Italijanski Garante: AI i PII sukladnost
Azurirano za 2026.
Evidencija provedbe AI od strane Garantea
Italijanska agencija za podatke je Garante. Najaktivniji je EU AI regulator. Dvije velike akcije definiraju njegov pristup.
Ozujak 2023. -- zabrana ChatGPT-a: Garante je naredio OpenAI-u da zaustavi ChatGPT za korisnike u Italiji. Utvrdio je da ne postoji valjana pravna osnova za koristenje podataka. Takodje nije pronadjena provjera dobi za maloljetnike. OpenAI je dodao provjere dobi, mogucnost iskljucivanja iz treniranja i obavijest o privatnosti na talijanskom. Usluga se vratila u travnju 2023.
Prosinac 2024. -- kazna od 15 milijuna eura: Garante je kaznio OpenAI s 15 milijuna eura. Tri propusta uzrokovala su kaznu. Prvo: nema valjane pravne osnove. Drugo: slaba jasnost o koristenju za treniranje. Trece: nema provjere dobi za maloljetnike.
Otvorene istrage (2024.-2025.): Tijelo je pokrenulo istrage protiv Replika, Worldcoin i nekoliko AI startupa.
Italija je EU zemlja s najvecim rizikom za koristenje AI alata. Svaki alat koji rukuje osobnim zapisima bez jasnih koraka sukladnosti stvara pravni rizik. Djelujte rano.
Sto Garante zahtijeva
Akcije provedbe razjasnjuju sto organizacije moraju uciniti kada koriste AI alate.
Pravna osnova: Svaki AI alat zahtijeva dokumentiranu pravnu osnovu prema clanku 6. GDPR-a. Tijelo dovodi u pitanje "legitimni interes" za AI treniranje. Eksplicitni pristanak ili nuznost ugovora su preferirani temelji.
Ugovori o obradi podataka: Tvrtke koje koriste AI alate trecih strana kao obradivace moraju imati GDPR-sukladne DPA-ove. Tijelo je provjeravalo jesu li DPA-ovi dobavljaca pokrivali ogranicenja koristenja podataka. Praznine ovdje privlace nadzor.
Kontrole unosa: Fokus tijela na nezakonitu obradu zahtijeva kontrole unosa. Tehnicka filtriranja koja skidaju osobne zapise prije nego sto dosegnu AI model rjesavaju temeljni problem. Pogledajte nas vodic za sukladnost za dokumentaciju.
Provjere dobi: AI sustavi otvoreni potrosacima moraju potvrditi dob maloljetnika. Ovo pravilo uslijedilo je iz zabrane ChatGPT-a.
Jasne obavijesti: Obavijesti o privatnosti moraju biti na talijanskom. Moraju objasniti kako AI koristi osobne zapise, ukljucujuci koristenje za treniranje.
Jaz od 63% u poduzecima
Istrazivanje Garantea iz 2024. otkrilo je da 63% tvrtki nema politike koristenja AI uskladjene s GDPR-om. Ovaj jaz raste kako tijelo siri svoj AI program.
Registracije DPO-a porasle su za 340% nakon zabrane ChatGPT-a. Tvrtke su shvatile da koristenje AI bez DPO-a stvara pravni rizik. Ali sam DPO nije dovoljan. Pisana politika bez tehnickih kontrola tesko je provediva. Tijelo ciljano rjesava ovaj jaz: tvrtke koje se oslanjaju na samodisciplinu osoblja. Nas pregled zastite pokazuje kako kontrole podupiru politiku.
Tehnicko postavljanje za sukladnost
Za tvrtke s korisnicima u Italiji, sukladna postavka s Garanteom ukljucuje sljedece.
Filtriranje PII prije slanja: Kromska prosirenja ili MCP Server stoje izmedju korisnika i AI modela. Skidaju osobne zapise prije nego sto dosegnu model. Nema osobnih podataka na ulazu znaci nema nezakonite obrade. Ovo je kljucno rjesenje.
Talijanski specificni tipovi entiteta: Standardni PII alati propustaju lokalne tipove identifikatora. Vas alat mora otkrivati:
- Codice fiscale -- 16-znacni nacionalni ID kod
- Partita IVA -- 11-znamenkasti poslovni broj
- Carta d'identita -- nacionalna osobna iskaznica
- Tessera sanitaria -- zdravstvena iskaznica koja sadrzi codice fiscale
- Talijanski IBAN formati
Codice fiscale je glavni nacionalni ID. Propustiti ga ostavlja kljucnu prazninu. Pogledajte nas vodic za entitete za potpuno pokrivanje. Provedite testove na stvarnim lokalnim podacima.
Revizijski trag: Garante inspekcije traze dokaz tehnickih kontrola. Centralni zapis koji pokazuje da je predpredajno filtriranje radilo daje inspektorima potrebne dokaze.
Zapisi o DPA-ovima: Za svakog AI dobavljaca: cuvajte dovrseni pregled DPA-a. Navedite ogranicenja koristenja podataka i uvjete treniranja. Pohranite ih tako da ih je lako pronaci. Pogledajte nas FAQ za cesta pitanja o DPA-u.
Sektorska podrucja fokusa
Garante cilja na specificne sektore.
Zdravstvo: Zdravstveni zapisi su visokorizicni prema clanku 9. GDPR-a. Svaki AI alat koji rukuje zapisima pacijenata zahtijeva eksplicitnu pravnu osnovu, DPA i jake zastitne mjere. AI dijagnosticki i klnicki alati zahtijevaju DPIA-ove.
Financije: Profiliranje potrosaca koriscenjem AI-a privuklo je nadzor. Banke i financijske tvrtke koje koriste AI za kredit ili marketing moraju provoditi DPIA-ove i dodavati kontrole objasnjivosti.
HR: AI alati za zaposljavanje, ocjene i pracenje osoblja zahtijevaju DPIA-ove. Garante je izdao smjernice o pracenju osoblja u 2023.
Obrazovanje: Skolski AI alati suocavaju se s dodatnim pravilima prema smjernicama Garantea iz 2024. o zapisima ucenika.
Tvrtke u tim sektorima trebaju sektorski specificne zapise povrh osnovnih zahtjeva. Pogledajte nase studije slucaja kako kolege rjesavaju sukladnost. Perspektiva naseg osnivaca o gradnji za regulirana trzista nalazi se na nasoj izjavi osnivaca. Nasi planovi i cijene pokrivaju sve sektore i velicine tvrtki.