Италианският Garante: съответствие на AI и лични данни
Актуализирано за 2026 г.
Историята на прилагане на AI от Garante
Органът за защита на данни в Италия е Garante. Той е най-активният регулатор на AI в ЕС. Две големи действия определят неговия подход.
Март 2023 г. -- забрана на ChatGPT: Garante нареди на OpenAI да спре ChatGPT за потребители в Италия. Установи липса на валидно правно основание за използването на данните. Установи и липса на проверка на възрастта за непълнолетни. OpenAI добави проверки на възрастта, опция за отказ от обучение и известие за поверителност на италиански. Услугата беше възстановена през април 2023 г.
Декември 2024 г. -- глоба от 15 млн. евро: Garante глоби OpenAI с 15 милиона евро. Три нарушения причиниха глобата. Първо: липса на валидно правно основание. Второ: лоша яснота относно използването за обучение. Трето: липса на проверка на възрастта за непълнолетни.
Текущи разследвания (2024-2025 г.): Органът започна разследвания срещу Replika, Worldcoin и няколко AI стартъпа.
Италия е най-рисковото място в ЕС за използване на AI инструменти. Всеки инструмент, обработващ лични записи без ясни стъпки за съответствие, създава правен риск. Действайте рано.
Какво изисква Garante
Наказателните действия изясняват какво трябва да правят организациите при използване на AI инструменти.
Правно основание: Всеки AI инструмент се нуждае от документирано правно основание съгласно член 6 от GDPR. Органът се съмнява в "легитимния интерес" за обучение на AI. Изричното съгласие или необходимостта от договор са предпочитаните основания.
Споразумения за обработка на данни: Фирмите, използващи AI инструменти от трети страни като обработващи, трябва да имат SPD, отговарящи на GDPR. Органът проверяваше дали SPD на доставчиците покриват ограниченията за използване на данни. Пропуските тук привличат проверка.
Входящи контроли: Фокусът на органа върху незаконната обработка налага входящи контроли. Технически филтри, премахващи личните записи преди достигането им до AI модела, решават основния проблем. Вижте нашето ръководство за съответствие за това какво да документирате.
Проверки на възрастта: AI системите, отворени за потребители, трябва да проверяват възрастта на непълнолетните. Това правило произтече от забраната на ChatGPT.
Ясни известия: Известията за поверителност трябва да бъдат на италиански. Те трябва да обясняват как AI използва личните записи, включително за обучение.
63-процентната пропаст в предприятията
Проучване на Garante от 2024 г. установи, че 63% от фирмите нямат политики за използване на AI, съответстващи на GDPR. Тази пропаст се увеличава с разширяването на AI програмата на органа.
Регистрациите на DPO нараснаха с 340% след забраната на ChatGPT. Фирмите видяха, че използването на AI без DPO създава правен риск. Но DPO сам по себе си не е достатъчен. Писмена политика без технически контроли е трудно изпълнима. Органът атакува тази пропаст: фирми, разчитащи на самоконтрол на персонала. Нашият преглед на защитата показва как контролите подкрепят политиката.
Техническа конфигурация за съответствие
За фирми с потребители в Италия конфигурацията, съответстваща на изискванията на Garante, включва следното.
Предварително филтриране на лични данни: Разширение за Chrome или MCP сървър стои между потребителя и AI модела. Той премахва личните записи преди да достигнат до модела. Никакви лични данни на входа означава никаква незаконна обработка. Това е основното решение.
Типове обекти, специфични за Италия: Стандартните инструменти за лични данни пропускат местните типове идентификатори. Вашият инструмент трябва да открива:
- Codice fiscale -- 16-символен код за национална идентификация
- Partita IVA -- 11-цифрен бизнес номер
- Carta d'identita -- национална лична карта
- Tessera sanitaria -- здравна карта, съдържаща codice fiscale
- Италиански формати IBAN
Codeice fiscale е основният национален идентификатор. Пропускането му оставя ключов пропуск. Вижте нашето ръководство за обекти за пълно покритие. Тествайте с реални местни данни.
Одитна следа: Проверките на Garante изискват доказателства за технически контроли. Централен журнал, показващ, че предварителното филтриране е работило, дава на проверяващите необходимите доказателства.
Записи на SPD: За всеки AI доставчик: съхранявайте попълнен преглед на SPD. Отбележете ограниченията за използване на данни и условията за обучение. Съхранявайте ги на лесно достъпно място. Вижте нашия FAQ за чести въпроси относно SPD.
Приоритетни области по сектори
Garante се насочва към специфични сектори.
Здравеопазване: Здравните записи са с висок риск съгласно член 9 от GDPR. Всеки AI инструмент, обработващ пациентски записи, се нуждае от изрично правно основание, SPD и силни гаранции. AI диагностичните и клиничните инструменти изискват ПВЗД.
Финанси: Профилирането на потребители с помощта на AI привлече вниманието. Банки и финансови фирми, използващи AI за кредити или маркетинг, трябва да провеждат ПВЗД и да добавят контроли за обяснимост.
Управление на човешки ресурси: AI инструментите за наемане, прегледи и мониторинг на персонала изискват ПВЗД. Garante издаде насоки за мониторинг на персонала през 2023 г.
Образование: Училищните AI инструменти са обект на допълнителни правила съгласно насоките на Garante от 2024 г. за записи на учениците.
Фирмите в тези сектори се нуждаят от записи, специфични за сектора, в допълнение към основните изисквания. Вижте нашите казуси, за да разберете как колегите се справят със съответствието. Перспективата на основателя за изграждане за регулирани пазари е в нашото изявление на основателя. Нашите планове и цени обхващат всички сектори и размери на фирми.