Garante Itálie: soulad s GDPR a PII — technické aspekty
Aktualizováno pro rok 2026
Nejaktivnější italský regulátor v oblasti ochrany soukromí
Garante per la protezione dei dati personali je italský orgán pro ochranu dat. Je nejaktivnějším regulátorem AI v EU.
Jeho přístup definují dvě zásadní akce. V březnu 2023 Garante nařídil OpenAI, aby přestal poskytovat ChatGPT uživatelům v Itálii. Zjistil, že pro využití dat neexistuje platný právní základ a že pro nezletilé neexistuje žádná věková kontrola. OpenAI zavedl věkové kontroly, možnost odmítnutí tréninku a oznámení o ochraně soukromí v italštině. Služba se vrátila v dubnu 2023.
V prosinci 2024 udělil úřad OpenAI pokutu 15 milionů eur. Ke pokutě vedly tři věci: žádný platný právní základ, žádné jasné oznámení o využití dat pro trénink a žádná věková kontrola pro nezletilé.
Každý nástroj AI, který zpracovává osobní data uživatelů v Itálii, musí splňovat tytéž standardy.
Co selhalo v případu OpenAI
Pokuta 15 milionů eur pojmenovala konkrétní mezery. Každá z nich odpovídá chybějící technické kontrole.
Právní základ pro tréninková data: Garante odmítl „oprávněný zájem“ jako základ pro trénink na uživatelských datech. Trénink AI na osobních datech vyžaduje výslovný souhlas nebo smluvní základ. Samotné odvolání se na „oprávněný zájem“ nepostačuje.
Transparentnost: Uživatelé nebyli informováni o tom, jak jsou jejich data využívána pro trénink. Neměli jasnou možnost odhlášení.
Věková ověření: Nezletilí mohli přistupovat k ChatGPT bez jakékoli věkové kontroly. Garante to považuje za závazné pravidlo pro spotřebitelské nástroje AI.
Klíčový důsledek: Každý AI systém přijímající vstupy od uživatelů v Itálii musí mít zdokumentovaný právní základ podle GDPR. „Oprávněný zájem“ je vysoce rizikový.
Italské národní identifikátory
Itálie má jedinečné formáty identifikátorů. Generické nástroje je často přehlíží. Váš detekční zásobník musí pokrývat všechny tři.
Codice fiscale
Codice fiscale je 16místné národní ID. Kóduje zvuky příjmení, zvuky jména, datum narození, pohlaví a město narození. Poslední znak je kontrolní číslice.
Technická analýza Garante z roku 2024 zjistila, že generické NLP nástroje zachycují codice fiscale pouze v 67 % případů. Hlavní příčina selhání: nástroje párují 16místný vzor, ale přeskakují logiku kontrolní číslice. Tím produkují falešně pozitivní výsledky. Nástroje, které přeskočí pravidla pro extrakci písmen jmen, také nemohou ověřit existující kódy.
Správná detekce vyžaduje tři věci:
- Plný algoritmus pro kontrolní znak
- Pravidla pro extrakci písmen příjmení a jména
- Testování oproti skutečným místním datům
Partita IVA
Partita IVA je italské 11místné číslo DPH pro firmy. Poslední číslice je kontrolní číslice. Vyskytuje se na fakturách, ve smlouvách a obchodní korespondenci. Váš nástroj musí spustit algoritmus kontrolní číslice, nestačí párovat 11místný vzor.
Tessera sanitaria
Zdravotní průkaz (tessera sanitaria) obsahuje jako část svého kódu codice fiscale. Zdravotní data jsou zvláštní kategorií podle článku 9 GDPR. To zvyšuje požadovanou úroveň záruk.
Požadavky Garante na nástroje AI
Pokyny Garante pokrývají tři oblasti.
Před zpracováním AI: PII musí být nalezeno a odstraněno ještě před vstupem dat do AI systému. Pro nástroje AI používané v Itálii — včetně rozšíření prohlížeče a MCP serverů — to znamená odstranění codici fiscali, partite IVA a zdravotních dat z promptů před jejich odesláním. Postup pro dokumentaci tohoto kroku viz náš průvodce souladem.
Pro trénink AI: Je vyžadován výslovný právní základ. Garante preferuje jako základ pro trénink na uživatelském obsahu souhlas. „Oprávněný zájem“ vyžaduje písemný vyvažovací test. Tento test musí prokázat, že cíl tréninku nepřeváží nad datovými právy uživatelů.
Pro výstupy AI: Systémy, které vytvářejí obsah o skutečných osobách, musí řešit riziko nepravdivých tvrzení. Garante označil falešně vygenerované osobní údaje jako samostatné riziko vyžadující technické řešení.
Mezera 63 % u podniků
Průzkum Garante z roku 2024 zjistil, že 63 % italských firem nemá politiku AI sladěnou s GDPR. Úřad z této mezery učinil aktivní prioritu auditů.
Politiku bez technických kontrol je obtížné obhájit. Garante se zaměřuje na firmy, které spoléhají na vlastní sebekontrolu zaměstnanců v oblasti využívání dat. Náš přehled bezpečnosti ukazuje, jak automatizované kontroly podpírají písemnou politiku.
Čtyři kontroly pro soulad s požadavky Garante
1. Filtrování PII před odesláním
Odstraňte codice fiscale, partita IVA a data tessera sanitaria dříve, než vstup dosáhne jakéhokoli AI modelu. Jde o základní technické opatření, které logika případů Garante vyžaduje.
2. Italský NER
Používejte model pojmenovaných entit trénovaný na italských textech, například spaCy it_core_news. Generické modely trénované na angličtině přehlíží italské vzory jmen. Výběr modelu viz náš průvodce vícejazyčnou detekcí PII.
3. Dokumentace právního základu
Pro každý používaný nástroj AI zapište právní základ. Pokud je zapojen trénink, doplňte vyvažovací test. Uchovávejte tyto záznamy tak, aby je auditoři mohli rychle nalézt.
4. Auditní stopa
Protokolujte, že filtrování proběhlo, které typy entit byly nalezeny a co bylo odstraněno. To poskytuje inspektorům potřebné důkazy bez zdlouhavé manuální kontroly.