Diritti sui dati del corpo nell'epoca dell'AI fashion

I diritti sui dati del corpo nell'AI fashion non sono una casella di conformità. Quando un sistema deduce la larghezza del torace da un singolo selfie, ordina i prodotti in base a un rapporto vita-fianchi previsto o immette sei mesi di dati di prova virtuale in un modello di base, il corpo è diventato un input computazionale a livello infrastrutturale. La questione dei diritti va risolta allo stesso livello, non in quello applicativo.

Il divario è architetturale, non accidentale. La personalizzazione guidata dall'AI determina ormai l'ordinamento dei prodotti nell'e-commerce moda, e gran parte di ciò che la alimenta è dedotto, non dichiarato: sequenze di navigazione, storici dei resi, cambi di taglia. Pochissime piattaforme offrono al cliente un percorso documentato per recuperare, correggere o cancellare i dati legati al corpo su cui quegli ordinamenti sono stati costruiti.

Che cosa rende i dati del corpo diversi dagli altri dati personali?

Le misure corporee occupano una zona grigia, giuridica e tecnica insieme, che la maggior parte degli operatori della moda non riconosce fino in fondo. L'Art. 9 del GDPR limita il trattamento dei dati biometrici usati per identificare univocamente una persona fisica. Torace, vita e fianchi rilevati direttamente non fanno sempre scattare l'Art. 9 in automatico, ma i profili corporei dedotti da segnali comportamentali lo fanno sempre più spesso, secondo le linee guida dell'European Data Protection Board sulle decisioni individuali automatizzate.

Nella pratica la distinzione tra biometrico e contiguo al biometrico pesa moltissimo. Un retailer che conserva la taglia dichiarata da un cliente si trova in una posizione giuridica del tutto diversa da uno che costruisce un modello corporeo probabilistico a partire da quindici interazioni con i prodotti. Il secondo scenario può far scattare gli obblighi dell'Art. 9 anche quando nessuna misura è mai stata raccolta esplicitamente.

Il Regolamento UE 2024/1689 sull'intelligenza artificiale, entrato in vigore nell'agosto 2024 con applicazione scaglionata, aggiunge un secondo livello. I sistemi che prendono decisioni automatizzate incidenti sull'accesso a beni e servizi, incluso l'ordinamento dei prodotti guidato da inferenze corporee, rientrano tra quelli ad alto rischio dell'Allegato III quando comportano categorizzazione biometrica. La classificazione ad alto rischio impone valutazione di conformità, documentazione tecnica e sorveglianza umana: obblighi che vanno ben oltre l'aggiornamento di un'informativa privacy.

Perché il consenso a livello applicativo fallisce con i sistemi AI?

Il consenso a livello applicativo — una pagina di impostazioni, un banner cookie, un interruttore con scritto «personalizza la mia esperienza» — fallisce nel momento esatto in cui una pipeline di machine learning elabora i dati che ha raccolto. Il consenso prestato al punto di raccolta non si propaga automaticamente a valle nei dataset di addestramento, nei pesi del modello o nelle cache di inferenza. Una volta che un profilo corporeo ha plasmato i pesi di un modello, revocare il consenso nell'interfaccia non de-addestra il modello.

• Raccolta per impostazione predefinita: la maggior parte delle piattaforme raccoglie segnali corporei comportamentali prima di qualunque interazione di consenso, il che rende la raccolta pre-consenso una scelta strutturale e non un incidente.
• Le copie di addestramento si moltiplicano: un singolo profilo può finire nei set di sviluppo, di staging e di produzione, e ogni copia sta fuori dal perimetro del record di consenso originario.
• Gli ambienti degli operatori sono opachi: le piattaforme moda affidano spesso la raccomandazione di taglia a fornitori AI terzi, che operano sotto accordi di trattamento separati e mai visibili al cliente.
• La revoca è scollegata dalla cancellazione: chi ritira il consenso di norma attiva un flag di disattivazione, non l'eliminazione fisica delle misure dagli archivi di addestramento.
• L'inferenza del modello persiste: anche dopo la cancellazione, un modello addestrato sui dati di una persona continua ad applicare gli schemi che ha appreso. È il problema del diritto all'oblio che l'Art. 17 del GDPR non risolve del tutto per i modelli già addestrati.

Misurato sul campo, il problema diventa concreto. Un modello di permessi incastonato nella schermata impostazioni di un'app può soddisfare una postura minima di conformità secondo una lettura ristretta dell'Art. 6(1)(a) del GDPR. Ma non cambia l'architettura dei dati sottostante se le misure continuano a confluire nei sistemi dell'operatore per impostazione predefinita, restano in archivio freddo per il riaddestramento e vengono trattate da sub-responsabili esterni al perimetro del consenso originario.

Che cosa richiede davvero un'infrastruttura permission-aware?

Un'infrastruttura permission-aware codifica i diritti di accesso nel record stesso, non nell'applicazione che oggi si trova a mostrarlo. Il record viaggia con i propri permessi. Qualunque sistema lo riceva sa, prima che il trattamento cominci, che cosa il titolare del dato ha autorizzato e che cosa no.

Il W3C Verifiable Credentials Data Model 2.0 fornisce la base tecnica. Un record di misura emesso come Verifiable Credential porta con sé una prova crittografica di chi lo ha raccolto, sotto quale ambito di consenso e con quale scadenza. Quando la credenziale viene presentata al motore di vestibilità di un retailer, il motore può verificare lo stato dei permessi in modo programmatico, senza alcuna chiamata a un database di consensi centralizzato.

• Emissione del record: una sessione di misurazione certificata produce una Verifiable Credential che contiene i dati del corpo e l'ambito di consenso in cui sono stati raccolti.
• Il permesso è circoscritto: la credenziale specifica gli usi consentiti, per esempio «sola raccomandazione di prodotto nella singola sessione, nessun addestramento di modelli, nessun trasferimento a sub-responsabili».
• La credenziale viene presentata: quando il cliente acquista, la presenta al motore di vestibilità del retailer tramite un'interfaccia wallet.
• Il motore verifica prima di trattare: controlla la prova crittografica e l'ambito di consenso prima di acquisire qualunque misura.
• La revoca si propaga da sola: se il cliente revoca la credenziale nel proprio wallet, ogni verifica successiva restituisce un esito non valido, senza bisogno di richieste manuali di cancellazione.

L'architettura non è teorica. Il Regolamento UE 2024/1781 sull'ecodesign dei prodotti sostenibili impone il Digital Product Passport per i prodotti tessili venduti nel mercato europeo a partire dal 2030, e crea così una spinta normativa verso record dati interoperabili che portano con sé i permessi lungo tutta la filiera. Il caso d'uso delle misure corporee sta un livello sopra quello di prodotto, ma l'infrastruttura di credenziali sottostante è identica.

Come si applica la portabilità prevista dal GDPR alle misure corporee?

L'Art. 20 del GDPR riconosce a ciascuno il diritto di ricevere i dati personali che ha fornito a un titolare in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare. Le misure fornite direttamente — attraverso una sessione di misurazione, un modulo di autocompilazione o una scansione — vi rientrano chiaramente. La domanda giuridica è se vi rientrino anche i profili corporei dedotti da segnali comportamentali.

Le indicazioni dell'European Data Protection Board suggeriscono che i dati «forniti dall'interessato» comprendano tanto quelli comunicati attivamente e consapevolmente quanto quelli osservati durante l'uso di un servizio, compresi i dati comportamentali. Un profilo corporeo dedotto dai flussi di clic rientra quasi certamente nel perimetro. Significa che un cliente ha, in linea di principio, diritto a esportare non solo la taglia che ha dichiarato, ma anche il modello corporeo probabilistico che la piattaforma ha costruito a partire dal suo comportamento.

La vera domanda per l'AI fashion non è se i dati del corpo verranno usati. È chi ne è proprietario, chi può trattarli e se la persona che descrivono resta strutturalmente in controllo a ogni stadio del ciclo di vita del modello, non soltanto nel momento della raccolta.

Nella pratica, pochissime piattaforme moda offrono un export di portabilità che includa i profili corporei dedotti. Una richiesta di accesso ai sensi dell'Art. 15 è di solito ciò che permette di stabilire se una piattaforma ammetta di detenere un record corporeo dedotto, presupposto necessario per la richiesta ai sensi dell'Art. 20. Il divario tra titolarità giuridica e realtà operativa è ampio, ed è il tipo di divario che le autorità chiudono con l'applicazione delle norme, non con le linee guida.

Quale postura sui diritti stabilisce il modello Size Passport?

L'approccio di Size Passport tratta la portabilità delle misure come una proprietà infrastrutturale, non come una funzionalità di prodotto. Il cliente possiede un record portabile delle proprie misure, circoscritto dal consenso, che può presentare a qualunque retailer. Il retailer riceve solo ciò che il cliente autorizza esplicitamente per quella sessione. Non avviene alcuna raccolta ambientale in secondo piano, e la revoca a livello di credenziale si propaga automaticamente a valle.

Questo modello ribalta l'impostazione predefinita con cui opera la maggior parte delle piattaforme. Invece di catturare i dati per default e sovrapporre i diritti in un secondo momento, i diritti vengono stabiliti per primi e i dati circolano soltanto entro quei confini. Il risultato pratico è che le misure di un cliente non si trovano mai nel sistema di un operatore senza una credenziale di permesso attiva e attribuibile, il che significa che non possono nemmeno finire nell'addestramento di un modello senza di essa.

• Il cliente possiede il record canonico delle misure e lo custodisce in un wallet portabile, non sul server di un retailer.
• Ogni uso è circoscritto: una credenziale di sessione autorizza uno specifico retailer per uno specifico tipo di interazione, con una scadenza.
• L'adesione all'addestramento è separata ed esplicita: contribuire con le proprie misure al miglioramento aggregato della vestibilità richiede una credenziale di consenso distinta e revocabile.
• La portabilità è strutturale: poiché il record è una Verifiable Credential, può essere presentato a qualunque sistema compatibile, e cambiare retailer non richiede una richiesta di export.
• La tracciabilità è attribuibile: ogni accesso viene registrato a fronte di una credenziale operatore identificabile, e ne risulta una catena di custodia verificabile.

Domande frequenti

L'Art. 9 del GDPR si applica alle raccomandazioni di vestibilità che usano le misure corporee?

Dipende da come il dato viene usato. L'Art. 9 del GDPR limita il trattamento dei dati biometrici impiegati per identificare univocamente una persona fisica. Le dimensioni corporee misurate direttamente non superano sempre quella soglia da sole. Quando però un sistema costruisce un profilo corporeo probabilistico in grado di re-identificare un cliente su piattaforme diverse, anche senza nome o indirizzo email, le linee guida dell'European Data Protection Board sulle decisioni individuali automatizzate indicano che gli obblighi dell'Art. 9 con ogni probabilità scattano. Qualunque operatore della moda che faccia girare modelli di inferenza corporea dovrebbe chiedere un parere legale specifico sui propri flussi di dati, anziché presumere che l'Art. 9 non si applichi.

Posso richiedere il mio profilo corporeo dedotto in base al diritto di portabilità dell'Art. 20?

Sì, in linea di principio. L'Art. 20 del GDPR copre i dati «forniti dall'interessato», espressione che l'EDPB ha interpretato come comprensiva anche dei dati osservati dal comportamento su un servizio, non soltanto di quelli digitati attivamente. Un profilo corporeo dedotto dalle interazioni con un sistema di raccomandazione della vestibilità dovrebbe quindi essere portabile su richiesta. Nella pratica, poche piattaforme hanno costruito la pipeline tecnica necessaria a esportare profili dedotti in un formato strutturato e leggibile da dispositivo automatico. Presentare prima una richiesta di accesso ai sensi dell'Art. 15 permette di verificare se la piattaforma ammetta di detenere un record corporeo dedotto, che è il presupposto della richiesta di portabilità.

Che fine fanno i miei dati corporei se un retailer che ho usato viene acquisito o fallisce?

Con l'architettura attuale, in cui i dati del corpo risiedono sui server del retailer, un'acquisizione trasferisce il patrimonio informativo al nuovo proprietario secondo l'informativa privacy esistente, che può essere modificata con un preavviso. In caso di fallimento i dati possono finire nelle mani di un curatore che li tratta come un bene cedibile. I permessi a livello infrastrutturale non impediscono del tutto lo scenario, ma lo delimitano: con un'architettura a Verifiable Credentials l'acquirente eredita l'accesso soltanto ai dati per cui esistono credenziali di permesso valide e non scadute. Chi revoca le proprie credenziali nel momento in cui l'acquisizione viene annunciata toglie immediatamente all'acquirente l'autorizzazione a trattare i propri dati corporei da lì in avanti.

Come cambia il Regolamento UE sull'AI gli obblighi dei sistemi di inferenza corporea nella moda?

Il Regolamento UE 2024/1689 classifica come ad alto rischio, ai sensi dell'Allegato III, i sistemi che prendono decisioni automatizzate incidenti sull'accesso a beni e servizi attraverso la categorizzazione biometrica. I sistemi di ordinamento prodotti della moda alimentati da inferenze corporee possono rientrare in questa categoria. La classificazione ad alto rischio richiede una valutazione di conformità prima dell'immissione sul mercato, documentazione tecnica mantenuta nel tempo, un meccanismo di sorveglianza umana sulle decisioni rilevanti, monitoraggio post-commercializzazione e registrazione nella banca dati europea. Gli obblighi per i sistemi ad alto rischio dell'Allegato III si applicano da agosto 2026. Chi non ha mappato le proprie pipeline di inferenza corporea rispetto ai criteri di alto rischio è esposto.

Esiste uno standard tecnico per le credenziali portabili di misura corporea?

Il W3C Verifiable Credentials Data Model 2.0 è lo standard aperto più maturo per record dati portabili e verificabili crittograficamente, comprese le misure corporee. La norma ISO/IEC 7816 disciplina le carte a circuito integrato su cui credenziali di questo tipo sono state storicamente trasportate: non dice nulla su che cosa sia una misura corporea, soltanto su come si indirizza una credenziale su carta. Nessuno dei due standard è specifico della moda, ma entrambi sono applicabili. L'approccio di Size Passport costruisce sul livello di credenziale dei W3C Verifiable Credentials, con l'ambito di consenso codificato nella proprietà terms-of-use della credenziale. Nessuno standard di credenziale dedicato alla misura corporea è ancora stato adottato da un ente normativo della moda: è un'area di specifica tuttora aperta.