Intelligenza artificiale e Garante privacy: attenti a dati ed età
Mentre l’Intelligenza artificiale (IA) continua la sua conquista, due cruciali questioni privacy restano in un limbo normativo. È quanto emerge dal recente provvedimento n. 232 del 10 aprile 2025 del Garante italiano per la protezione dei dati personali. I nodi irrisolti riguardano: la liceità del trattamento dati senza esplicito consenso e le modalità efficaci per verificare l’età degli utenti che accedono a servizi riservati ai maggiorenni.
Il caso Replika: multa e lacune evidenti
Il provvedimento si articola in tre punti chiave. Primo, la conferma di una sanzione da 5 milioni di euro alla statunitense Luka Inc., creatrice del chatbot di Intelligenza artificiale “Replika”. Questa piattaforma, presentata come un “compagno AI” per migliorare umore e benessere emotivo, è stata penalizzata per violazioni del GDPR risalenti al febbraio 2023. Replika, che consente di creare un amico virtuale come confidente o partner, risultava sprovvista di un adeguato sistema di verifica dell’età all’iscrizione, nonostante si dichiarasse per maggiorenni. Una grave carenza, sottolinea il Garante, non ancora colmata e, come tale, passibile di sanzione.
Basi giuridiche sull’intelligenza artificiale in attesa di chiarimenti
Il secondo profilo solleva interrogativi fondamentali sull’intero ciclo di vita dei sistemi di Intelligenza artificiale. Il Garante ha rinviato a future indagini la delicata questione delle “basi giuridiche” lecite per il trattamento dati. Molte piattaforme IA, incluso Replika al tempo delle violazioni, cercano di aggirare il consenso facendo leva sul “legittimo interesse”. Tuttavia, Replika è stata sanzionata anche per non aver nemmeno dichiarato chiaramente nelle informative le basi giuridiche utilizzate. Oltre al problema formale (ovvero quello di dichiararle), resta aperto quello sostanziale: quale base sia effettivamente valida per l’IA, specialmente nell’addestramento dei modelli. La risposta avrà valore generale per il settore.
Verifica dell’età: una sfida aperta
Il terzo aspetto evidenzia l’assenza di soluzioni consolidate per il controllo dell’età online. Sebbene normative recenti (come la delibera Agcom n. 96/25/Cons per i siti pornografici, di cui abbiamo già parlato in questo articolo di approfondimento) offrano spunti tecnici applicabili anche altrove, il problema per le piattaforme basate su Intelligenza artificiale resta complesso e irrisolto a livello sistemico.
Oltre la multa: ulteriori responsabilità per Replika
Il Garante richiederà infine a Replika dettagli sulla valutazione dei rischi e sulle misure concrete adottate per proteggere i dati durante lo sviluppo e l’addestramento del suo modello linguistico. Saranno esaminati anche i tipi di dati processati e le tecniche di anonimizzazione o pseudonimizzazione implementate.
Conclusioni: IA in crescita, regole in evoluzione
Il caso Replika funge da monito: l’innovazione dell’Intelligenza artificiale non può prescindere dal rigoroso rispetto della privacy. Mentre nuove soluzioni IA inondano il mercato, permangono incertezze fondamentali sulle condizioni legittime di trattamento dei dati e su metodi affidabili per escludere i minori. L’esito delle indagini aperte dal Garante sulla liceità delle basi giuridiche sarà cruciale per definire il futuro quadro normativo dell’Intelligenza artificiale in Europa.
