Devo cancellare i dati di training della mia AI su richiesta?

Non devi necessariamente rifare tutto da capo. Il GDPR prevede eccezioni al diritto alla cancellazione: puoi rifiutare la richiesta se dimostri un legittimo interesse prevalente, come l'integrità del modello per garantire raccomandazioni corrette ad altri utenti. Devi rispondere entro un mese motivando la decisione, documentare il bilanciamento degli interessi e informare il cliente del diritto di reclamo al Garante. La normativa riconosce la complessità tecnica dei modelli AI distribuiti e non impone automaticamente il riaddestramento, purché la base giuridica sia solida e documentata.

Risposta plausibile, ma non verificata sul tuo caso

Dovete rispondere entro un mese dalla ricezione della richiesta, quindi avete ancora circa 27 giorni di tempo. Se la situazione è complessa, potete prorogare di altri due mesi, ma dovete comunicare al cliente entro il primo mese i motivi del ritardo. L'obbligo di cancellazione dipende dal GDPR: se i dati sono personali e la richiesta è legittima, dovete eliminarli anche se tecnicamente complesso, salvo che non sussistano motivi legali imperativi per conservarli. Se sforate i termini senza rispondere o negate la cancellazione ingiustificatamente, rischiate sanzioni fino a 20 milioni di euro o il 4% del fatturato globale annuo, oltre a possibili danni risarcibili al cliente. Valutate subito la base giuridica del trattamento e documentate ogni difficoltà tecnica nella risposta.

Risposta plausibile, ma non verificata sul tuo caso

Il diritto di cancellazione previsto dal GDPR non è assoluto e ammette eccezioni, ma ignorare completamente la richiesta del cliente è rischioso. Le sanzioni per violazione possono arrivare fino a 20 milioni di euro o il 4% del fatturato annuo mondiale, importi che per una startup rappresentano un rischio esistenziale ben superiore al costo di riaddestramento del modello. La soluzione migliore è rispondere in modo documentato alla richiesta, spiegando le difficoltà tecniche nell'eliminare selettivamente i dati da un modello già addestrato, offrendo alternative concrete come l'esclusione dei dati dagli output futuri o la cessazione dell'utilizzo per nuovi addestramenti, dimostrando così la vostra conformità al principio di accountability. Affidarsi semplicemente all'impossibilità tecnica senza documentazione adeguata o ignorare la richiesta configura una violazione palese che il Garante ha già sanzionato in casi simili.

Risposta plausibile, ma non verificata sul tuo caso

Se hai raccolto i dati con consenso generico per sviluppare il prodotto, non puoi automaticamente opporti alla cancellazione invocando il legittimo interesse: il GDPR riconosce all'interessato il diritto di opposizione anche contro trattamenti basati su tale base giuridica, e tu devi dimostrare che il tuo interesse prevalga concretamente sui diritti della persona. Il Garante Privacy ha confermato questo principio proprio nei casi di addestramento AI, riconoscendo il diritto di opporsi a tale finalità specifica. Puoi resistere alla richiesta solo se dimostri una prevalenza documentata del tuo legittimo interesse, se il consenso iniziale era esplicitamente riferito all'addestramento AI, o se i dati sono stati effettivamente anonimizzati rendendoli non più personali. In mancanza di queste condizioni, devi accogliere la richiesta entro un mese, eventualmente applicando tecniche di machine unlearning per ridurre l'influenza dei dati già utilizzati nel modello.

Risposta plausibile, ma non verificata sul tuo caso

Se un cliente esercita il diritto alla cancellazione dei propri dati, eliminare i dati dal database originale non è sufficiente per essere conforme al GDPR e alla normativa italiana sull'intelligenza artificiale. Il modello AI, infatti, rimane influenzato dai dati assorbiti durante l'addestramento attraverso i suoi pesi e parametri, potenzialmente continuando a generarli o a riflettere bias derivati. Per dimostrare tecnicamente la conformità, dovresti implementare tecniche di machine unlearning per rimuovere selettivamente l'influenza di quei dati, accompagnate da test di membership inference che verifichino se il modello può ancora ricostruire le informazioni eliminate, e mantenere documentazione trasparente attraverso audit tecnici e DPIA. La soluzione più sicura, seppur onerosa, rimane il riaddestramento completo del modello su un dataset privo dei dati del cliente richiedente.

Risposta plausibile, ma non verificata sul tuo caso

Per gestire correttamente la richiesta di cancellazione dati dal modello AI, devi seguire un processo documentato e formale. Innanzitutto, registra la richiesta in un registro dedicato indicando data, richiedente e dettagli della pretesa. Effettua una valutazione tecnica e giuridica per verificare se la cancellazione selettiva sia tecnicamente possibile o se i dati siano ancora personali dopo l'addestramento, coinvolgendo il DPO se necessario. Rispondi per iscritto entro un mese spiegando se accogli o respingi la richiesta con motivazioni dettagliate, garantendo trasparenza come richiesto dal GDPR e dalla Legge 132/2025. Conserva tutta la documentazione per almeno cinque anni: registro richieste, valutazioni tecniche, eventuali DPIA, risposte fornite e base giuridica del trattamento originario, poiché il Garante può verificare la tua accountability in ogni momento.

Risposta plausibile, ma non verificata sul tuo caso

L'anonimizzazione preventiva dei dati non soddisfa una richiesta di cancellazione secondo il GDPR, che impone l'eliminazione totale dei dati personali senza indebito ritardo. Nei modelli AI il problema è più complesso perché i dati di addestramento vengono incorporati nei pesi del modello in forma compressa, quindi l'anonimizzazione successiva non retroagisce sul modello già formato. Per conformarsi al diritto all'oblio occorrono tecniche di machine unlearning o riaddestramento completo senza quei dati, operazioni tecnicamente costose ma necessarie salvo eccezioni limitate previste dalla normativa. Il cliente può pretendere la cancellazione totale se non ricorrono specifiche deroghe legali, pena sanzioni fino al 4% del fatturato globale annuo.

Risposta plausibile, ma non verificata sul tuo caso

Se il cliente ha diritto alla cancellazione secondo il GDPR, l'obbligo esiste e non è discrezionale. Per dimostrare la buona fede serve documentazione dettagliata del processo: log tecnici dell'eliminazione dai sistemi di storage, evidenza del riaddestramento del modello con data e metodologia applicata, e possibilmente audit indipendenti sulla conformità procedurale. È fondamentale dimostrare che il trattamento originario era lecito e basato su una valida base giuridica. La sfida principale è che i modelli AI memorizzano i dati in forma compressa rendendo tecnicamente difficile sia la cancellazione selettiva che la verifica assoluta dell'avvenuta eliminazione, ma una documentazione meticolosa costituisce la principale difesa contro eventuali contestazioni del Garante.

Risposta plausibile, ma non verificata sul tuo caso