Nel 2021 l’Agenzia nazionale per le nuove tecnologie, l’energia e lo sviluppo economico sostenibile (ENEA) e l’Istituzione Bologna Musei hanno lanciato coralmente ShareArt, un programma utile a «monitorare il gradimento e le modalità di fruizione delle opere d’arte da parte dei visitatori, grazie ad applicazioni di intelligenza artificiale e big data». A due anni di distanza il Garante della privacy riprende le due istituzioni, sostenendo l’illegittimità dello strumento.
Con un provvedimento datato 13 aprile, il regolatore italiano ammonisce chi di dovere per aver effettuato una violazione minore che, avendo «esaurito i suoi effetti», non viene però giudicata meritevole di sanzioni o interventi concreti. Non ci saranno punizioni, ma il fatto evidenzia come non mai quanto sia sottile e sfumato il confine della legalità nello sdruccevole frangente della gestione dei dati. ENEA, riconosce lo stesso Garante, aveva d’altronde effettuato «specifici approfondimenti» proprio per evitare che il sistema si muovesse in contrasto con le classiche leggi sul trattamento delle informazioni personali, eppure il muoversi parallelamente ai codici consolidati non ha permesso all’invenzione di svincolarsi dalle imposizioni del caso.
Nello specifico, l’Agenzia sostiene che la macchina preservasse l’immagine dei visitatori per un periodo stimato di appena 100 millesimi di secondo attraverso un sistema di face detection – quindi non face recognition – anonimizzato, premesse che mettono in serio dubbio il fatto che le dinamiche dello strumento possano essere concretamente catalogate al pari di registrazioni video. Nonostante l’ambiguità della situazione, il Garante non si è detto pienamente convinto della bontà amministrativa del progetto e rimarca nello specifico tre diversi punti: l’assenza tecnica di un accordo di contitolarità del trattamento da parte di ENEA e del Comune, il fatto che l’approccio adottato non rientri in un «regolamento che espressamente prevedesse il trattamento dei dati personali in questione» e, cosa più importante, la mancanza di una comunicazione trasparente all’utenza. L’unica informativa a disposizione degli utenti era un cartello affisso in biglietteria.
Allo stesso tempo, il documento tecnico di ShareArt notifica che l’algoritmo fosse in grado di “ottenere informazioni quali ad esempio il tempo medio o la distanza di osservazione suddivisi per genere e per classe d’età, i punti di osservazione dell’opera preferiti dai bambini o dalle persone più anziane, i percorsi preferiti dagli uomini e quelli preferiti dalle donne”, elementi sensibili che, una volta fagocitati all’interno dei Big Data, possono comunque destare preoccupazioni sul fatto che la loro raccolta possa essere o meno utilizzata a scopi etici. Nel caso specifico, la fase dei test era limitata a sole dieci opere e si è cronologicamente collocata nel pieno del periodo pandemico, quando l’attività museale non consentiva flussi significativi di pubblico. ENEA ci ha confermato che i test sulla gestione siano stati conclusi senza poter raggiungere gli obiettivi prefissati in quanto le informazioni erano poche e frammentate. Non solo, l’intervento del Garante ha reso quei pochi dati del tutto inutilizzabili.
Il caso di ShareArt evidenzia bene le difficoltà che nascono nel mancato incrocio tra il ruolo della vigilanza e le ambizioni della ricerca, una dissonanza che può creare problemi alle istituzioni e alle aziende, se non addirittura alla società. Il sistema progettato da ENEA risale al 2016 e aveva già fatto tappa a Parma e a Roma, contesti in cui un confronto attivo con il Garante avrebbe potuto contribuire prevenire alcune delle problematiche riscontrare a Bologna.
In generale, non potendo il regolatore dei dati essere ovunque, si da per assodato che l’assicurarsi di eseguire la due diligence sull’operato cada direttamente in seno alle aziende, tuttavia nel frangente governativo ci si auspicherebbe una situazione diversa e una maggiore permeabilità tra le istituzioni. Ora ShareArt è fermo e non esistono progetti di rilancio nel suo immediato futuro. «Nel caso in cui decidessimo di riprendere lo sviluppo del sistema dovremo tenere in considerazione quanto indicato nel provvedimento», rassicura un portavoce dell’Agenzia facendo riferimento sia al lato tecnico che al frangente giuridico. Dopotutto «il Garante [..] ritiene che l’ENEA, in assenza di uno specifico progetto di ricerca sul tema, non abbia un’idonea base giuridica per poter fare questo tipo di trattamento dei dati personali».
Integrazione (ore 19:04 del 5 luglio 2023): Ci è stato fatto notare che l’immagine di copertina del presente articolo illustra una delle postazioni di ShareArt, ma anche una grafica dell’App MuseOn, l’audioguida multimediale progettata dalla start-up iThalia. Per evitare fraintendimenti e confusioni, ci teniamo a sottolineare che quest’ultimo programma non è in alcun modo coinvolto nel provvedimento del Garante e che questo – a differenza di ShareArt – non raccogli i dati dei visitatori.
[di Walter Ferri]
