Garanten tekoälytäytäntöönpanon historia
Italialainen Garante per la protezione dei dati personali (Garante) vakiinnutti asemansa EU:n tiukimpana tekoälysääntelijänä sarjalla merkkipaalusratkaisuja:
Maaliskuu 2023 — ChatGPT:n väliaikainen kielto: Garante määräsi OpenAI:n keskeyttämään ChatGPT-palvelun italialaisille käyttäjille, todeten OpenAI:lla olevan riittämätön oikeusperuste italialaisten käyttäjien tietojen käsittelylle ja puuttuvan ikävarmennusmekanismi. OpenAI toteutti vaaditut muutokset (ikävarmennus, italiankielinen tietosuojakäytäntö, mahdollisuus kieltää tietojen käyttö koulutuksessa) ja palvelu palautettiin käyttöön huhtikuussa 2023.
Joulukuu 2024 — €15 miljoonan sakko OpenAI:lle: Garante määräsi OpenAI:lle €15 miljoonan sakon italialaisten käyttäjien henkilötietojen lainvastaisesta käsittelystä. Täytäntöönpanomääräyksessä viitattiin: riittävän oikeusperustan puuttumiseen, läpinäkyvyyden puutteeseen käyttäjätietojen hyödyntämisessä koulutuksessa sekä alaikäisten ikävarmennuksen laiminlyöntiin.
Käynnissä olevat tutkimukset (2024–2025): Garante käynnisti muodolliset tutkimukset useita Italiassa toimivia tekoälytoimittajia vastaan, mukaan lukien Replika (tekoälyseura), Worldcoin (biometriset tiedot) ja useat generatiivisen tekoälyn startupit.
Tämä malli vahvistaa Italian olevan EU:n korkein riskijurisdiktio tekoälytyökalujen käyttöönotolle ilman dokumentoituja vaatimustenmukaisuustoimenpiteitä.
Mitä Garante vaatii tekoälytyökalujen käyttäjiltä
Garanten täytäntöönpanotoimet ovat selkiyttäneet, mitä italialaisten organisaatioiden on tehtävä käyttäessään tekoälytyökaluja, jotka käsittelevät henkilötietoja:
Oikeusperustan dokumentointi: Jokainen tekoälytyökalu, joka käsittelee italialaisten käyttäjien henkilötietoja, vaatii dokumentoidun oikeusperustan GDPR:n 6 artiklan nojalla. Garante on suhtautunut epäilevästi "oikeutettuun etuun" perustuviin vaatimuksiin tekoälykoulutuksessa — nimenomainen suostumus tai sopimusvelvoite ovat suositeltavia perusteita.
Tietojenkäsittelysopimukset: Italialaisten organisaatioiden, jotka käyttävät kolmannen osapuolen tekoälytyökaluja tietojenkäsittelijöinä, on tehtävä GDPR-yhteensopivat tietojenkäsittelysopimukset. Garante tutki erityisesti, kattoivatko tekoälytoimittajien sopimukset riittävästi tietojen käyttörajoitukset.
Syötetietojen kontrollointi: Garanten täytäntöönpanofokus "italialaisten käyttäjien tietojen lainvastaiseen käsittelyyn" on johtanut vaatimukseen, että organisaatiot kontrolloivat tekoälyjärjestelmiin syötettäviä henkilötietoja. Tekniset kontrollit, jotka estävät italialaisten käyttäjien henkilötietojen pääsyn tekoälyjärjestelmiin ilman asianmukaista oikeusperustaa, vastaavat Garanten keskeiseen huoleen.
Ikävarmennus kuluttajille suunnatuille tekoälyjärjestelmille: ChatGPT-kiellon jälkeen Garante edellyttää italialaisille kuluttajille suunnattujen tekoälyjärjestelmien toteuttavan ikävarmennuksen alaikäisille.
Läpinäkyvyys: Italiankieliset tietosuojaselosteet, jotka selkeästi selittävät, miten tekoälyjärjestelmät käyttävät henkilötietoja, mukaan lukien mahdollinen käyttö koulutuksessa.
Italian yritysten 63 prosentin puute
Garanten vuoden 2024 tutkimus osoitti, että 63 % italialaisista tekoälytyökaluja käyttävistä yrityksistä puuttuu GDPR-yhteensopiva tekoälykäyttöpolitiikka. Tämä puute luo merkittävän täytäntöönpanoriskin Garanten laajentaessa tekoälytäytäntöönpano-ohjelmaansa.
Italialaiset tietosuojavastaavien (DPO) rekisteröinnit kasvoivat 340 % ChatGPT-kiellon jälkeen — kasvu johtui organisaatioista, jotka tunnistivat tekoälykäyttöönoton ilman tietosuojavastaavan osallistumista luovan merkittävän oikeudellisen riskin. Pelkkä tietosuojavastaavan nimeäminen ei kuitenkaan riitä ilman teknisiä kontrolleja, jotka toteuttavat tietosuojavastaavan käytännöt.
Juuri tähän tietosuojavastaavan käytäntö ilman teknisiä kontrolleja -aukoon Garanten täytäntöönpano kohdistuu: organisaatioihin, joilla on kirjalliset tekoälykäytännöt, mutta jotka luottavat työntekijöiden itsekontrolliin vaatimustenmukaisuuden varmistamisessa teknisten toimenpiteiden sijaan.
Tekninen toteutus Garante-vaatimustenmukaisuuteen
Italialaisille organisaatioille tai organisaatioille, joilla on italialaisia käyttäjiä, Garante-yhteensopiva tekninen toteutus tekoälyn käyttöön sisältää:
PII-suodatus ennen tekoälylle lähettämistä: Chrome-laajennus tai MCP Server -integraatio luo teknisen kerroksen, joka sieppaa tekoälylle lähetettävät syötteet ja poistaa italialaiset henkilötiedot ennen kuin ne saavuttavat tekoälymallin. Tämä vastaa Garanten keskeiseen huoleen "italialaisten käyttäjien tietojen lainvastaisesta käsittelystä" — jos italialaiset henkilötiedot poistetaan ennen lähetystä, ne eivät saavuta tekoälyjärjestelmää.
Italian erityiset tunnistetyypit: Italialaisten henkilötietojen havaitsemisen on katettava:
- Codice fiscale (italialainen verotunnus — 16-merkkinen aakkosnumeerinen kansallinen tunniste)
- Partita IVA (italialainen ALV-numero — 11-numeroinen yritystunniste)
- Carta d'identità (italialainen henkilökortti)
- Tessera sanitaria (italialainen sairaanhoitokortti, sisältää codice fiscalen)
- Italialaiset IBAN-muodot
Standardit henkilötietotyökalut ilman italialaisia tunnistetyyppejä ohittavat codice fiscalen — ensisijaisen italialaisen kansallisen tunnisteen — ja muut jurisdiktiokohtaiset tunnisteet.
Tarkistusketju viranomaistarkastuksia varten: Garanten tarkastuspyynnöt edellyttävät säännöllisesti osoitusta siitä, että tekoälyn käyttöä on valvottu asianmukaisilla teknisillä kontrolleilla. Keskitetty tarkistusketju, joka osoittaa, että italialaisten käyttäjätietojen osalta on sovellettu lähetystä edeltävää PII-suodatusta, tarjoaa tähän tarvittavan näytön.
Tietojenkäsittelysopimusten dokumentointi: Tietojenkäsittelijöinä käytettävien tekoälytyökalujen osalta: täydennetty DPA-tarkistusasiakirja kustakin tekoälytoimittajasta, mukaan lukien arvio koulutustietojen käyttöehdoista.
Garanten toimialakohtaiset painopistealueet
Garanten täytäntöönpano-ohjelma kohdistuu tiettyihin toimialoihin:
Terveydenhuolto: Garante käsittelee italialaisia terveystietoja GDPR:n 9 artiklan mukaisena korkean riskin aineistona. Italialaisia potilastietoja käsittelevä tekoälytyökalu vaatii nimenomaisen oikeusperustan, tietojenkäsittelysopimuksen ja tehostetut tekniset toimenpiteet. Garante on nimenomaisesti nostanut esiin tekoälydiagnostiikkatyökalut ja kliinisen dokumentoinnin tekoälyn DPIA-vaatimuksen kohteina.
Rahoituspalvelut: Tekoälyä hyödyntävä kuluttajaprofilointi on saanut Garanten huomion. Italialaisten pankkien ja rahoituslaitosten, jotka käyttävät tekoälyä luottopäätöksissä tai markkinoinnin personoinnissa, on suoritettava DPIA:t ja toteutettava selitettävyyskontrollit.
HR ja työsuhde: Rekrytointiin, suoritusarviointiin ja työntekijöiden valvontaan käytettävät tekoälytyökalut edellyttävät DPIA:ta Italian lain ja Garanten työntekijöiden valvontaa koskevan ohjeistuksen nojalla (Provvedimento 2023).
Koulutus: Italialaisissa oppilaitoksissa käytettävillä tekoälytyökaluilla on lisävaatimuksia Garanten opiskelijatietosuojaa koskevan ohjeistuksen (2024) mukaisesti.
Näillä toimialoilla toimivien organisaatioiden Garante-vaatimustenmukaisuus tekoälyasennuksille edellyttää toimialakohtaista dokumentointia yleisten vaatimusten lisäksi.
Lähteet: