Assonime ha pubblicato il 31 gennaio 2024, il Caso n. 1/2024 dal titolo “Credit scoring e processo decisionale automatizzato ai sensi del GDPR: i chiarimenti della Corte di giustizia nel caso Schufa”. La Corte di giustizia con la sentenza Schufa ha chiarito che l’effettiva protezione dell’individuo non può prescindere dall’applicazione rigorosa delle regole sul processo decisionale automatizzato anche all’attività di credit scoring svolta da un soggetto esterno al creditore. La proposta di regolamento sull’Intelligenza artificiale colloca tra i sistemi di IA ad alto rischio quelli utilizzati per valutare il merito di credito o l’affidabilità creditizia delle persone fisiche in quanto essi “determinano l'accesso di tali persone alle risorse finanziarie o a servizi essenziali quali l'alloggio, l'elettricità e i servizi di telecomunicazione” e “possono portare alla discriminazione di persone o gruppi”. Viene così esplicitata a livello normativo la potenziale gravità dell’impatto del credit scoring sulla sfera della persona che è alla base del ragionamento della Corte nella sentenza Schufa.

Assonime ha pubblicato il 31 gennaio 2024 il Caso n. 1/2024 dal titolo “Credit scoring e processo decisionale automatizzato ai sensi del GDPR: i chiarimenti della Corte di giustizia nel caso Schufa” Assonime chiarisce innanzi tutto che, per credit scoring, si intende la misurazione della solvibilità creditizia di un soggetto (consumatore o impresa di piccole dimensioni) realizzata in via automatizzata, attraverso modelli matematici o statistici, sulla base di un insieme di informazioni che consentono di collocare l’interessato all’interno di un gruppo di riferimento con caratteristiche omogenee e di esprimere una probabilità circa il suo futuro comportamento, in particolare riguardo alla capacità di onorare impegni di pagamento, quale ad esempio il rimborso di un prestito. Il punteggio (score) così determinato è utilizzato tipicamente dalle banche e da altri intermediari per stabilire se accettare o meno una richiesta di credito e quali condizioni applicare, incluso il tasso di interesse. Il ricorso allo score nella selezione delle controparti è sempre più diffuso anche in settori diversi da quello finanziario, ad esempio da parte di compagnie telefoniche, utilities e così via. Assonime si occupa di un’importante sentenza del 7 dicembre 2023 (causa C-634/21), resa in sede di rinvio pregiudiziale, con cui la Corte di giustizia ha fornito per la prima volta indicazioni sulla compatibilità di tali sistemi con la disciplina del processo decisionale automatizzato contenuta nell’articolo 22 del GDPR. Muovendo da una nozione ampia di ‘decisione’, la Corte vi riconduce lo score elaborato da un’agenzia di informazioni creditizie (la tedesca Schufa) sulla base di dati personali, in quanto destinato a svolgere un “ruolo decisivo” nella concessione di un finanziamento da parte di una banca. Dalla sentenza discendono conseguenze rilevanti per le pratiche di profilazione automatizzata poste a supporto dell’attività d’impresa in vari ambiti economici, quando sono in gioco valutazioni che hanno un impatto significativo sulla persona. La sentenza in particolare evidenzia che il fatto che il credit scoring sia qualificabile di per sé come un processo decisionale automatizzato ai sensi dell’articolo 22 del GDPR comporta, anzitutto, la necessità di verificare se sia soddisfatta una delle condizioni in presenza delle quali è ammesso il processo decisionale automatizzato: - conclusione/esecuzione di un contratto, - autorizzazione ad opera di una disposizione del diritto UE o nazionale (verosimilmente la base giuridica più pertinente), - consenso esplicito dell’interessato. Laddove ricorra una base giuridica tra quelle previste, il titolare del trattamento è tenuto a dotarsi di misure adeguate a proteggere i diritti, le libertà e gli interessi legittimi delle persone i cui dati sono trattati. Il GDPR richiede di garantire un giusto equilibrio tra i diritti della persona interessata e la protezione del segreto industriale e commerciale e della proprietà intellettuale. La Corte di giustizia con la sentenza Schufa ha chiarito un tassello importante del sistema, sottolineando che l’effettiva protezione dell’individuo non può prescindere dall’applicazione rigorosa delle regole sul processo decisionale automatizzato anche all’attività di credit scoring svolta da un soggetto esterno al creditore. La proposta di regolamento sull’Intelligenza artificiale, oggetto di un accordo provvisorio di Consiglio e Parlamento europeo, colloca tra i sistemi di IA ad alto rischio quelli utilizzati per valutare il merito di credito o l’affidabilità creditizia delle persone fisiche (ad esclusione di quelli utilizzati a scopo di rilevazione delle frodi finanziarie), in quanto essi “determinano l'accesso di tali persone alle risorse finanziarie o a servizi essenziali quali l'alloggio, l'elettricità e i servizi di telecomunicazione” e “possono portare alla discriminazione di persone o gruppi e perpetuare modelli storici di discriminazione, ad esempio in base all'origine razziale o etnica, alle disabilità, all'età o all'orientamento sessuale, o dar vita a nuove forme di effetti discriminatori”. Viene così esplicitata a livello normativo la potenziale gravità dell’impatto del credit scoring sulla sfera della persona che è alla base del ragionamento della Corte nella sentenza Schufa. Copyright © - Riproduzione riservata

Assonime, Caso n. 1/2024, 31/01/2024

Fonte: https://www.ipsoa.it/documents/quotidiano/2024/02/01/credit-scoring-impatto-potenzialmente-gravoso-sfera-persona