Garante Olaszország: GDPR- és PII-műszaki megfelelőség
Frissítve 2026-ra
Olaszország legaktívabb adatvédelmi hatósága
A Garante per la protezione dei dati personali az olasz adatvédelmi hatóság, és egyben az EU legtevékenyebb AI-szabályozója.
Két intézkedés jellemzi megközelítését. 2023 márciusában a Garante felszólította az OpenAI-t, hogy az olaszországi felhasználók számára szüntesse be a ChatGPT szolgáltatását: nem talált érvényes jogalapot az adatfelhasználáshoz, és nem volt kiskorú-ellenőrzés sem. Az OpenAI korvédelmi intézkedéseket, képzési leiratkozási lehetőséget és olasz nyelvű adatkezelési tájékoztatót adott hozzá, majd a szolgáltatás 2023 áprilisában visszatért.
2024 decemberében a hatóság 15 millió eurós bírságot szabott ki az OpenAI-ra. A bírság három hiányosság miatt született: nem volt érvényes jogalap, nem volt egyértelmű tájékoztatás a képzési adatfelhasználásról, és nem volt kiskorú-ellenőrzés.
Minden olyan AI-eszköznek, amely olaszországi felhasználóktól személyes adatokat kezel, ugyanezeket a követelményeket kell teljesítenie.
Mi vallott kudarcot az OpenAI-ügyben
A 15 millió eurós bírság konkrét hiányosságokat nevezett meg. Mindegyik egy hiányzó műszaki ellenőrzőre vezethető vissza.
Képzési adatok jogalapja: A Garante elutasította a „jogos érdeket” mint a felhasználói adatokon alapuló képzés jogalapját. Az AI személyes adatokon való képzéséhez kifejezett hozzájárulás vagy szerződéses jogalap szükséges. A „jogos érdek” önmagában nem elegendő.
Átláthatóság: A felhasználókat nem tájékoztatták arról, hogyan használják fel adataikat a képzéshez. Nem volt egyértelmű leiratkozási lehetőség.
Korhatárellenőrzés: Kiskorúak korhatárellenőrzés nélkül férhettek hozzá a ChatGPT-hez. A Garante ezt fogyasztói AI-eszközöknél kötelező szabálynak tekinti.
Főbb következmény: Minden olaszországi felhasználói bevitelt fogadó AI-rendszernek dokumentált GDPR-jogalappal kell rendelkeznie. A „jogos érdek” magas kockázatú jogalap.
Olasz nemzeti azonosítók
Olaszországnak egyedi azonosítóformátumai vannak. A generikus eszközök ezeket gyakran tévesztik el. A felismerési halmaznak mindháromra ki kell terjednie.
Codice Fiscale
A codice fiscale egy 16 karakteres nemzeti azonosítószám, amely kódolja a vezetéknév hangjait, az utónév hangjait, a születési dátumot, a nemet és a születési várost. Az utolsó karakter ellenőrző számjegy.
A Garante 2024-es műszaki elemzése szerint a generikus NLP-eszközök csupán 67%-os arányban ismerik fel a codice fiscale-t. A fő hiba: az eszközök illeszkednek a 16 karakteres mintára, de kihagyják az ellenőrző számjegy logikáját, így téves találatokat produkálnak. A névkódolási szabályokat kihagyó eszközök a meglévő kódokat sem tudják hitelesíteni.
A megbízható felismerés három dolgot igényel:
- Teljes ellenőrző karakter algoritmus
- Vezetéknév és utónév betűkinyerési szabályok
- Valós helyi adatokon végzett tesztelés
Partita IVA
A partita IVA Olaszország 11 jegyű üzleti ÁFA-száma, amelynek utolsó jegye ellenőrző szám. Számlákban, szerződésekben és üzleti levelekben jelenik meg. Az eszköznek futtatnia kell az ellenőrző számjegy algoritmusát — nem elegendő csupán a 11 jegyű mintára keresni.
Tessera Sanitaria
Az egészségügyi kártya (tessera sanitaria) kódja tartalmazza a codice fiscale-t. Az egészségügyi adatok a GDPR 9. cikke szerint különleges kategóriájú adatok, ami emeli a szükséges védelmi szintet.
A Garante követelményei az AI-eszközökre
A Garante útmutatója három területet fed le.
AI-feldolgozás előtt: A személyes azonosítókat meg kell találni és el kell távolítani, mielőtt az adatok AI-rendszerbe kerülnek. Az Olaszországban használt AI-eszközöknél — beleértve a böngészőbővítményeket és az MCP-szervereket — ez azt jelenti, hogy a codici fiscali azonosítókat, a partite IVA számokat és az egészségügyi adatokat el kell távolítani a promptból, mielőtt azok elküldésre kerülnek. A lépés rögzítéséről a megfelelőségi útmutatóban olvashat.
AI-képzéshez: Kifejezett jogalap szükséges. A Garante számára a felhasználói tartalmak képzéséhez a hozzájárulás az előnyben részesített jogalap. A „jogos érdek” írásos mérlegelési tesztet igényel, amelynek igazolnia kell, hogy a képzési cél nem írja felül a felhasználók adatjogait.
AI-kimenetekhez: A valós személyekről tartalmat generáló rendszereknek kezelniük kell a hamis állítások kockázatát. A Garante a kitalált személyes adatokat olyan különálló kockázatként nevezte meg, amely műszaki megoldást igényel.
A 63%-os vállalati hiány
Egy 2024-es Garante-felmérés szerint az olasz vállalkozások 63%-ánál nincs GDPR-kompatibilis AI-szabályzat. A hatóság aktív auditkockázatként kezeli ezt a hiányt.
A műszaki ellenőrzők nélküli szabályzat nehezen védhető. A Garante azokat a vállalkozásokat veszi célba, amelyek az adatkezelés öntudatos alkalmazottakra bíznak. A biztonsági áttekintőnkben bemutatjuk, hogyan egészítik ki az automatizált ellenőrzők az írott szabályzatot.
Négy ellenőrző a Garante-megfelelőség érdekében
1. Beküldés előtti PII-szűrés
A codice fiscale, a partita IVA és a tessera sanitaria adatokat el kell távolítani, mielőtt a bevitel eléri az AI-modellt. Ez az a központi műszaki megoldás, amelyet a Garante ügyfogalmi logikája megkövetel.
2. Olasz nyelvű NER
Olasz szövegen betanított névfelismerő modellt kell alkalmazni — például a spaCy it_core_news modellt. Az általános, angolra betanított modellek elmulasztják az olasz névmintákat. A modellválasztásról a többnyelvű PII-felismerési útmutatóban olvashat.
3. Jogalap-dokumentáció
Minden használatban lévő AI-eszközhöz rögzítse a jogalapot. Ha képzés is érintett, adja hozzá a mérlegelési tesztet. Tárolja ezeket olyan helyen, ahonnan az auditorok gyorsan megtalálják.
4. Auditnyom
Naplózza, hogy a szűrés lefutott-e, milyen entitástípusokat találtak és mit távolítottak el. Ez megadja az ellenőröknek a szükséges bizonyítékot hosszadalmas kézi áttekintés nélkül.