Tradotto dall'originale inglese. Dati e fonti restano invariati. Leggi l'originale in inglese
Snap Inc.
Il chatbot My AI di Snap: il regolatore britannico chiude il caso senza misure di esecuzione dopo che Snap ha rifatto la valutazione dei rischi
Snap ha lanciato il suo chatbot My AI, basato sulla tecnologia di OpenAI, per gli abbonati a Snapchat+ il 27 febbraio 2023. L’autorità britannica per la protezione dei dati ha emesso un avviso di esecuzione provvisorio nell’ottobre 2023 sulla valutazione dei rischi per gli adolescenti e ha chiuso il caso senza misure di esecuzione nel maggio 2024, dopo che Snap aveva presentato una valutazione rivista che ha ritenuto conforme alla legge.
Dati chiave
Copiati esattamente dalle fonti. Copiate qualsiasi dato insieme alla sua citazione.
Nessun motivo per emettere una Enforcement Notice (ordine di esecuzione)
Esito dell’avviso di esecuzione provvisorio dell’ICO del 6 ottobre 20231
Quinta
Versione della valutazione d’impatto sulla protezione dei dati di Snap che l’ICO ha ritenuto conforme (22 novembre 2023)1
circa il 35,5%
Quota di utenti britannici giornalieri medi di My AI tra i 13 e i 17 anni, dal 1° marzo al 18 aprile 20231
circa il 13%
Quota di utenti britannici attivi mensili di My AI tra i 13 e i 17 anni nell’aprile 20231
Cosa è servito
Il problema
Snap ha aggiunto a Snapchat, un’app con molti utenti tra i 13 e i 17 anni, un chatbot di IA generativa, My AI. La legge britannica impone a un’azienda di valutare i rischi per i dati delle persone prima di avviare un nuovo tipo di trattamento. Questa valutazione si chiama valutazione d’impatto sulla protezione dei dati. L’Information Commissioner’s Office (ICO) britannico ha aperto un’indagine a giugno 2023, preoccupato che Snap non avesse valutato adeguatamente i rischi di My AI prima del lancio.
Cosa hanno costruito
My AI è un chatbot dentro Snapchat a cui gli utenti pongono domande con testo, immagini o note vocali. Secondo la decisione dell’ICO è basato sulla tecnologia GPT di OpenAI, che Snap usa tramite l’API per sviluppatori di OpenAI. Snap l’ha lanciato per gli abbonati a pagamento di Snapchat+ il 27 febbraio 2023 e per tutti gli utenti britannici il 19 aprile 2023. Il chatbot riceveva linee guida scritte da Snap, attributi dell’utente come una fascia d’età under 18 e la posizione a livello di città, e le richieste precedenti. Snap ha aggiunto un controllo delle risposte e, per le richieste su certi argomenti delicati, restituiva informazioni di aiuto verificate. Usava anche un modello interno per rilevare un’intenzione commerciale, così che una pubblicità contestuale potesse essere inserita in una risposta.
Come ci sono riusciti
Il fascicolo del regolatore mostra la sequenza. La prima valutazione d’impatto di Snap è datata 24 febbraio 2023. L’ICO ha incontrato Snap il 20 aprile 2023 e in seguito ha emesso due avvisi di informazione formali per ottenere ogni versione della valutazione. Il 6 ottobre 2023 ha emesso un avviso di esecuzione preliminare. Il suo parere provvisorio era che la valutazione non avesse soddisfatto i requisiti di legge e che Snap avrebbe dovuto consultare prima il regolatore, perché le sue prime quattro valutazioni sembravano classificare come elevato il rischio per i giovani tra i 13 e i 17 anni. La bozza di ordine avrebbe imposto a Snap di smettere di trattare i dati personali degli utenti britannici per My AI fino a quando non fosse stata fatta una valutazione rivista.
Snap ha risposto per iscritto e in un’udienza il 14 dicembre 2023. Il 22 novembre 2023 aveva consegnato all’ICO una quinta valutazione, rivista. Snap ha anche detto all’ICO che la conclusione di rischio elevato nelle bozze precedenti era stata registrata per errore, a supporto di una dichiarazione di testimone firmata.
Cosa è andato storto
Il parere provvisorio dell’ICO era che Snap avesse lanciato il servizio senza una valutazione dei rischi conforme, in particolare sui rischi per i giovani utenti, sulle categorie particolari di dati e su come le persone avrebbero compreso l’uso dei propri dati. L’ICO ha detto che Snap aveva investito molto tempo e impegno nella quinta valutazione e aveva affrontato le preoccupazioni dell’avviso.
Risultati
Il 21 maggio 2024 l’ICO ha deciso che la quinta valutazione soddisfaceva i requisiti di legge e che Snap non aveva violato l’obbligo di consultare il regolatore. Non ha quindi trovato motivi per emettere una Enforcement Notice. L’ICO ha descritto il caso come un avvertimento per il settore su IA generativa e protezione dei dati e ha detto che avrebbe continuato a monitorare My AI. Non ha inflitto alcuna sanzione.
Lezioni per il vostro progetto
Concludere la valutazione dei rischi prima del lancio e trattarla come il documento che leggerà un regolatore. La prima valutazione di Snap è datata 24 febbraio 2023, appena prima del lancio del 27 febbraio, e il parere provvisorio del regolatore era che le prime versioni fossero insufficienti.
Mantenere coerenti le classificazioni del rischio tra le bozze. Le versioni precedenti registravano un rischio residuo elevato per i giovani tra i 13 e i 17 anni, il che avrebbe richiesto di consultare il regolatore. L’ICO ha accettato che si trattasse di un errore, sulla base di una dichiarazione di testimone firmata.
Coinvolgere il regolatore prima del lancio. Snap ha chiesto un incontro a marzo 2023, ma il primo è avvenuto il 20 aprile 2023, quasi due mesi dopo il lancio per gli abbonati e un giorno dopo la diffusione più ampia.
Una valutazione riscritta può chiudere un caso. L’ICO ha riconosciuto descrizioni più dettagliate del trattamento, un esame specifico dei rischi per i giovani utenti e misure di mitigazione chiare.
Mettere in conto un esame attento degli utenti più giovani quando un chatbot generalista è inserito in un’app social. Il regolatore si è concentrato sui rischi per i minori di 18 anni, sulle categorie particolari di dati e sulla pubblicità.
Avvertenze
- Si tratta di un procedimento di un regolatore, non di un esito di esecuzione. L’avviso dell’ICO dell’ottobre 2023 era provvisorio, e la decisione del maggio 2024 ha rilevato l’assenza di motivi per emettere una Enforcement Notice. Non è stata inflitta alcuna sanzione.
- La decisione riguarda solo la conformità di Snap alle norme del GDPR britannico (UK GDPR) sulle valutazioni d’impatto e sulla consultazione preventiva (articoli 35 e 36), alla data del 22 novembre 2023. L’ICO dice di non aver formulato rilievi sul più ampio trattamento di dati di My AI. Ha anche detto che avrebbe continuato a monitorare.
- I numeri assoluti di utenti sono oscurati nella decisione pubblicata; sono leggibili solo alcune percentuali. Le quote per età sono cifre di Snap all’ICO, non verificate in modo indipendente.
- La decisione dell’ICO nomina la tecnologia GPT di OpenAI, usata tramite l’API per sviluppatori di OpenAI, ma non la versione del modello. Secondo la decisione, per la pubblicità di My AI Snap si serviva di Microsoft come responsabile del trattamento.
- Il precedente comunicato stampa dell’ICO sull’avviso dell’ottobre 2023 non è stato possibile aprirlo, quindi questo passaggio è ripreso dalla decisione stessa.
Fonti
- Decision of the Information Commissioner: Snap Inc. and Snap Group Limited, 'My AI' (21 May 2024)
UK Information Commissioner's Office · 2024-05-21 · Documento depositato · ico.org.uk
- We warn organisations must not ignore data protection risks as we conclude Snap 'My AI' chatbot investigation
UK Information Commissioner's Office · 2024-05-21 · Comunicato stampa · ico.org.uk
Riassunto con parole nostre a partire dalle fonti sopra indicate. Avete notato un errore? Consultate le rettifiche.