Garante Italia: Kepatuhan GDPR dan PII Secara Teknis
Diperbarui untuk 2026
Regulator Privasi Paling Aktif Italia
Garante per la protezione dei dati personali adalah otoritas data Italia. Ini adalah regulator AI paling aktif di UE.
Dua tindakan mendefinisikan pendekatannya. Pada Maret 2023, Garante memerintahkan OpenAI untuk menghentikan ChatGPT bagi pengguna di Italia. Garante menemukan tidak ada dasar hukum yang valid untuk penggunaan data. Garante juga menemukan tidak ada pemeriksaan usia untuk anak di bawah umur. OpenAI menambahkan kontrol usia, opsi opt-out pelatihan, dan pemberitahuan privasi dalam bahasa Italia. Layanan kembali aktif pada April 2023.
Pada Desember 2024, otoritas mendenda OpenAI €15 juta. Tiga hal menyebabkan denda tersebut: tidak ada dasar hukum yang valid, tidak ada pemberitahuan yang jelas tentang penggunaan pelatihan, dan tidak ada pemeriksaan usia untuk anak di bawah umur.
Alat AI apa pun yang menangani data pribadi dari pengguna di Italia harus memenuhi standar yang sama ini.
Apa yang Gagal dalam Kasus OpenAI
Denda €15 juta menyebutkan kesenjangan spesifik. Masing-masing dipetakan ke kontrol teknis yang hilang.
Dasar hukum data pelatihan: Garante menolak "kepentingan sah" sebagai dasar untuk pelatihan pada data pengguna. Pelatihan AI pada data pribadi memerlukan persetujuan eksplisit atau dasar kontrak. Klaim "kepentingan sah" saja tidak lolos.
Transparansi: Pengguna tidak diberitahu bagaimana data mereka digunakan untuk pelatihan. Mereka tidak memiliki opsi opt-out yang jelas.
Verifikasi usia: Anak di bawah umur dapat mengakses ChatGPT tanpa pemeriksaan usia. Garante memperlakukan ini sebagai aturan keras untuk alat AI konsumen.
Implikasi utama: Sistem AI apa pun yang menerima masukan pengguna di Italia harus memiliki dasar hukum GDPR yang terdokumentasi. "Kepentingan sah" berisiko tinggi.
Pengenal Nasional Italia
Italia memiliki format ID yang unik. Alat generik sering melewatkannya. Tumpukan deteksi Anda harus mencakup ketiganya.
Codice Fiscale
Codice fiscale adalah ID nasional 16 karakter. Ini mengkodekan bunyi nama belakang, bunyi nama depan, tanggal lahir, jenis kelamin, dan kota lahir. Karakter terakhir adalah digit cek.
Analisis teknis Garante dari 2024 menemukan bahwa alat NLP generik hanya menangkap codice fiscale 67% dari waktu. Kegagalan utama: alat mencocokkan pola 16 karakter tetapi melewatkan logika digit cek. Kemudian mereka menghasilkan positif palsu. Alat yang melewatkan aturan pengkodean nama juga tidak dapat memverifikasi kode yang ada.
Deteksi yang baik membutuhkan tiga hal:
- Algoritma karakter cek penuh
- Aturan ekstraksi huruf nama belakang dan nama depan
- Pengujian terhadap data lokal nyata
Partita IVA
Partita IVA adalah nomor PPN bisnis Italia 11 digit. Digit terakhir adalah digit cek. Muncul dalam faktur, kontrak, dan surat bisnis. Alat Anda harus menjalankan algoritma digit cek, bukan hanya mencocokkan pola 11 digit.
Tessera Sanitaria
Kartu kesehatan (tessera sanitaria) menyimpan codice fiscale sebagai bagian dari kodenya. Data kesehatan adalah kategori khusus berdasarkan Pasal 9 GDPR. Itu meningkatkan tingkat perlindungan yang diperlukan.
Persyaratan Garante untuk Alat AI
Panduan Garante mencakup tiga area.
Sebelum pemrosesan AI: PII harus ditemukan dan dihapus sebelum data memasuki sistem AI. Untuk alat AI yang digunakan di Italia — termasuk ekstensi browser dan server MCP — ini berarti menghapus codici fiscali, partite IVA, dan data kesehatan dari prompt sebelum dikirim. Lihat panduan kepatuhan kami untuk cara mencatat langkah ini.
Untuk pelatihan AI: Diperlukan dasar hukum yang eksplisit. Persetujuan adalah dasar yang disukai Garante untuk pelatihan pada konten pengguna. "Kepentingan sah" memerlukan uji penyeimbangan tertulis. Uji tersebut harus menunjukkan tujuan pelatihan tidak mengabaikan hak data pengguna.
Untuk output AI: Sistem yang menulis konten tentang orang nyata harus mengatasi risiko klaim palsu. Garante telah menyebut data pribadi yang difabrikasi sebagai risiko berbeda yang memerlukan perbaikan teknis.
Kesenjangan Perusahaan 63%
Survei Garante 2024 menemukan bahwa 63% perusahaan Italia tidak memiliki kebijakan AI yang selaras dengan GDPR. Otoritas telah menjadikan kesenjangan ini sebagai fokus audit aktif.
Kebijakan tanpa kontrol teknis sulit dipertahankan. Garante menargetkan perusahaan yang mengandalkan staf untuk mengatur sendiri penggunaan data. Ikhtisar keamanan kami menunjukkan bagaimana kontrol otomatis mendukung kebijakan tertulis.
Empat Kontrol untuk Kepatuhan Garante
1. Penyaringan PII pra-pengiriman
Hapus data codice fiscale, partita IVA, dan tessera sanitaria sebelum input mencapai model AI apa pun. Ini adalah perbaikan teknis utama yang dituntut logika kasus Garante.
2. NER berbahasa Italia
Gunakan model entitas bernama yang dilatih pada teks Italia. Misalnya, spaCy it_core_news. Model yang dilatih dalam bahasa Inggris generik melewatkan pola nama Italia. Lihat panduan deteksi PII multibahasa kami untuk pemilihan model.
3. Dokumentasi dasar hukum
Untuk setiap alat AI yang digunakan: tuliskan dasar hukumnya. Jika pelatihan terlibat, tambahkan uji penyeimbangan. Simpan di tempat yang dapat ditemukan auditor dengan cepat.
4. Jejak audit
Catat bahwa penyaringan berjalan, jenis entitas apa yang ditemukan, dan apa yang dihapus. Ini memberi pemeriksa bukti yang mereka butuhkan tanpa tinjauan manual yang panjang.