essere realmente utilizzato. Quegli antichi iura praediorum sono passati attraverso i secoli, l’elaborazione giuridica medievale e le codificazioni moderne. Le servitù sono ancora nel nostro Codice civile.
Sono sopravvissute perché non regolavano soltanto una strada o un acquedotto. Avevano individuato una relazione destinata a ripresentarsi continuamente: il potere esercitato su un bene deve incontrare il diritto e l’utilità di un altro soggetto.
L’articolo 22 potrebbe fare qualcosa di simile nel mondo digitale.
Gli algoritmi cambieranno. Quelli utilizzati fra vent’anni faranno sembrare rudimentali i sistemi di oggi. Ma il conflitto resterà lo stesso: da una parte l’efficienza di chi automatizza; dall’altra una persona che rischia di essere trasformata in un punteggio, una probabilità o una riga scartata da un sistema.
Il diritto non deve impedire il calcolo. Deve impedire che il calcolo diventi sovrano.
Una norma da consegnare al futuro
Per anni il GDPR è stato raccontato attraverso i banner dei cookie, le informative interminabili e le caselle da spuntare. È probabilmente il modo peggiore per comprenderne l’importanza.
L’articolo 22 mostra l’altra faccia del regolamento. Non quella burocratica, ma quella costituzionale: esistono decisioni che incidono sulla persona e che, proprio per questo, non possono essere abbandonate interamente a una macchina.
Non sappiamo se la sanzione a Uber resterà di 825 milioni, se verrà ridotta o se sarà annullata. Non è quella la parte che dovrebbe entrare nella storia.
Dovrebbe entrarci il principio.
Quando mio figlio sarà abbastanza grande da incontrare il suo primo algoritmo — uno di quelli che non si limitano a consigliargli una canzone — vorrei che il diritto gli riconoscesse ancora la possibilità di trovare una persona dall’altra parte.
E che quella persona avesse davvero il potere di decidere.