211service.com
I diritti sui dati collettivi possono impedire alle grandi tecnologie di cancellare la privacy
Franziska Barczyk
Ogni persona impegnata con il mondo in rete crea costantemente fiumi di dati. Lo facciamo in modi di cui siamo consapevoli e in modi in cui non lo siamo. Le aziende sono ansiose di trarne vantaggio.
Prendi, ad esempio, NumberEight, una startup, che, secondo Cablata , aiuta le app a dedurre l'attività dell'utente in base ai dati dei sensori di uno smartphone: che stiano correndo o seduti, vicino a un parco o un museo, alla guida o in treno. I nuovi servizi basati su tale tecnologia combineranno ciò che sanno sull'attività di un utente sulle proprie app con informazioni su ciò che stanno facendo fisicamente in quel momento. Con queste informazioni, invece di creare un profilo per indirizzare, ad esempio, alle donne di età superiore ai 35 anni, un servizio potrebbe indirizzare gli annunci ai 'mattinieri'.
Tali ambizioni sono diffuse. Come questo recente articolo di Harvard Business Review mette it, la maggior parte dei CEO riconosce che l'intelligenza artificiale ha il potenziale per cambiare completamente il modo in cui funzionano le organizzazioni. Possono immaginare un futuro in cui, ad esempio, i rivenditori consegnano prodotti personalizzati prima ancora che i clienti li richiedano, forse lo stesso giorno in cui quei prodotti vengono realizzati. Man mano che le aziende utilizzano l'IA in domini sempre più distinti, predice l'articolo, le loro capacità di intelligenza artificiale aumenteranno rapidamente e scopriranno che il futuro che immaginavano è in realtà più vicino di quanto apparisse una volta.
Anche oggi, per non parlare di un futuro del genere, la tecnologia può cancellare completamente la privacy. Elaborare leggi e politiche per impedirglielo è un compito vitale per i governi. Poiché l'amministrazione Biden e il Congresso contemplano la legislazione federale sulla privacy, non devono soccombere a un errore comune. Le leggi a tutela della privacy dei dati delle persone non riguardano solo la protezione delle persone. Riguardano anche la protezione dei nostri diritti come membri di gruppi, come parte della società nel suo insieme.
Il danno a qualsiasi individuo in un gruppo che deriva da una violazione dei diritti alla privacy potrebbe essere relativamente piccolo o difficile da definire, ma il danno per il gruppo nel suo insieme può essere profondo. Supponiamo che Amazon utilizzi i suoi dati sul comportamento dei consumatori per capire quali prodotti valga la pena copiare e quindi sminuisca i produttori di prodotti che vende, come scarpe o borse per macchine fotografiche . Sebbene il danno immediato sia per il calzolaio o il produttore di borse per fotocamera, il danno a lungo termine, e in definitiva più duraturo, è per i consumatori, che sono derubati nel lungo periodo delle scelte che derivano da transazioni veramente aperte ed equa mercato. E mentre il calzolaio o il produttore di borse per fotocamere possono tentare di intraprendere un'azione legale, è molto più difficile per i consumatori dimostrare come le pratiche di Amazon li danneggiano.
Questo può essere un concetto difficile da capire. Le azioni legali collettive, in cui molti individui si uniscono anche se ciascuno potrebbe aver subito solo un piccolo danno, sono una buona analogia concettuale. Le grandi aziende tecnologiche comprendono i vantaggi commerciali che possono derivare dall'analisi dei dati dei gruppi proteggendo superficialmente i dati degli individui attraverso tecniche matematiche come la privacy differenziale. Ma le autorità di regolamentazione continuano a concentrarsi sulla protezione degli individui o, nella migliore delle ipotesi, di classi protette come persone di sesso, età, etnia o orientamento sessuale particolari.
Se un algoritmo discrimina le persone classificandole in gruppi che non rientrano in queste classi protette, le leggi antidiscriminazione non si applicano negli Stati Uniti. (Le tecniche di profilazione come quelle utilizzate da Facebook per aiutare i modelli di apprendimento automatico a smistare gli utenti sono probabilmente illegali secondo le leggi sulla protezione dei dati dell'Unione Europea, ma questo non è stato ancora contestato.) Molte persone non sapranno nemmeno di essere state profilate o discriminate, il che rende è difficile avviare un'azione legale. Non sentono più l'ingiustizia, l'ingiustizia, in prima persona, e questa è stata storicamente una condizione preliminare per lanciare un reclamo.
Storia correlata
È tempo di una Carta dei diritti sui dati Mentre il Senato degli Stati Uniti discute un nuovo disegno di legge, un esperto di governance dei dati presenta un piano per proteggere la libertà nell'era digitale.Individui non dovrebbero combattere per i loro diritti alla privacy dei dati ed essere responsabili di ogni conseguenza delle loro azioni digitali. Considera un'analogia: le persone hanno diritto all'acqua potabile sicura, ma non sono invitate a esercitare tale diritto controllando la qualità dell'acqua con una pipetta ogni volta che bevono al rubinetto. Invece, le agenzie di regolamentazione agiscono per conto di tutti per garantire che tutta la nostra acqua sia sicura. Lo stesso deve essere fatto per la privacy digitale: non è qualcosa che l'utente medio è, o dovrebbe essere, personalmente competente da proteggere.
Ci sono due approcci paralleli che dovrebbero essere perseguiti per proteggere il pubblico.
Uno è un uso migliore delle azioni collettive o di gruppo, altrimenti note come azioni di ricorso collettivo. Storicamente, questi sono stati limitati in Europa, ma nel novembre 2020 il parlamento europeo approvato un provvedimento che richiede a tutti i 27 Stati membri dell'UE di attuare misure che consentano azioni di ricorso collettivo in tutta la regione. Rispetto agli Stati Uniti, l'UE ha leggi più forti che proteggono i dati dei consumatori e promuovono la concorrenza, quindi le azioni collettive o di gruppo in Europa possono essere un potente strumento per avvocati e attivisti per costringere le grandi aziende tecnologiche a cambiare il loro comportamento anche nei casi in cui il per- i danni alle persone sarebbero molto bassi.
Le azioni legali collettive sono state spesso utilizzate negli Stati Uniti per chiedere danni finanziari, ma possono anche essere utilizzate per forzare cambiamenti nella politica e nella pratica. Possono lavorare di pari passo con le campagne per cambiare l'opinione pubblica, soprattutto nei casi dei consumatori (ad esempio, costringendo Big Tobacco ad ammettere il legame tra fumo e cancro, o aprendo la strada alle leggi sulle cinture di sicurezza delle auto). Sono strumenti potenti quando ci sono migliaia, se non milioni, di danni individuali simili, che si sommano per aiutare a dimostrare la causalità. Parte del problema è in primo luogo ottenere le informazioni giuste per citare in giudizio. Gli sforzi del governo, come una causa intentata contro Facebook a dicembre dal Federal Trade Commission (FTC) e un gruppo di 46 stati , sono cruciali. Come afferma il giornalista tecnologico Gilad Edelman, secondo le cause legali, l'erosione della privacy degli utenti nel tempo è una forma di danno per i consumatori - un social network che protegge meno i dati degli utenti è un prodotto inferiore - che porta Facebook da un semplice monopolio a un uno illegale. Negli Stati Uniti, come il New York Times recentemente segnalato , le cause private, comprese le azioni collettive, spesso si basano su prove portate alla luce dalle indagini del governo. Nell'UE, invece, è il contrario: le cause private possono aprire la possibilità di un'azione normativa, che è limitata dal divario tra le leggi a livello dell'UE e le autorità di regolamentazione nazionali.
Il che ci porta al secondo approccio: una legge francese poco nota del 2016 chiamata Digital Republic Bill. Il Progetto di legge sulla Repubblica digitale è una delle poche leggi moderne incentrate sul processo decisionale automatizzato. La legge attualmente si applica solo alle decisioni amministrative assunte dai sistemi algoritmici del settore pubblico. Ma fornisce uno schizzo di come potrebbero essere le leggi future. Dice che il codice sorgente dietro tali sistemi deve essere reso disponibile al pubblico. Chiunque può richiedere quel codice.
È importante sottolineare che la legge consente alle organizzazioni di advocacy di richiedere informazioni sul funzionamento di un algoritmo e sul codice sorgente dietro di esso anche se non rappresentano un individuo o un ricorrente specifico che sarebbe stato danneggiato. La necessità di trovare un attore perfetto che possa provare un danno per intentare una causa rende molto difficile affrontare i problemi sistemici che causano danni ai dati collettivi. Laure Lucchesi, direttrice di Etalab, un ufficio del governo francese incaricato di supervisionare il disegno di legge, afferma che l'attenzione della legge sulla responsabilità algoritmica era in anticipo sui tempi. Altre leggi, come il Regolamento generale europeo sulla protezione dei dati (GDPR), si concentrano troppo sul consenso individuale e sulla privacy. Ma sia i dati che gli algoritmi devono essere regolati.
La necessità di trovare un attore perfetto che possa provare un danno per intentare una causa rende molto difficile affrontare i problemi sistemici che causano danni ai dati collettivi.
Mela promesse in una pubblicità: in questo momento, ci sono più informazioni private sul tuo telefono che a casa tua. Le tue posizioni, i tuoi messaggi, il tuo battito cardiaco dopo una corsa. Queste sono cose private. E dovrebbero appartenere a te. Apple sta rafforzando l'errore di questo individualista: omettendo di menzionare che il tuo telefono memorizza più dei tuoi dati personali, l'azienda offusca il fatto che i dati davvero preziosi provengono dalle tue interazioni con i tuoi fornitori di servizi e altri. L'idea che il tuo telefono sia l'equivalente digitale del tuo schedario è una comoda illusione. Le aziende in realtà si preoccupano poco dei tuoi dati personali; ecco perché possono fingere di chiuderlo in una scatola. Il valore sta nelle inferenze tratte dalle tue interazioni, che sono anche memorizzate sul tuo telefono, ma quei dati non ti appartengono.
L'acquisizione di Fitbit da parte di Google è un altro esempio. Google promette di non utilizzare i dati Fitbit per la pubblicità, ma le previsioni redditizie di cui Google ha bisogno non dipendono dai dati individuali. Come sostiene un gruppo di economisti europei d in un recente documento pubblicato dal Center for Economic Policy Research, un think tank di Londra, è sufficiente che Google correli i risultati sanitari aggregati con quelli non sanitari anche per un sottoinsieme di utenti Fitbit che non hanno rinunciato ad alcuni uso dell'utilizzo dei propri dati, per poi prevedere i risultati sulla salute (e quindi le possibilità di targeting pubblicitario) per tutti gli utenti non Fitbit (miliardi di loro). L'accordo Google-Fitbit è essenzialmente un'offerta di dati di gruppo. Posiziona Google in un mercato chiave per i dati sanitari, consentendo al contempo di triangolare diversi set di dati e guadagnare dalle inferenze utilizzate dai mercati sanitari e assicurativi.
Cosa devono fare i politici
I progetti di legge hanno cercato di colmare questa lacuna negli Stati Uniti. Nel 2019 i senatori Cory Booker e Ron Wyden hanno introdotto un Legge sulla responsabilità algoritmica , che successivamente si fermò al Congresso. L'atto avrebbe richiesto alle aziende di intraprendere valutazioni d'impatto algoritmiche in determinate situazioni per verificare la presenza di pregiudizi o discriminazioni. Ma negli Stati Uniti è più probabile che questa questione cruciale venga affrontata per prima nelle leggi che si applicano a settori specifici come l'assistenza sanitaria, dove il pericolo di pregiudizi algoritmici è stato amplificato dagli impatti disparati della pandemia sui gruppi della popolazione statunitense.
A fine gennaio il Legge sulla privacy in caso di emergenza sanitaria è stato reintrodotto al Senato e alla Camera dei rappresentanti dai senatori Mark Warner e Richard Blumenthal. Questo atto garantirebbe che i dati raccolti per scopi di salute pubblica non vengano utilizzati per nessun altro scopo. Vieterrebbe l'uso dei dati sanitari per scopi discriminatori, non correlati o invadenti, inclusa la pubblicità commerciale, il commercio elettronico o gli sforzi per controllare l'accesso al lavoro, alle finanze, alle assicurazioni, all'alloggio o all'istruzione. Questo sarebbe un ottimo inizio. Andando oltre, una legge che si applichi a tutto il processo decisionale algoritmico dovrebbe, ispirandosi all'esempio francese, concentrarsi su una dura responsabilità, un forte controllo normativo del processo decisionale basato sui dati e la capacità di controllare e ispezionare le decisioni algoritmiche e il loro impatto sulla società.
Sono necessari tre elementi per garantire una dura responsabilità: (1) chiara trasparenza su dove e quando prendono le decisioni automatizzate e come influiscono su persone e gruppi, (2) il diritto del pubblico di offrire un contributo significativo e invitare chi detiene l'autorità a giustificare le proprie decisioni e (3) la capacità di applicare sanzioni. Fondamentalmente, i responsabili politici dovranno decidere, come è stato recentemente suggerito nell'UE, cosa costituisce un algoritmo ad alto rischio che dovrebbe soddisfare uno standard di controllo più elevato.
Chiara trasparenza
L'attenzione dovrebbe essere incentrata sul controllo pubblico del processo decisionale automatizzato e sui tipi di trasparenza che portano alla responsabilità. Ciò include la rivelazione dell'esistenza degli algoritmi, del loro scopo e dei dati di addestramento dietro di essi, nonché del loro impatto, se hanno portato a risultati disparati e su quali gruppi in tal caso.
Partecipazione pubblica
Il pubblico ha il diritto fondamentale di invitare chi detiene il potere a giustificare le proprie decisioni. Questo diritto di chiedere risposte non dovrebbe essere limitato alla partecipazione consultiva, in cui alle persone viene chiesto il loro contributo e i funzionari si spostano. Dovrebbe includere la partecipazione autorizzata, in cui il contributo pubblico è obbligatorio prima del lancio di algoritmi ad alto rischio sia nel settore pubblico che in quello privato.
Sanzioni
Infine, il potere di sanzionare è fondamentale per il successo di queste riforme e per il raggiungimento della responsabilità. Dovrebbe essere obbligatorio stabilire requisiti di audit per il targeting, la verifica e la cura dei dati, per fornire ai revisori questa conoscenza di base e per autorizzare gli organi di controllo a imporre sanzioni, non solo per rimediare al danno a posteriori, ma anche per prevenirlo.
La questione dei danni collettivi basati sui dati riguarda tutti. Un primo passo è una legge sulla privacy in caso di emergenza sanitaria. Il Congresso dovrebbe quindi utilizzare gli insegnamenti tratti dall'attuazione di tale atto per sviluppare leggi che si concentrino specificamente sui diritti collettivi dei dati. Solo attraverso tale azione gli Stati Uniti possono evitare situazioni in cui le inferenze tratte dai dati raccolti dalle aziende perseguitano la capacità delle persone di accedere a alloggi, lavoro, credito e altre opportunità per gli anni a venire.