Il Garante sanziona un’altra intelligenza artificiale: privacy a rischio

Il Garante Privacy ha inflitto una multa di 5 milioni di euro alla società americana Luka Inc, responsabile della gestione del chatbot Replika, per gravi violazioni del GDPR. Non si tratta di un episodio isolato: il Garante sanziona un’altra intelligenza artificiale, confermando una tendenza sempre più netta delle autorità europee a mettere sotto la lente le tecnologie AI che trattano dati personali senza adeguate garanzie. La privacy è a rischio, e le conseguenze economiche per le aziende sono sempre più pesanti.

Il caso Replika: cosa è successo e perché è importante

Replika è un’app che consente agli utenti di creare un compagno virtuale personalizzabile basato sull’intelligenza artificiale. La sua popolarità è cresciuta rapidamente, ma con essa anche i problemi legati alla gestione dei dati personali. Il Garante Privacy italiano era già intervenuto in precedenza: nel febbraio 2023, l’app era stata temporaneamente bloccata a causa di carenze nell’informativa sulla privacy e nell’efficacia del sistema di verifica dell’età degli utenti.

L’istruttoria ha evidenziato come, al momento del blocco, la società non avesse stabilito basi giuridiche adeguate per il trattamento dei dati personali — una lacuna particolarmente critica, considerando che il servizio dichiara esplicitamente di escludere i minorenni. La nuova sanzione da 5 milioni di euro arriva al termine di un’indagine approfondita che ha confermato le violazioni.

Il Garante Privacy sanziona l’intelligenza artificiale Replika: i dettagli dell’indagine

La nuova indagine avviata dal Garante Privacy si è concentrata su diversi aspetti fondamentali del trattamento dei dati da parte dell’intelligenza artificiale Replika. Tra i punti esaminati:

• le valutazioni dei rischi effettuate dall’azienda prima e durante il trattamento dei dati;
• le misure di protezione implementate nelle fasi di sviluppo e addestramento del modello AI;
• i tipi di dati personali utilizzati per alimentare il sistema;
• l’eventuale impiego di tecniche di anonimizzazione dei dati degli utenti.

Questi approfondimenti mirano a garantire che il trattamento dei dati rispetti i principi di minimizzazione e proporzionalità previsti dal Regolamento Generale sulla Protezione dei Dati (GDPR). Il caso Replika è emblematico non solo per l’entità della sanzione, ma anche per il segnale che invia all’intero settore tecnologico: l’innovazione non può prescindere dalla tutela dei diritti degli utenti.

👉 Leggi anche: BCE chiede alle banche difese contro l'IA entro il 31 ottobre

Privacy a rischio: il Garante intensifica i controlli sull’AI

Questo provvedimento non è un caso isolato. Negli ultimi anni il Garante Privacy italiano — e più in generale le autorità europee di protezione dei dati — hanno moltiplicato le indagini e le sanzioni nei confronti di sistemi basati sull’intelligenza artificiale. Il pattern è chiaro:

• ChatGPT (OpenAI): il Garante aveva già aperto un’istruttoria e disposto un blocco temporaneo del servizio in Italia, poi revocato dopo che OpenAI aveva adottato misure correttive.
• Clearview AI: multata per il trattamento illecito di dati biometrici raccolti senza consenso.
• Replika (Luka Inc): 5 milioni di euro di sanzione per violazioni GDPR legate alla gestione dei dati degli utenti, inclusi potenzialmente minori.

Il messaggio è univoco: le autorità di regolamentazione stanno intensificando i controlli sulle tecnologie emergenti, e nessuna azienda — indipendentemente dalle dimensioni o dalla nazionalità — è al riparo da verifiche e sanzioni.

Cosa devono fare le aziende che operano nel campo dell’AI

Per le aziende che sviluppano o utilizzano sistemi di intelligenza artificiale, la vicenda Replika offre indicazioni pratiche e urgenti. È fondamentale adottare un approccio proattivo alla conformità normativa, che includa:

• Valutazione d’impatto sulla protezione dei dati (DPIA): obbligatoria per i trattamenti ad alto rischio, come quelli basati su AI che elaborano dati sensibili o riguardano soggetti vulnerabili.
• Verifica dell’età degli utenti: sistemi efficaci e documentati, non solo dichiarazioni formali nell’informativa.
• Basi giuridiche chiare per ogni tipo di trattamento dei dati personali.
• Trasparenza verso gli utenti su come i loro dati vengono raccolti, usati e conservati.
• Minimizzazione dei dati: raccogliere solo ciò che è strettamente necessario per il funzionamento del servizio.

Investire in processi di verifica, trasparenza e protezione dei dati non è solo un obbligo legale: è anche una strategia per costruire fiducia e credibilità con gli utenti, in un mercato sempre più attento alla tutela della privacy.

Il quadro normativo di riferimento: GDPR e AI Act

Il caso Replika si inserisce in un contesto normativo in rapida evoluzione. Oltre al GDPR, che continua a essere il principale strumento di tutela dei dati personali in Europa, è entrato in vigore l’AI Act — il primo regolamento europeo specificamente dedicato all’intelligenza artificiale. Questo testo introduce obblighi aggiuntivi per i sistemi AI classificati come ad alto rischio, con sanzioni che possono arrivare fino al 6% del fatturato globale annuo dell’azienda.

👉 Leggi anche: AliExpress multata di 550 milioni dall'Ue: cosa cambia per i consumatori italiani

La combinazione di GDPR e AI Act crea un quadro normativo tra i più stringenti al mondo, che le aziende tecnologiche — europee e non — devono necessariamente conoscere e rispettare per operare nel mercato italiano ed europeo.

FAQ: domande frequenti sul Garante Privacy e l’intelligenza artificiale

Perché il Garante Privacy può sanzionare aziende straniere come Luka Inc?

Il GDPR si applica a tutte le organizzazioni che trattano dati di residenti nell’Unione Europea, indipendentemente da dove ha sede l’azienda. Se un servizio è accessibile in Italia e raccoglie dati di utenti italiani, il Garante Privacy ha piena competenza a intervenire.

Quanto può arrivare a essere una sanzione GDPR per violazioni legate all’AI?

Le sanzioni GDPR possono arrivare fino a 20 milioni di euro oppure al 4% del fatturato globale annuo dell’azienda, se superiore. Con l’AI Act, le sanzioni per i sistemi ad alto rischio possono raggiungere il 6% del fatturato globale.

Cosa rischia un utente che usa app AI non conformi al GDPR?

L’utente rischia che i propri dati personali — inclusi conversazioni, preferenze e informazioni sensibili — vengano trattati senza adeguate garanzie di sicurezza, ceduti a terzi o utilizzati per addestrare modelli AI senza consenso esplicito.

Il blocco di un’app AI da parte del Garante è definitivo?

Non necessariamente. Il Garante può disporre un blocco temporaneo del trattamento dei dati in attesa che l’azienda adotti le misure correttive richieste. Se l’azienda si adegua, il servizio può riprendere a operare in Italia, come avvenuto nel caso di ChatGPT.

In conclusione, la multa inflitta a Luka Inc e le indagini in corso su altri sistemi di intelligenza artificiale rappresentano un passo importante verso una maggiore responsabilizzazione delle aziende tecnologiche. Per il settore è un’opportunità — e un obbligo — per riflettere sulle proprie pratiche e impegnarsi a rispettare non solo le normative, ma anche i principi etici fondamentali che guidano l’uso responsabile della tecnologia.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.