Italský Garante: soulad AI a osobních údajů
Aktualizováno pro rok 2026
Přehled vymáhání Garante v oblasti AI
Italský orgán pro ochranu údajů je Garante. Jde o nejaktivnějšího regulátora AI v EU. Dvě velké akce definují jeho přístup.
Březen 2023 — zákaz ChatGPT: Garante nařídil OpenAI zastavit ChatGPT pro uživatele v Itálii. Neshledal žádný platný právní základ pro zpracování dat. Rovněž zjistil absenci ověření věku nezletilých. OpenAI přidal ověření věku, možnost odhlášení z trénování a oznámení o ochraně soukromí v italštině. Služba byla obnovena v dubnu 2023.
Prosinec 2024 — pokuta €15 milionů: Garante uložil OpenAI pokutu €15 milionů. Tři selhání pokutu způsobila. Za prvé: žádný platný právní základ. Za druhé: nedostatečná srozumitelnost ohledně využití pro trénování. Za třetí: žádné ověření věku nezletilých.
Probíhající šetření (2024–2025): Úřad zahájil šetření proti Replice, Worldcoinu a několika AI startupům.
Itálie je v EU místem s nejvyšším rizikem pro používání nástrojů AI. Jakýkoli nástroj nakládající s osobními záznamy bez jasných kroků k souladu vytváří právní riziko. Jednejte včas.
Co Garante vyžaduje
Vymáhací akce upřesňují, co musí organizace udělat při používání nástrojů AI.
Právní základ: Každý nástroj AI potřebuje zdokumentovaný právní základ dle článku 6 GDPR. Úřad pochybuje o „oprávněném zájmu“ pro trénování AI. Preferovanými důvody jsou výslovný souhlas nebo nezbytnost pro plnění smlouvy.
Smlouvy o zpracování dat: Firmy používající nástroje AI třetích stran jako zpracovatele musí mít smlouvy o zpracování dat (DPA) v souladu s GDPR. Úřad zkoumal, zda DPA dodavatelů pokrývaly omezení použití dat. Mezery v tomto ohledu přitahují pozornost.
Vstupní kontroly: Pozornost úřadu na nezákonné zpracování vyžaduje vstupní kontroly. Technické filtry odstraňující osobní záznamy před jejich předáním modelu AI řeší základní problém. Naše průvodce souladu vysvětluje, co dokumentovat.
Ověření věku: Systémy AI přístupné spotřebitelům musí ověřovat věk nezletilých. Toto pravidlo vyplynulo ze zákazu ChatGPT.
Srozumitelná oznámení: Oznámení o ochraně soukromí musí být v italštině. Musí vysvětlovat, jak AI používá osobní záznamy, včetně jejich využití pro trénování.
Mezera 63 % podniků
Průzkum Garante z roku 2024 zjistil, že 63 % firem postrádá politiky využívání AI v souladu s GDPR. Tato mezera se rozrůstá, jak úřad rozšiřuje svůj program pro AI.
Registrace DPO vzrostla o 340 % po zákazu ChatGPT. Firmy si uvědomily, že využívání AI bez DPO vytváří právní riziko. Ale samotný DPO nestačí. Písemnou politiku bez technických kontrol je obtížné vymáhat. Úřad se zaměřuje právě na tuto mezeru: na firmy spoléhající na to, že zaměstnanci sami sebe uhlídají. Naše přehledová stránka ochrany ukazuje, jak technické kontroly politiku podporují.
Technické nastavení pro soulad
Pro firmy s uživateli v Itálii zahrnuje nastavení v souladu s požadavky Garante následující prvky.
Filtrování osobních údajů před odesláním: Rozšíření prohlížeče nebo MCP Server se nachází mezi uživatelem a modelem AI. Odstraňuje osobní záznamy dříve, než se dostanou k modelu. Žádné osobní údaje na vstupu znamená žádné nezákonné zpracování. Toto je základní řešení.
Typy italských identifikátorů: Standardní nástroje pro PII přehlíží místní typy ID. Váš nástroj musí detekovat:
- Codice fiscale — 16znakový kód národního ID
- Partita IVA — 11místné obchodní číslo
- Carta d'identità — průkaz totožnosti
- Tessera sanitaria — zdravotní průkaz obsahující codice fiscale
- Italské formáty IBAN
Codice fiscale je hlavní národní identifikátor. Jeho přehlédnutí zanechává klíčovou mezeru. Naše průvodce entitami pokrývá úplný seznam. Provádějte testy na skutečných místních datech.
Auditní stopa: Inspekce Garante vyžadují důkaz o technických kontrolách. Centrální protokol dokládající, že filtrování před odesláním proběhlo, poskytuje inspektorům potřebné důkazy.
Záznamy DPA: Pro každého dodavatele AI: uchovávejte dokončenou revizi DPA. Zaznamenejte omezení použití dat a podmínky trénování. Ukládejte je na místě, kde jsou snadno dohledatelná. Naše FAQ odpovídá na časté dotazy k DPA.
Sektorová zaměření
Garante se zaměřuje na konkrétní sektory.
Zdravotnictví: Zdravotní záznamy jsou vysoce riziková data dle článku 9 GDPR. Jakýkoli nástroj AI zpracovávající záznamy pacientů vyžaduje výslovný právní základ, DPA a silné záruky. Diagnostické a klinické nástroje AI vyžadují DPIA.
Finance: Profilování spotřebitelů pomocí AI přitáhlo pozornost. Banky a finanční firmy používající AI pro úvěrové hodnocení nebo marketing musí provádět DPIA a přidávat kontroly vysvětlitelnosti.
HR: Nástroje AI pro nábor, hodnocení a monitorování zaměstnanců vyžadují DPIA. Garante vydal pokyny k monitorování zaměstnanců v roce 2023.
Vzdělávání: Nástroje AI ve školách čelí dodatečným pravidlům dle pokynů Garante z roku 2024 týkajících se záznamů studentů.
Firmy v těchto sektorech potřebují sektorově specifické záznamy nad rámec základních požadavků. Navštivte naše případové studie a zjistěte, jak se kolegové vypořádávají se soulady. Pohled zakladatele na budování pro regulované trhy naleznete v prohlášení zakladatele. Naše plány a sazby pokrývají všechny sektory a velikosti firem.