Garante Italia: GDPR eta PII Betetzea Teknikoa
2026rako eguneratua
Italiako Pribatutasun Erregulatzaile Aktiboena
Garante per la protezione dei dati personali Italiako datu agintaritza da. EBko AI erregulatzaile aktiboena da.
Bi ekintza definitzen dute bere enfokea. 2023ko martxoan, Garantek OpenAIri ChatGPT Italiako erabiltzaileentzat geldiarazteko esan zion. Datu erabilerarako oinarri juridiko baliogabea aurkitu zuen. Gainera, adingabeen adinaren egiaztapenik ez zegoela aurkitu zuen. OpenAIk adin kontrolak, prestakuntza aukeratzeko aukera eta italierazko pribatutasun oharra gehitu zituen. Zerbitzua 2023ko apirilean itzuli zen.
2024ko abenduan, agintaritzak OpenAIri 15 milioi euroko isuna jarri zion. Hiru gauza eragin zuten isuna: oinarri juridiko baliogabea, prestakuntza erabilerari buruzko oharra ez zegoela eta adingabeen adinaren egiaztapenik ez.
Italiako erabiltzaileei dagokien datu pertsonalak kudeatzen dituen edozein AI tresnak estandar berberak bete behar ditu.
OpenAI Kasuan Zer Huts Egin Zuen
15 milioi euroko isunak hutsune zehatzak izendatu zituen. Bakoitzak kontrol tekniko faltsu bati dagokio.
Prestakuntza datuen oinarri juridikoa: Garantek erabiltzaile datuen prestakuntzarako oinarri gisa "interes legitimoa" baztertu zuen. AI prestakuntzak datu pertsonaletan baimen esplizitu edo kontratu oinarria behar du. "Interes legitimo" eskaera soilak ez du onartzen.
Gardentasuna: Erabiltzaileei ez zitzaien esan nola erabiltzen ziren beren datuak prestakuntzarako. Ez zeukaten aukera garbi bat.
Adinaren egiaztapena: Adingabeek ChatGPT adinaren egiaztapenik gabe sar ziteketen. Garantek hori kontsumitzaile AI tresnetarako arau gogor gisa tratatzen du.
Ondorio nagusia: Italiako erabiltzaile sarrerak hartzen dituen edozein AI sistemak GDPR oinarri juridiko dokumentatua behar du. "Interes legitimoa" arrisku handikoa da.
Italiako Nazio Identifikatzaileak
Italiak ID formatu berezi ditu. Tresna generikoek maiz hauek galtzen dituzte. Zure detekzio pilak hiru guztiak bete behar ditu.
Codice Fiscale
Codice fiscalea 16 karaktereko nazio IDa da. Abizen soinu ak, izen soinuak, jaiotze data, generoa eta jaiotze herria kodifikatzen ditu. Azken karakterea egiaztapen digitua da.
Garanteren 2024ko analisi teknikoak aurkitu zuen NLP tresna generikoek codice fiscalea %67ko denboratan soilik harrapatzen dutela. Hutsegite nagusia: tresnek 16 karaktereko eredua lotzen dute baina egiaztapen digitu logika saltzen dute. Ondoren positibo faltsuak sortzen dituzte. Izen-kodeketa arauak saltzen dituzten tresnek ere ezin dituzte dauden kodeak egiaztatu.
Detekzio onak hiru gauza behar ditu:
- Egiaztapen karaktere algoritmo osoa
- Abizen eta izenen letra erauzte arauak
- Tokiko datu errealetan proba egitea
Partita IVA
Partita IVA Italiako 11 zifrako negozio BEZ zenbakia da. Azken digitu egiaztapen digitua da. Fakturetan, kontratuetan eta negozio gutunetan agertzen da. Zure tresnak egiaztapen digitu algoritmoa exekutatu behar du, ez soilik 11 zifrako eredua lotu.
Tessera Sanitaria
Osasun txartelak (tessera sanitaria) bere kodearen zati gisa codice fiscalea biltzen du. Osasun datuak GDPR 9. artikuluaren azpian kategoria berezikoak dira. Honek beharrezko babes maila igotzen du.
Garanteren AI Tresnen Eskakizunak
Garanteren orientazioak hiru eremu biltzen ditu.
AI prozesatze aurretik: PII bilatu eta kendu egin behar da datuak AI sisteman sartu aurretik. Italia-ko erabiltzaileentzat AI tresnetarako — nabigatzaileen luzapenak eta MCP zerbitzariak barne — honek esan nahi du codici fiscali, partite IVA eta osasun datuak aginduetik kentzea bidali aurretik. Ikusi gure betetzea gida urrats hau nola erregistratu.
AI prestakuntzarako: Oinarri juridiko esplizitua behar da. Baimena da Garanteren oinarri nahiago erabiltzaile edukian prestakuntzarako. "Interes legitimoak" idatzizko orekaketa proba behar du. Proba horrek erakutsi behar du prestakuntza helburuak ez dituela erabiltzaileen datu eskubideak gainindartzen.
AI irteeretatik: Pertsona errealen inguruan edukia idazten duten sistemek erreklamazio faltsuak eragiteko arriskua jorratzen dute. Garantek datu pertsonal fabrikatuak babes tekniko bat behar duen arrisku bereizia izendatu du.
%63ko Enpresa Tartea
2024ko Garante inkestak aurkitu zuen Italiar enpresen %63k GDPR-lerrokatutako AI politikarik ez duela. Agintaritzak hutsune hau ikusketa foku aktibo bihurtu du.
Kontrol teknikorik gabeko politika defendatzea zaila da. Garantek langileek datuen erabilera auto-kontrolatzen dutela onartzen duten enpresak bideratzen ditu. Gure segurtasun ikuspegi orokorrak erakusten du kontrol automatizatuek politika idatzia nola babesten duten.
Garante Betetzearen Lau Kontrol
1. Aurre-bidalketako PII iragazpena
Kendu codice fiscale, partita IVA eta tessera sanitaria datuak sarrera edozein AI eredura iritsi aurretik. Hau da Garanteren kasuzko logikak eskatzen duen kontrol tekniko nagusia.
2. Italierazko NER
Erabili italierazko testuan trebatutatko entitate eredu bat. Adibidez, spaCy it_core_news. Ingelesez trebatutatko eredu generikoek italiar izen ereduak galtzen dituzte. Ikusi gure hizkuntza anitzeko PII detekzio gida eredu hautaketa lortzeko.
3. Oinarri juridikoen dokumentazioa
Erabilitako AI tresna bakoitzerako: idatzi oinarri juridikoa. Prestakuntza sartuta badago, gehitu orekaketa proba. Gorde ikuskatzaileek azkar aurkitu ahal dezaketen lekuan.
4. Auditoriaren arrastoa
Erregistratu iragazpena exekutatu dela, entitate mota zein aurkitu diren eta zer kendu den. Honek ikuskatzaileei behar duten froga ematen die berrikuste manual luzerik gabe.