Garante ایتالیا: GDPR و انطباق فنی PII
بهروزرسانی برای ۲۰۲۶
فعالترین ناظر حریم خصوصی ایتالیا
Garante per la protezione dei dati personali مرجع داده ایتالیا است و فعالترین ناظر هوش مصنوعی در اتحادیه اروپا محسوب میشود.
دو اقدام رویکرد آن را مشخص میکنند. در مارس ۲۰۲۳، Garante به OpenAI دستور داد ChatGPT را برای کاربران در ایتالیا متوقف کند — زیرا مبنای قانونی معتبری برای استفاده از داده یافت نشد و بررسی سنی برای کودکان وجود نداشت. OpenAI کنترلهای سنی، گزینه انصراف از آموزش و اطلاعیه حریم خصوصی به زبان ایتالیایی اضافه کرد و سرویس در آوریل ۲۰۲۳ بازگشت.
در دسامبر ۲۰۲۴، این مرجع OpenAI را ۱۵ میلیون یورو جریمه کرد. سه دلیل جریمه: فقدان مبنای قانونی معتبر، عدم اطلاعرسانی شفاف درباره استفاده آموزشی و فقدان بررسی سنی برای کودکان.
هر ابزار هوش مصنوعی که داده شخصی کاربران در ایتالیا را پردازش میکند باید همین استانداردها را رعایت کند.
آنچه در پرونده OpenAI اشتباه بود
جریمه ۱۵ میلیون یورویی شکافهای مشخصی را نام برد که هر یک به یک کنترل فنی غایب نگاشت میشود:
مبنای قانونی داده آموزشی: Garante «منافع مشروع» را بهعنوان مبنای آموزش بر روی داده کاربران رد کرد. آموزش هوش مصنوعی بر داده شخصی نیاز به رضایت صریح یا مبنای قراردادی دارد.
شفافیت: کاربران مطلع نشدند چگونه دادهشان برای آموزش استفاده میشود و هیچ گزینه انصراف واضحی نداشتند.
تأیید سن: کودکان میتوانستند بدون بررسی سنی به ChatGPT دسترسی پیدا کنند. Garante این را یک قانون سفتوسخت برای ابزارهای هوش مصنوعی مصرفی میداند.
پیامد کلیدی: هر سیستم هوش مصنوعی که ورودی کاربر را در ایتالیا میپذیرد باید مبنای GDPR مستند داشته باشد. «منافع مشروع» پُرخطر است.
شناسههای ملی ایتالیا
ایتالیا فرمتهای شناسه منحصربهفردی دارد. ابزارهای عمومی اغلب آنها را از دست میدهند. پشته شناسایی شما باید هر سه را پوشش دهد:
Codice Fiscale
کد مالی (codice fiscale) یک شناسه ملی ۱۶ کاراکتری است. صداهای نام خانوادگی، صداهای نام کوچک، تاریخ تولد، جنسیت و شهر تولد را رمزگذاری میکند. کاراکتر آخر رقم کنترل است.
تحلیل فنی Garante در سال ۲۰۲۴ نشان داد ابزارهای NLP عمومی codice fiscale را تنها ۶۷ درصد مواقع تشخیص میدهند. خرابی اصلی: ابزارها الگوی ۱۶ کاراکتری را تطبیق میدهند اما منطق رقم کنترل را نادیده میگیرند و سپس مثبت کاذب تولید میکنند.
شناسایی خوب به سه چیز نیاز دارد:
- الگوریتم کامل کاراکتر کنترل
- قوانین استخراج حرف نام خانوادگی و نام کوچک
- آزمایش بر روی داده محلی واقعی
Partita IVA
partita IVA شماره VAT تجاری ۱۱ رقمی ایتالیا است. آخرین رقم رقم کنترل است. در فاکتورها، قراردادها و نامههای تجاری ظاهر میشود. ابزار شما باید الگوریتم رقم کنترل را اجرا کند، نه فقط یک الگوی ۱۱ رقمی را تطبیق دهد.
Tessera Sanitaria
کارت سلامت (tessera sanitaria) codice fiscale را بهعنوان بخشی از کدش نگه میدارد. داده سلامت تحت ماده ۹ GDPR دسته خاص محسوب میشود که سطح تدابیر حمایتی الزامی را بالا میبرد.
الزامات Garante برای ابزارهای هوش مصنوعی
راهنمای Garante سه حوزه را پوشش میدهد:
پیش از پردازش هوش مصنوعی: PII باید پیش از ورود داده به سیستم هوش مصنوعی یافت و حذف شود. برای ابزارهای هوش مصنوعی مورد استفاده در ایتالیا — از جمله افزونههای مرورگر و سرورهای MCP — این به معنی حذف codici fiscali، partite IVA و داده سلامت از promptها قبل از ارسال آنها است.
برای آموزش هوش مصنوعی: مبنای قانونی صریح الزامی است. رضایت مبنای ترجیحی Garante برای آموزش بر محتوای کاربر است. «منافع مشروع» نیازمند یک آزمون تعادل مکتوب است که نشان میدهد هدف آموزش بر حقوق داده کاربران چیره نمیشود.
برای خروجیهای هوش مصنوعی: سیستمهایی که درباره افراد واقعی محتوا مینویسند باید ریسک ادعاهای کذب را مدیریت کنند. Garante داده شخصی ساختگی را یک ریسک مجزا نامیده که نیاز به رفع فنی دارد.
شکاف ۶۳ درصدی سازمانی
بررسی Garante در سال ۲۰۲۴ نشان داد ۶۳ درصد از شرکتهای ایتالیایی هیچ سیاست هوش مصنوعی همسو با GDPR ندارند. این مرجع این شکاف را به تمرکز ممیزی فعال تبدیل کرده است.
یک سیاست بدون کنترلهای فنی دشوار است. Garante شرکتهایی را هدف قرار میدهد که برای خودکنترلی کارمندان تکیه میکنند. نمای کلی امنیتی ما نشان میدهد کنترلهای خودکار چگونه از سیاست مکتوب پشتیبانی میکنند.
چهار کنترل برای انطباق با Garante
۱. فیلترینگ PII پیش از ارسال
codice fiscale، partita IVA و داده tessera sanitaria را پیش از رسیدن ورودی به هر مدل هوش مصنوعی حذف کنید. این رفع فنی اصلی است که منطق پرونده Garante میطلبد.
۲. NER به زبان ایتالیایی
از یک مدل تشخیص موجودیت آموزشدیده بر روی متن ایتالیایی استفاده کنید — برای مثال spaCy it_core_news. مدلهای عمومی آموزشدیده به زبان انگلیسی الگوهای نام ایتالیایی را از دست میدهند.
۳. مستندسازی مبنای قانونی
برای هر ابزار هوش مصنوعی در استفاده: مبنای قانونی را مکتوب کنید. اگر آموزش درگیر است، آزمون تعادل را اضافه کنید. این را در جایی نگه دارید که ممیزان بتوانند به سرعت پیدا کنند.
۴. مسیر حسابرسی
ثبت کنید که فیلترینگ اجرا شد، چه انواع موجودیتی یافت شدند و چه چیزی حذف شد. این به بازرسان شواهد مورد نیاز را بدون بررسی دستی طولانی میدهد.