Italiako Garante: AI eta PII Betetzea
Garanteren AI Betearazpen Erregistroa
Italiako datu-organoa Garante da. EUko AI erregulatzaile aktiboena da. Bi ekintza handik bere ikuspegia definitzen dute.
2023ko martxoa — ChatGPT debekua: Garantek OpenAIri esan zion Italiarentzako erabiltzaileei ChatGPT geldiarazteko. Ez zuen oinarri juridiko baliozkorik aurkitu datuen erabilerarako. Adingabeen egiaztapenik ere ez zuen aurkitu. OpenAIk egiaztapenak gehitu zituen, prestakuntzarako uko egiteko aukera eta italianerazko pribatutasun-oharra. Zerbitzua 2023ko apirilean itzuli zen.
2024ko abendua — €15M isuna: Garantek OpenAIri €15 milioi isun jarri zion. Hiru huts eragin zuen isuna. Lehena: oinarri juridiko baliozkoa ez izatea. Bigarrena: prestakuntza-erabilerari buruzko argitasun txikia. Hirugarrena: adingabeen egiaztapenik ez.
Irekitako ikerketak (2024-2025): Agintaritzak Replika, Worldcoin eta AI startup batzuen aurkako ikerketak abiarazi zituen.
Italia AI tresnen erabilerarako EUko arrisku handieneko lekua da. Betetze-urratsik gabe erregistro pertsonalak kudeatzen dituen edozein tresnak arrisku juridikoa sortzen du. Goiz jokatu.
Garantek Eskatzen Duena
Betearazpen-ekintzek argitzen dute erakundeek AI tresnak erabiltzen dituztenean zer egin behar duten.
Oinarri juridikoa: AI tresna bakoitzak GDPR 6. artikuluaren arabera dokumentatutako oinarri juridikoa behar du. Agintaritzak "interes legitimoa" AI prestakuntzarako zalantzan jartzen du. Baimena edo kontratu-beharra dira nahiago oinarriak.
Datu Prozesatze Akordioak: Hirugarren alderdiko AI tresnak prozesatzaile gisa erabiltzen dituzten enpresek GDPR-bateragarriak diren DPAak eduki behar dituzte. Agintaritzak egiaztatu zuen saltzaileen DPAek datu-erabilera mugak betetzen zituzten. Hutsuneak azterketa erakartzen du.
Sarrera-kontrolak: Agintaritzaren legeez kanpoko prozesatzeari buruzko arreta sarrera-kontrolak eskatzen ditu. Erregistro pertsonalak AI modelo batera iritsi aurretik kentzen dituzten iragazki teknikoek oinarrizko arazoa konpontzen dute. Ikusi gure betetze-gida zer dokumentatu behar den.
Adinen egiaztapena: Kontsumitzaileentzako irekitako AI sistemek adingabeen adina egiaztatu behar dute. Arau hau ChatGPT debekatzearen ondoren etorri zen.
Oharra argiak: Pribatutasun-oharrak italianeraz egon behar dira. Azaldu behar dute AIak erregistro pertsonalak nola erabiltzen dituen, prestakuntza-erabilera barne.
%63ko Enpresa-Hutsunea
2024ko Garante inkesta batek aurkitu zuen enpresen %63ak ez dutela GDPRrekin lerrokatutako AI erabilera-politikarik. Hutsune hau handitzen da agintaritzak bere AI programa zabaltzen duen heinean.
DPO izena emate-kopurua %340 igo zen ChatGPT debekatzearen ondoren. Enpresek ikusi zuten DPOrik gabeko AI erabilerak arrisku juridikoa sortzen zuela. Baina DPO bat ez da nahikoa. Kontrol tekniko gabeko idatzizko politika zaila da betearazteko. Agintaritzak hutsune honetan jartzen du arreta: langileen auto-kontrolean oinarritzen diren enpresak. Gure babes-ikuspegiak erakusten du kontrolek politikari nola laguntzen dioten.
Betetzerako Konfigurazio Teknikoa
Italiako erabiltzaileak dituzten enpresetarako, Garante-lerrokatutako konfigurazioak honako hau dakar.
Aurrebidalketako PII iragazketa: Chrome Luzapen edo MCP Zerbitzari bat erabiltzailearen eta AI modeloaren artean jartzen da. Erregistro pertsonalak modelora iritsi aurretik kentzen ditu. Sarrerarik ez pertsonalak ez da legez kanpoko prozesatzea. Hau da oinarrizko konponketa.
Italiako entitate-mota espezifikoak: Estandar PII tresnek tokiko ID motak galtzen dituzte. Zure tresnak hauek detektatu behar ditu:
- Codice fiscale — 16 karaktereko nazio-kode nazionala
- Partita IVA — 11 digituko enpresa-zenbakia
- Carta d'identita — nortasun-agiri nazionala
- Tessera sanitaria — codice fiscale gordintzen duen osasun-txartela
- Italiako IBAN formatuak
Codeice fiscale NAN nagusia da. Hori galtzeak gako-hutsune bat uzten du. Ikusi gure entitate-gida estaldura osoa ikusteko. Egin probak benetako tokiko datuetan.
Auditoria-pista: Garante ikuskapenek kontrol teknikoen frogarako eskatzen dute. Aurrebidalketako iragazketa abiatu zela erakusten duen erregistro zentralak ikuskatzaileei behar duten ebidentzia ematen die.
DPA erregistroak: AI saltzaile bakoitzarentzat: DPA berrikuspena osatuta gorde. Ohartu datu-erabilera mugez eta prestakuntza-baldintzez. Gorde hauek erraz aurki daitezkeen lekuan. Ikusi gure FAQ ohiko DPA galderei buruz.
Sektore-Fokua
Garantek sektore espezifikoetan jartzen du arreta.
Osasuna: Osasun-erregistroak arrisku handikoak dira GDPR 9. artikuluaren arabera. Pazienteen erregistroak kudeatzen dituen edozein AI tresnak oinarri juridiko esplizitua, DPA eta babes sendoak behar ditu. AI diagnostiko eta kliniko tresnek DPIAak behar dituzte.
Finantzak: Kontsumitzaileen profilean AIrekin azterketa egin da. Kreditu edo marketin lanetarako AI erabiltzen duten bankuek eta finantza-enpresek DPIAak eta azalgarritasun-kontrolak gehitu behar dituzte.
Giza baliabideak: Kontratatzeko, berrikusketarako eta langileen kontrolerako AI tresnek DPIAak behar dituzte. Garantek langileen kontrolari buruzko gidalerroak eman zituen 2023an.
Hezkuntza: Eskola AI tresnek arau gehigarriak dituzte 2024ko Garanteren ikasleen erregistroei buruzko gidalerroetan.
Sektore hauetako enpresek base-eskakizunetatik haraindiko sektore-erregistro espezifikoak behar dituzte. Ikusi gure kasu-azterlanak kideak nola kudeatzen dituen betetzea jakiteko.