Garante Italija: GDPR i Tehnicka PII Uskladjenost
Azurirano za 2026.
Italijin Najaktivniji Regulator Privatnosti
Garante per la protezione dei dati personali je talijansko tijelo za podatke. To je najaktivniji AI regulator u EU.
Dvije akcije definiraju njihov pristup. U ozujku 2023. Garante je naredio OpenAI-u da prekine ChatGPT za korisnike u Italiji. Utvrdio je da nema valjane pravne osnove za upotrebu podataka. Takoer nije provjeru dobi za maloljetnnike. OpenAI je dodao kontrolu dobi, mogucnost odjave od treninga i obavijest o privatnosti na talijanskom. Usluga se vratila u travnju 2023.
U prosincu 2024. tijelo je kaznilo OpenAI s 15 milijuna eura. Tri stvari su uzrokovale kaznu: nema valjane pravne osnove, nema jasne obavijesti o upotrebi za trening i nema provjere dobi za maloljetnike.
Svaki AI alat koji obrauje osobne podatke od korisnika u Italiji mora zadovoljiti iste standarde.
Sto Je Propalo u OpenAI Slucaju
Kazna od 15 milijuna eura imenovala je specificne praznine. Svaka se preslikava na nedostajuci tehnicki nadzor.
Pravna osnova za podatke za trening: Garante je odbio "legitimni interes" kao osnovu za trening na korisnickim podacima. AI trening na osobnim podacima zahtijeva izriciti pristanak ili ugovornu osnovu. Samo pozivanje na "legitimni interes" nije dovoljno.
Transparentnost: Korisnici nisu bili obavijeshteni o tome kako se njihovi podaci koriste za trening. Nisu imali jasnu mogucnost odjave.
Provjera dobi: Maloljetnici su mogli pristupiti ChatGPT-u bez provjere dobi. Garante to tretira kao strogo pravilo za potrosacke AI alate.
Kljucna implikacija: Svaki AI sustav koji prima korisnicki unos u Italiji mora imati dokumentiranu GDPR pravnu osnovu. "Legitimni interes" je visoko rizican.
Talijanski Nacionalni Identifikatori
Italija ima jedinstvene formate ID-jeva. Genericki alati ih cesto propustaju. Vas detekscijski okvir mora pokriti sva tri.
Codice Fiscale
Codice fiscale je 16-znakasti nacionalni ID. Kodira zvukove prezimena, zvukove imena, datum rodenja, spol i rodni grad. Posljednji znak je kontrolna znamenka.
Garante tehnicka analiza iz 2024. utvrdila je da genericki NLP alati hvataju codice fiscale samo u 67 % slucajeva. Glavni propust: alati podudaraju 16-znakasti uzorak, ali preskacaju logiku kontrolne znamenke. Zatim generiraju lazne pozitivne. Alati koji preskacu pravila kodiranja imena takoer ne mogu potvrditi postojece kodove.
Dobro otkrivanje zahtijeva tri stvari:
- Potpuni algoritam kontrolnog znaka
- Pravila za ekstrakciju slova prezimena i imena
- Testiranje na stvarnim lokalnim podacima
Partita IVA
Partita IVA je talijanski 11-znamenkasti poslovni PDV broj. Posljednja znamenka je kontrolna znamenka. Pojavljuje se na racunima, ugovorima i poslovnim pismima. Vas alat mora pokrenuti algoritam kontrolne znamenke, ne samo prepoznati 11-znamenkasti uzorak.
Tessera Sanitaria
Zdravstvena iskaznica (tessera sanitaria) sadrzi codice fiscale kao dio svog koda. Zdravstveni podaci su posebna kategorija prema clanku 9. GDPR-a. To povecava zahtijevanu razinu mjera zastite.
Zahtjevi Garante za AI Alate
Smjernice Garante pokrivaju tri podrucja.
Prije AI obrade: PII mora biti pronaden i uklonjen prije nego sto podaci uu u AI sustav. Za AI alate koji se koriste u Italiji - ukljucujuci prosirenja preglednika i MCP posluzitelje - to znaci uklanjanje codici fiscali, partite IVA i zdravstvenih podataka iz upita prije slanja. Pogledajte nas vodic za uskladjenost za dokumentiranje ovog koraka.
Za AI trening: Potrebna je izricita pravna osnova. Pristanak je Garante-ov preferiran temelj za trening na korisnickom sadrzaju. "Legitimni interes" zahtijeva pisani test ravnoteze. Taj test mora pokazati da cilj treninga ne nadjacava prava korisnika na podatke.
Za AI izlaze: Sustavi koji pisu sadrzaj o stvarnim osobama moraju se baviti rizikom laznih tvrdnji. Garante je identificirao fabrikaciju osobnih podataka kao poseban rizik koji zahtijeva tehnicko rjesenje.
Praznina u 63 % Tvrtki
Garante istrazivanje iz 2024. utvrdilo je da 63 % talijanskih tvrtki nema GDPR-uskladenu AI politiku. Tijelo je tu prazninu ucnilo aktivnim fokusom revizije.
Politika bez tehnickih nadzora je tesko obraniva. Garante cilja tvrtke koje se oslanjaju na samonadzor zaposlenika u upotrebi podataka. Nas pregled sigurnosti pokazuje kako automatizirani nadzori podupiru pisanu politiku.
Cetiri Mjere za Garante Uskladjenost
1. Filtriranje PII-a prije slanja
Uklonite codice fiscale, partita IVA i tessera sanitaria podatke prije nego sto unos dode do bilo kojeg AI modela. To je temeljna tehnicka popravka koju logika Garante slucaja zahtijeva.
2. Talijanski NER
Koristite model prepoznavanja nazvanih entiteta treniran na talijanskom tekstu. Na primjer, spaCy it_core_news. Genericki modeli trenirani na engleskom propustaju talijanske uzorke imena. Pogledajte nas vodic za visejezienu PII detekciju za odabir modela.
3. Dokumentacija pravne osnove
Za svaki AI alat u upotrebi: zabiljesite pravnu osnovu. Ako je trening uklucen, dodajte test ravnoteze. Pohranite ovo tamo gdje revizori mogu brzo pronaci.
4. Trag revizije
Beljezte da je filtriranje izvrseno, koje su vrste entiteta pronadene i sto je uklonjeno. To inspektorima daje dokaze koji su im potrebni bez dugog rucnog pregleda.