Italiens Garante: KI und Datenschutz-Compliance
Aktualisiert für 2026
Die Durchsetzungsbilanz des Garante
Italiens Datenschutzbehörde ist der Garante per la protezione dei dati personali. Er ist Europas aktivster KI-Regulierer. Zwei große Maßnahmen prägen seinen Ansatz.
März 2023 — ChatGPT-Sperre: Der Garante wies OpenAI an, ChatGPT für Nutzer in Italien auszusetzen. Die Behörde fand keine gültige Rechtsgrundlage für die Datenverarbeitung. Sie fand auch keine Altersüberprüfung für Minderjährige. OpenAI kam dem nach. Es fügte Alterskontrollen, eine Opt-out-Option für das Training und eine Datenschutzerklärung auf Italienisch hinzu. Der Dienst wurde im April 2023 wiederhergestellt.
Dezember 2024 — Bußgeld von 15 Mio. €: Der Garante verhängte gegen OpenAI ein Bußgeld von 15 Millionen Euro. Drei Verstöße führten zu dem Bußgeld. Erstens: keine gültige Rechtsgrundlage. Zweitens: mangelnde Transparenz über die Trainingsnutzung. Drittens: keine Alterskontrolle für Minderjährige.
Laufende Ermittlungen (2024–2025): Die Behörde leitete Untersuchungen gegen Replika, Worldcoin und mehrere KI-Startups ein.
Italien ist der risikoreichste Standort in der EU für den KI-Einsatz. Jedes Tool, das personenbezogene Daten ohne klare Konformitätsmaßnahmen verarbeitet, schafft rechtliche Risiken. Handeln Sie früh.
Was der Garante fordert
Die Durchsetzungsmaßnahmen klären, was Unternehmen bei der Nutzung von KI-Tools tun müssen.
Rechtsgrundlage: Jedes KI-Tool benötigt eine dokumentierte Rechtsgrundlage gemäß DSGVO Artikel 6. Die Behörde zweifelt an „berechtigtem Interesse" für KI-Training. Ausdrückliche Einwilligung oder Vertragserforderlichkeit sind die bevorzugten Grundlagen.
Datenverarbeitungsverträge: Unternehmen, die KI-Tools von Drittanbietern als Auftragsverarbeiter nutzen, müssen DSGVO-konforme Auftragsverarbeitungsverträge haben. Die Behörde prüfte, ob Anbieter-AVVs die Datenbeschränkungen abdecken. Lücken ziehen Prüfungen nach sich.
Eingabekontrollen: Der Fokus der Behörde auf unrechtmäßige Verarbeitung erfordert Eingabekontrollen. Technische Filter, die personenbezogene Daten entfernen, bevor sie ein KI-Modell erreichen, lösen das Kernproblem. Weitere Details zu unserer Konformitätsdokumentation.
Altersüberprüfung: KI-Systeme, die für Verbraucher zugänglich sind, müssen das Alter von Minderjährigen überprüfen. Diese Regel folgte direkt aus der ChatGPT-Sperre.
Klare Hinweise: Datenschutzerklärungen müssen auf Italienisch sein. Sie müssen erklären, wie das KI-System persönliche Daten nutzt, einschließlich der Nutzung für das Training.
Die 63-Prozent-Lücke
Eine Garante-Umfrage 2024 ergab, dass 63 % der Unternehmen keine DSGVO-konformen KI-Nutzungsrichtlinien haben. Diese Lücke wächst, da die Behörde ihr KI-Programm ausweitet.
DSB-Anmeldungen stiegen nach der ChatGPT-Sperre um 340 %. Unternehmen erkannten, dass KI-Einsatz ohne DSB-Beteiligung rechtliche Risiken birgt. Ein DSB allein reicht aber nicht. Schriftliche Richtlinien ohne technische Kontrollen lassen sich schwer durchsetzen. Die Behörde zielt genau auf diese Lücke: Firmen, die sich auf die Eigenverantwortung der Mitarbeiter verlassen. Unsere Schutz-Übersicht zeigt, wie Kontrollen Richtlinien stützen.
Technische Umsetzung
Für Unternehmen mit Nutzern in Italien umfasst das konforme technische Setup Folgendes.
Vorgelagerte PII-Filterung: Eine Chrome-Erweiterung oder ein MCP-Server sitzt zwischen Nutzer und KI-Modell. Er entfernt personenbezogene Daten, bevor sie das Modell erreichen. Keine persönlichen Daten bedeuten keine unrechtmäßige Verarbeitung. Das ist die Kernlösung.
Lokale Entitätstypen: Standard-PII-Tools übersehen lokale Ausweistypen. Ihr Tool muss folgende erkennen:
- Codice fiscale — 16-stelliger nationaler ID-Code
- Partita IVA — 11-stellige Unternehmensnummer
- Carta d'identità — nationaler Personalausweis
- Tessera sanitaria — Krankenversicherungskarte mit codice fiscale
- Italienische IBAN-Formate
Das codice fiscale ist der wichtigste nationale Identifikator. Ihn zu übersehen hinterlässt eine kritische Lücke. Unser Entitätsleitfaden bietet vollständige Abdeckungsdetails. Testen Sie mit echten lokalen Daten.
Prüfpfad: Garante-Inspektionen verlangen Nachweise über technische Kontrollen. Ein zentrales Protokoll zeigt, dass die vorgelagerte Filterung angewendet wurde.
AVV-Dokumentation: Für jeden KI-Anbieter: führen Sie eine abgeschlossene AVV-Prüfung. Notieren Sie Datenbeschränkungen und Trainingskonditionen. Bewahren Sie diese leicht auffindbar auf. Unser FAQ beantwortet häufige AVV-Fragen.
Branchenspezifische Schwerpunkte
Der Garante konzentriert sich auf bestimmte Sektoren.
Gesundheitswesen: Gesundheitsdaten sind hochriskant gemäß DSGVO Artikel 9. Jedes KI-Tool, das Patientendaten verarbeitet, benötigt eine ausdrückliche Rechtsgrundlage, einen AVV und starke Schutzmaßnahmen. KI-Diagnose- und Dokumentationstools erfordern DPIAs.
Finanzdienstleistungen: Verbraucher-Profiling mit KI steht unter Beobachtung. Banken und Finanzunternehmen, die KI für Kreditentscheidungen oder Marketing nutzen, müssen DPIAs durchführen und Erklärbarkeitskontrollen einführen.
Personalwesen: KI-Tools für Einstellung, Beurteilungen und Mitarbeiterkontrolle erfordern DPIAs. Der Garante hat 2023 spezifische Leitlinien zur Mitarbeiterüberwachung veröffentlicht.
Bildung: Schul-KI-Tools unterliegen zusätzlichen Anforderungen gemäß den Garante-Leitlinien 2024 zum Schülerdatenschutz.
Unternehmen in diesen Bereichen benötigen sektorspezifische Dokumentation. Lesen Sie unsere Fallstudien, um zu erfahren, wie Kollegen mit Konformitätsfragen umgehen. Die Perspektive unseres Gründers finden Sie in unserem Gründer-Statement. Unsere Pläne und Tarife decken alle Sektoren ab.