Garante איטליה: עמידה ב-GDPR ו-PII טכני
עודכן ל-2026
הרגולטור הפעיל ביותר לפרטיות באיטליה
ה-Garante per la protezione dei dati personali הוא הרשות לנתונים של איטליה. הוא הרגולטור AI הפעיל ביותר באיחוד האירופי.
שתי פעולות מגדירות את גישתו. במרץ 2023, ה-Garante אמר ל-OpenAI לעצור את ChatGPT למשתמשים באיטליה. הוא מצא אין בסיס משפטי תקף לשימוש בנתונים. הוא גם מצא אין בדיקת גיל לקטינים. OpenAI הוסיפה בקרות גיל, אפשרות ביטול אימון והודעת פרטיות באיטלקית. השירות חזר באפריל 2023.
בדצמבר 2024, הרשות קנסה את OpenAI €15 מיליון. שלושה דברים גרמו לקנס: אין בסיס משפטי תקף, אין הודעה ברורה על שימוש לאימון ואין בדיקת גיל לקטינים.
כל כלי AI שמטפל בנתונים אישיים ממשתמשים באיטליה חייב לעמוד באותם סטנדרטים.
מה נכשל במקרה OpenAI
הקנס בסך €15 מיליון מנה פערים ספציפיים. כל אחד ממפה לבקרה טכנית חסרה.
בסיס משפטי לנתוני אימון: ה-Garante דחה "אינטרס לגיטימי" כבסיס לאימון על נתוני משתמשים. אימון AI על נתונים אישיים דורש הסכמה מפורשת או בסיס חוזי. טענת "אינטרס לגיטימי" בלבד אינה עוברת.
שקיפות: המשתמשים לא נאמר להם כיצד הנתונים שלהם שימשו לאימון. לא היה להם אפשרות ביטול ברורה.
אימות גיל: קטינים יכלו לגשת ל-ChatGPT ללא בדיקת גיל. ה-Garante מתייחס לכך ככלל קשיח לכלי AI צרכני.
השלכה מרכזית: כל מערכת AI שמקבלת קלט משתמשים באיטליה חייבת להיות בעלת בסיס GDPR משפטי מתועד. "אינטרס לגיטימי" כרוך בסיכון גבוה.
מזהים לאומיים איטלקיים
לאיטליה יש פורמטי מזהה ייחודיים. כלים גנריים לעיתים קרובות מחמיצים אותם. מחסנית הזיהוי שלכם חייבת לכסות את שלושתם.
Codice Fiscale
ה-codice fiscale הוא תעודת זהות לאומית בת 16 תווים. הוא מקדד צלילי שם משפחה, צלילי שם פרטי, תאריך לידה, מגדר ועיר לידה. התו האחרון הוא ספרת ביקורת.
ניתוח טכני של ה-Garante מ-2024 מצא שכלי NLP גנריים תופסים את ה-codice fiscale ב-67% מהמקרים בלבד. הכשל העיקרי: כלים מתאימים את תבנית 16 התווים אך מדלגים על לוגיקת ספרת הביקורת. לאחר מכן הם מייצרים חיוביים שגויים. כלים שמדלגים על כללי חילוץ אותיות השם גם אינם יכולים לאמת קודים קיימים.
זיהוי טוב דורש שלושה דברים:
- אלגוריתם תו ביקורת מלא
- כללי חילוץ אותיות שם משפחה ושם פרטי
- בדיקה מול נתונים מקומיים אמיתיים
Partita IVA
ה-partita IVA הוא מספר מע"מ עסקי איטלקי בן 11 ספרות. הספרה האחרונה היא ספרת ביקורת. מופיע בחשבוניות, חוזים ומכתבים עסקיים. הכלי שלכם חייב להפעיל את אלגוריתם ספרת הביקורת, לא רק להתאים תבנית בת 11 ספרות.
Tessera Sanitaria
כרטיס הבריאות (tessera sanitaria) מכיל את ה-codice fiscale כחלק מהקוד שלו. נתוני בריאות הם מיוחדי קטגוריה לפי סעיף 9 של GDPR. זה מעלה את רמת ההגנה הנדרשת.
דרישות ה-Garante לכלי AI
הנחיית ה-Garante מכסה שלושה תחומים.
לפני עיבוד AI: PII חייב להימצא ולהוסר לפני שנתונים נכנסים למערכת AI. לכלי AI המשמשים באיטליה — כולל הרחבות דפדפן ושרתי MCP — זה אומר הסרת codici fiscali, partite IVA ונתוני בריאות מהנחיות לפני שליחתן. ראו את מדריך העמידה שלנו לאופן תיעוד שלב זה.
לאימון AI: נדרש בסיס משפטי מפורש. הסכמה היא הבסיס המועדף של ה-Garante לאימון על תוכן משתמשים. "אינטרס לגיטימי" מחייב מבחן איזון כתוב. מבחן זה חייב להראות שמטרת האימון אינה גוברת על זכויות הנתונים של המשתמשים.
לפלטי AI: מערכות שכותבות תוכן על אנשים אמיתיים חייבות לטפל בסיכון של טענות כוזבות. ה-Garante כינה נתונים אישיים מבודים כסיכון מובחן הדורש פתרון טכני.
פער ה-63% בארגונים
סקר ה-Garante מ-2024 מצא ש-63% מהחברות האיטלקיות אין להן מדיניות AI מותאמת GDPR. הרשות הפכה פער זה למוקד ביקורת פעיל.
מדיניות ללא בקרות טכניות קשה להגנה. ה-Garante מכוון לחברות המסתמכות על עובדים לפיקוח עצמי על שימוש בנתונים. סקירת האבטחה שלנו מראה כיצד בקרות אוטומטיות תומכות במדיניות כתובה.
ארבע בקרות לעמידת Garante
1. סינון PII לפני הגשה
הסירו codice fiscale, partita IVA ונתוני tessera sanitaria לפני שהקלט מגיע לכל מודל AI. זוהי התיקון הטכני המרכזי שלוגיקת מקרה ה-Garante דורשת.
2. NER באיטלקית
השתמשו במודל ישויות שמות שאומן על טקסט איטלקי. לדוגמה, spaCy it_core_news. מודלים גנריים שאומנו על אנגלית מחמיצים תבניות שמות איטלקיים. ראו את מדריך זיהוי PII הרב-לשוני שלנו לבחירת מודלים.
3. תיעוד הבסיס המשפטי
לכל כלי AI בשימוש: כתבו את הבסיס המשפטי. אם עיבוד מעורב, הוסיפו את מבחן האיזון. אחסנו אלה במקום שמבקרים יכולים למצוא במהירות.
4. נתיב ביקורת
רשמו שסינון פעל, אילו סוגי ישויות נמצאו ומה הוסר. זה מספק למפקחים את הראיות שהם צריכים ללא סקירה ידנית ממושכת.