I retailer di moda possono usare i dati dei clienti per addestrare l'IA secondo il GDPR?

IN SINTESI Sintesi della redazione

1. I retailer di moda possono usare i dati dei clienti per l'IA secondo il GDPR se dispongono di una base giuridica valida, informano i clienti, minimizzano i dati e ne rispettano i diritti; il legittimo interesse è una base comune per lo sviluppo dell'IA.
2. La CNIL francese fissa tre condizioni per invocare il legittimo interesse nello sviluppo dell'IA: un interesse lecito e chiaramente definito, la necessità e l'assenza di un impatto sproporzionato sulle persone.
3. Ai sensi dell'articolo 21 del GDPR, i clienti possono opporsi in qualsiasi momento al trattamento per finalità di marketing diretto, compresa la profilazione connessa, dopodiché i dati non possono più essere usati per tale finalità.
4. L'articolo 22 del GDPR riconosce alle persone il diritto di non essere sottoposte a decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o effetti analogamente significativi, fatte salve eccezioni e garanzie.
5. La CNIL osserva che i diritti degli interessati si applicano ai dataset di addestramento e, quando un modello non è anonimo, al modello stesso, il che può richiedere un nuovo addestramento o filtri sugli output.

Sì, ma non liberamente. Un retailer di moda può usare storici d'acquisto, comportamento di navigazione o conversazioni con il servizio clienti per addestrare e far funzionare l'IA solo se dispone di una base giuridica valida per quella specifica finalità, informa chiaramente i clienti, limita i dati a quelli necessari ed è in grado di rispettarne i diritti, compresa l'opposizione alla profilazione a fini di marketing. Il legittimo interesse è una base comune per lo sviluppo dell'IA, ma richiede un bilanciamento documentato, e alcuni usi, come le decisioni basate unicamente su un trattamento automatizzato con effetti significativi, sono soggetti a regole più severe.

Quali usi dell'IA nell'e-commerce di moda coinvolgono dati personali?

Quasi tutta l'IA rivolta ai clienti nella moda tratta dati personali in qualche fase. Tra i casi tipici figurano le raccomandazioni di prodotto basate sulla navigazione e sullo storico d'acquisto, e-mail e offerte personalizzate, consigli su taglia e vestibilità basati su misure corporee o sullo storico dei resi, chatbot che gestiscono ordini e reclami, scoring per frodi e abusi dei resi e segmentazione della clientela per la pianificazione. Ognuno ha due fasi con domande distinte: l'addestramento o la messa a punto di un modello e il suo funzionamento sui singoli clienti.

Su quale base giuridica può contare un retailer?

La CNIL, l'autorità francese per la protezione dei dati, ha pubblicato raccomandazioni su sviluppo dell'IA e GDPR, affermando che l'idea che il GDPR impedisca l'innovazione nell'IA in Europa è falsa. Descrive il legittimo interesse come una delle basi giuridiche più comuni per sviluppare l'IA, soprattutto per i soggetti privati, a tre condizioni:

1. Un interesse legittimo: lecito, chiaramente definito e collegato alle attività dell'organizzazione; anche un interesse commerciale può essere idoneo.
2. Necessità: l'interesse non può essere perseguito con mezzi meno invasivi, e si applica la minimizzazione dei dati.
3. Nessun impatto sproporzionato: i benefici vanno bilanciati con l'impatto sui diritti delle persone, con garanzie che riducano i rischi.

Il trattamento deve anche corrispondere alle ragionevoli aspettative dei clienti. Un cliente può aspettarsi che il proprio storico d'acquisto orienti le raccomandazioni sullo stesso sito; può non aspettarsi che le sue chat con il servizio clienti vengano usate per addestrare un modello condiviso con terzi. Quando tecnologie di tracciamento come i cookie raccolgono dati di navigazione, oltre al GDPR si applicano le regole sul consenso della direttiva ePrivacy.

Leggi anche

Come funziona la personalizzazione con l'IA nell'e-commerce della moda?

Come incidono profilazione e decisioni automatizzate sull'IA nella moda?

Per personalizzazione e scoring contano soprattutto due articoli del GDPR. Ai sensi dell'articolo 21, i clienti possono opporsi in qualsiasi momento al trattamento per finalità di marketing diretto, compresa la profilazione connessa; dopo l'opposizione i dati non possono più essere usati per tale finalità. I motori di personalizzazione devono quindi poter escludere dai modelli e dagli output di marketing i clienti che si sono opposti.

L'articolo 22 riconosce alle persone il diritto di non essere sottoposte a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o effetti analogamente significativi. Sono previste eccezioni per la necessità contrattuale, l'autorizzazione di legge e il consenso esplicito, con garanzie tra cui il diritto all'intervento umano. Un carosello di raccomandazioni raramente raggiunge questa soglia. Bloccare automaticamente un cliente dai resi o dal pagamento su fattura potrebbe invece raggiungerla, per cui sistemi di questo tipo richiedono una revisione umana o un'attenta analisi delle eccezioni.

Come vanno informati i clienti?

La CNIL considera l'informazione individuale come regola, fornita tramite moduli, messaggi o informative privacy, idealmente con un intervallo ragionevole tra l'informativa e l'addestramento del modello. Le informative generali sono accettabili quando l'informazione individuale è impossibile o richiederebbe uno sforzo sproporzionato. L'informazione deve essere chiara; la CNIL suggerisce che i diagrammi possono aiutare a spiegare la differenza tra dati di addestramento, modello e output. Per i retailer, il passo concreto è una sezione dell'informativa privacy che nomini in modo specifico gli usi dell'IA, invece di nasconderli sotto formule generiche sull'analisi dei dati.

Che cosa succede quando un cliente esercita i propri diritti?

Secondo la CNIL, i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione si applicano ai dataset di addestramento e, quando un modello non è anonimo, al modello stesso. Rispettare i diritti su un modello può significare per default un nuovo addestramento, che secondo la CNIL può richiedere fino a tre mesi; quando ciò è sproporzionato, suggerisce filtri efficaci attorno al modello. I retailer dovrebbero progettare le pipeline in modo che la cancellazione o l'esclusione di un cliente raggiunga anche i dataset di addestramento e i feature store.

Leggi anche

IA per gli e-commerce manager della moda: una guida pratica

Che cosa dovrebbe fare ora un team di e-commerce di moda?

• Elencare gli usi dell'IA sui dati dei clienti nell'inventario dell'IA e nel registro delle attività di trattamento.
• Documentare una valutazione del legittimo interesse per ogni finalità di addestramento, oppure ottenere il consenso quando il tracciamento o le aspettative lo richiedono.
• Minimizzare e pseudonimizzare i dati di addestramento; eliminare campi come le note in testo libero, se non necessari.
• Aggiornare le informative privacy per descrivere in linguaggio semplice personalizzazione con IA, chatbot e addestramento dei modelli.
• Integrare opposizione e cancellazione nelle pipeline, non solo nel CRM.
• Verificare le condizioni dei vendor per evitare che i dati dei clienti vengano usati per addestrare modelli destinati ad altri clienti.
• Svolgere una valutazione d'impatto sulla protezione dei dati per profilazioni o scoring su larga scala che potrebbero incidere in modo significativo sui clienti.

La responsabilità dovrebbe essere condivisa. Il team e-commerce o CRM è di solito titolare del caso d'uso, il responsabile della protezione dei dati verifica base giuridica e informative, e il data engineering si assicura che opposizioni e cancellazioni si propaghino. Senza questa ripartizione, le richieste di esercizio dei diritti tendono a essere soddisfatte nel database clienti, mentre le copie restano negli ambienti di analisi e di addestramento.

I limiti sono reali. Una personalizzazione ricca dipende da dati che i clienti potrebbero non aspettarsi di vedere utilizzati, e ogni campo in più aumenta l'esposizione a violazioni e rischi di conformità. I retailer che raccolgono meno dati, spiegano di più e offrono ai clienti un modo semplice per disattivare la personalizzazione corrono in genere un rischio giuridico minore.

Domande frequenti

Posso usare i dati dei clienti per addestrare un modello di IA secondo il GDPR?

Sì, se si dispone di una base giuridica valida per quella finalità, si informano i clienti, si minimizzano i dati e si è in grado di rispettarne i diritti. La CNIL considera il legittimo interesse una base comune per lo sviluppo dell'IA, a condizione che siano soddisfatti la necessità e il bilanciamento degli interessi.

Le raccomandazioni di prodotto personalizzate sono profilazione secondo il GDPR?

Di solito sì, perché valutano preferenze personali. Ai sensi dell'articolo 21 i clienti possono opporsi alla profilazione usata per il marketing diretto, e i retailer devono quindi smettere di usare i loro dati per tale finalità.

Quando si applica l'articolo 22 del GDPR all'IA nell'e-commerce?

Quando una decisione basata unicamente su un trattamento automatizzato produce effetti giuridici o effetti analogamente significativi, ad esempio bloccando automaticamente un cliente dai resi o da alcune modalità di pagamento. Le eccezioni richiedono garanzie come l'intervento umano.

I clienti hanno il diritto di essere rimossi dai dati di addestramento dell'IA?

Secondo la CNIL, diritti degli interessati come la cancellazione e l'opposizione si applicano ai dataset di addestramento e, quando il modello non è anonimo, al modello stesso, il che può richiedere un nuovo addestramento o filtri sugli output.

GuidaLa guida completa all’IA nell’e-commerce, nel marketing e nel retail della modaLeggi la guida completa