Responsabilità Digitale per le aziende: un obiettivo raggiungibile?

Ne ho parlato al Digital Ethics Forum conclusosi da poco. Ecco il mio intervento.

EDIT: il video dell’intervento:

La sostenibilità e la digitalizzazione sono due tendenze globali, due temi che hanno caratterizzato il dibattito sociale negli ultimi anni, e due trend che hanno coinvolto molto anche le aziende, in modo più o meno virtuoso.

Da un lato la CSR o responsabilità sociale aziendale è diventata sempre più importante per le aziende: un numero crescente di clienti valuta le proprie scelte con criteri di etica, come il rispetto per l’ambiente o delle minoranze, preferendo i brand che hanno mostrato un impegno concreto in questo senso.

Parallelamente, il trend della trasformazione digitale ha portato le aziende a dotarsi di strumenti informatici sempre più sofisticati, in alcuni casi a svilupparne di propri, e contestualmente a fare un sempre maggiore ricorso alla raccolta di dati (il nuovo “petrolio” sia in termini di “ricchezza” che di “impatto e conseguenze”) ed alla loro elaborazione con sistemi di machine learning ed intelligenza artificiale (le “macchine” che funzionano grazie a questi dati)

Dalla convergenza di questi due trend, nasce la necessità di un approccio responsabile ed etico al digitale, che va sotto al nome di Corporate Digital Responsibility (CDR).

La nostra esperienza è quella di una società che si occupa di sviluppare prodotti e servizi digitali. I clienti che si rivolgono a noi spesso sono titolari di grandi quantità di dati, che vengono trattati e a volte raccolti attraverso i servizi e i prodotti che realizziamo.

Per questo ci è spesso capitato di affrontare in prima persona i temi legati all’uso responsabile di questi strumenti digitali, ed in particolare dei temi tecnici della CDR.

Fortunatamente in Europa abbiamo un’ottima legislazione sulla protezione dei dati. Il GDPR quando è entrato in vigore in Italia nel 2018 ha rappresentato una rivoluzione per il settore IT. In Synesthesia, come in molte altre aziende come la nostra, abbiamo vissuto con preoccupazione tutti interventi necessari ad accogliere gli adempimenti della nuova normativa, che in alcuni casi apparivano onerosi, richiedendo una maggiore attenzione tecnica e burocratica. Oggi vista in prospettiva, la scelta della UE è stata sicuramente giusta e doverosa, e va nella direzione di una difesa dei diritti e della democrazia stessa.

I rischi di un uso incauto o malevolo di grandi quantità di dati sono oggi sotto gli occhi di tutti. Pensiamo allo scandalo di Cambridge Analitica e alle ingerenze nella democrazia, portati avanti anche grazie alla raccolta di ingenti quantità di dati usati per manipolare gli individui grazie anche all’uso delle fake news, o gli attacchi alla cyber security che hanno esposto dati sensibili di milioni di persone o rivelato segreti industriali.

Sfortunatamente ci sono ancora molte difficoltà, soprattutto in termini di consapevolezza dei rischi e di necessità di una presa di coscienza ed un cambio di mentalità. Oggi a due anni di distanza dal GDPR ancora molte aziende non sono compliant con le normative (si parla di oltre il 50% delle PMI) e gli stessi utenti non prestano attenzione al loro comportamento online.

Di recente poi, la sentenza della Corte di Giustizia Europea, chiamata “Schrems II” dal nome dell’attivista austriaco che ha presentato la denuncia, ha creato (nuovamente) un vuoto normativo, invalidando il Privacy Shield, l’accordo che proteggeva i dati dei cittadini Europei quando questi venivano ospitati su server statunitensi.

Mentre infatti le normative Europee sono molto tutelanti, non si può dire lo stesso di altri stati, come appunto gli USA, soprattutto quando si tratta di dati di cittadini stranieri, nei confronti dei quali verrebbero a cadere le più basilari tutele.

Le implicazioni di questo sono enormi, se si pensa che la grande maggioranza dei servizi cloud che usiamo direttamente o indirettamente ogni giorno, risiedono proprio negli USA e sono gestite da aziende come Google, Amazon, Microsoft.

Ad oggi non esiste una reale soluzione, se non l’informazione trasparente (verso i cittadini ed i titolari dei dati). Confrontandomi con gli esperti del settore il consiglio è il ricorso ad alcuni accorgimenti:

• Prendere atto del problema e verificare dove effettivamente i nostri dati sono custoditi (molte aziende non lo sanno, e spesso non è nemmeno banale saperlo visti ad esempio i casi di subfornitura)
• Verificare che siano in atto le Standard Contractual Clauses (strumenti normativi come le che mitigano il problema senza risolverlo completamente)
• Attivare ove possibile soluzioni tecniche come pseudo/anonimizzazione e cifratura dei dati
• Aggiornare le informative

Il tutto nell’attesa di una nuova normativa, un accordo internazionale, che possa risolvere definitivamente il problema.

Tornando al tema più generale, nell’interesse di tutti è importante che l’utilizzo di questi dati sia etico e responsabile, dato che gli effetti di questo uso saranno sempre più importanti nella società futura.

Un tema importante è dato dal “bias”, il pregiudizio che può essere insito, consapevolmente o no, in un algoritmo di intelligenza artificiale che potrebbe discriminarvi nella selezione per un posto di lavoro o nel calcolo di un premio assicurativo (o nella decisione se assicurarvi o no) in base a parametri non trasparenti, magari legati all’etnia o al genere, o ad altri dati personali raccolti a vostra insaputa.

Il bias può anche agire in modo inaspettato, come con l’algoritmo di Youtube che tende a radicalizzare posizioni come i no-vax ed i complottismi.

Questi sistemi possono amplificare il divario sociale, e anche se non esistono ancora regolamentazioni in tal senso esistono però soluzioni tecnologiche e pratiche per mitigare questi problemi e la UE fornisce linee guida per uno sviluppo etico della IA (con particolare riferimento alla trasparenza/tracciabilità degli algoritmi e al tema dei bias cognitivi)

I temi tecnici e sociali, insieme a quelli economici ed ambientali devono dunque entrare a far parte di una politica di Responsabilità Digitale delle nostre aziende.

In conclusione, non si tratta certamente di una strada facile vista la rapidità con cui le tecnologie si evolvono e con esse le sfide da affrontare. Credo tuttavia che oggi come mail il compito dell’imprenditoria sia quello di restituire un mondo migliore di quello che si è trovato. Chi come noi vive dall’interno e promuove la trasformazione digitale della società si deve fare carico di questi temi etici, rispettando i princìpi ed informando dei rischi tutti gli attori coinvolti, dalle imprese ai cittadini, promuovendo politiche di trasparenza e di responsabilità.

un ringraziamento speciale a Maurizio Bulgarini di SmartFlow per i confronti e le chiacchierate sui temi Schrems II e relativi accorgimenti.