Italijos Garante: DI ir asmens duomenų atitiktis
Atnaujinta 2026 m.
Garante vykdymo DI srityje istorija
Italijos duomenų institucija yra Garante. Ji yra aktyviausia ES DI reguliuotoja. Du svarbūs veiksmai apibrėžia jos požiūrį.
2023 m. kovas – ChatGPT draudimas: Garante nurodė OpenAI sustabdyti ChatGPT Italijos naudotojams. Nenustatyta jokio galiojančio duomenų naudojimo teisinio pagrindo. Taip pat nerasta jokio amžiaus tikrinimo nepilnamečiams. OpenAI pridėjo amžiaus tikrinimą, galimybę atsisakyti naudoti duomenis mokymui ir privatumo pranešimą italų kalba. Paslauga sugrįžo 2023 m. balandį.
2024 m. gruodis – 15 mln. eurų bauda: Garante skyrė OpenAI 15 mln. eurų baudą. Tris gedimus sukėlė ši bauda. Pirma: jokio galiojančio teisinio pagrindo. Antra: nepakankamas skaidrumas dėl mokymo naudojimo. Trečia: jokio amžiaus tikrinimo nepilnamečiams.
Atviri tyrimai (2024–2025 m.): Institucija pradėjo tyrimus prieš Replika, Worldcoin ir kelis DI startuolius.
Italija yra didžiausios rizikos ES vieta DI priemonių naudojimui. Bet kokia priemonė, tvarkanti asmens duomenis be aiškių atitikties veiksmų, kuria teisinę riziką. Elkitės iš anksto.
Ko reikalauja Garante
Vykdymo veiksmai paaiškina, ką organizacijos turi daryti naudodamos DI priemones.
Teisinis pagrindas: Kiekvienai DI priemonei reikalingas dokumentuotas teisinis pagrindas pagal BDAR 6 straipsnį. Institucija abejoja "teisėtu interesu" DI mokymui. Aiškus sutikimas arba sutarties poreikis yra pageidaujami pagrindai.
Duomenų tvarkymo sutartys: Firmos, naudojančios trečiųjų šalių DI priemones kaip tvarkymo įmones, turi turėti BDAR atitinkančias DTS. Institucija tikrino, ar tiekėjų DTS apėmė duomenų naudojimo apribojimus. Spragos čia pritraukia dėmesį.
Įvesties kontrolė: Institucijos dėmesys neteisėtam tvarkymui reikalauja įvesties kontrolės. Techniniai filtrai, kurie pašalina asmens duomenis prieš jiems pasiekiant DI modelį, sprendžia pagrindinę problemą. Žr. mūsų atitikties vadovą dėl dokumentavimo reikalavimų.
Amžiaus tikrinimas: DI sistemos, prieinamos vartotojams, turi tikrinti nepilnamečių amžių. Ši taisyklė atsirado po ChatGPT draudimo.
Aiškūs pranešimai: Privatumo pranešimai turi būti italų kalba. Juose turi būti paaiškinta, kaip DI naudoja asmens duomenis, įskaitant naudojimą mokymui.
63% įmonių spraga
2024 m. Garante tyrimas parodė, kad 63% įmonių neturi BDAR suderintų DI naudojimo politikų. Ši spraga didėja, kai institucija plečia savo DI programą.
Duomenų apsaugos pareigūnų registracijų skaičius išaugo 340% po ChatGPT draudimo. Firmos suprato, kad DI naudojimas be DAP kuria teisinę riziką. Tačiau vien DAP nepakanka. Rašytinė politika be techninių kontrolės priemonių yra sunkiai vykdoma. Institucija taikosi į šią spragą: firmas, kurios remiasi darbuotojų savikontrolė. Mūsų apsaugos apžvalga rodo, kaip kontrolės priemonės palaiko politiką.
Techniniai nustatymai atitikčiai
Firmoms su naudotojais Italijoje Garante suderinta sąranka apima šiuos elementus.
Išankstinis asmens duomenų filtravimas: Chrome plėtinys arba MCP serveris sėdi tarp naudotojo ir DI modelio. Jis pašalina asmens duomenis prieš jiems pasiekiant modelį. Jokie asmens duomenys įvestyje reiškia jokio neteisėto tvarkymo. Tai pagrindinis sprendimas.
Italijos specifiniai objektų tipai: Standartinius asmens duomenų įrankiai praleiskia vietinius ID tipus. Jūsų priemonė turi aptikti šiuos:
- Codice fiscale – 16 simbolių nacionalinis ID kodas
- Partita IVA – 11 skaitmenų verslo numeris
- Carta d'identita – nacionalinis asmens tapatybės kortelė
- Tessera sanitaria – sveikatos kortelė, kurioje yra codice fiscale
- Italijos IBAN formatai
Codeice fiscale yra pagrindinis nacionalinis ID. Jo praleidimas palieka pagrindinę spragą. Žr. mūsų objektų vadovą dėl visiško aprėpties. Testuokite tikrais vietiniais duomenimis.
Audito sekimas: Garante inspekcijos prašo techninių kontrolės priemonių įrodymo. Centralizuotas žurnalas, rodantis, kad išankstinis filtravimas buvo vykdytas, suteikia inspektoriams reikalingus įrodymus.
DTS įrašai: Kiekvienam DI tiekėjui: saugokite užpildytą DTS peržiūrą. Pažymėkite duomenų naudojimo apribojimus ir mokymo sąlygas. Saugokite jas lengvai prieinamoje vietoje. Žr. mūsų DUK dėl dažnų DTS klausimų.
Sektoriaus dėmesio sritys
Garante taikosi į konkrečius sektorius.
Sveikatos priežiūra: Sveikatos duomenys yra didelės rizikos pagal BDAR 9 straipsnį. Bet kokia DI priemonė, tvarkanti pacientų duomenis, reikalauja aiškaus teisinio pagrindo, DTS ir stiprių apsaugos priemonių. DI diagnostikos ir klinikinės priemonės reikalauja PŠV.
Finansai: Vartotojų profiliavimas naudojant DI sulaukė dėmesio. Bankai ir finansinės firmos, naudojančios DI kreditui ar rinkodarai, turi vykdyti PŠV ir pridėti aiškinamumo kontrolės priemones.
Žmogiškieji ištekliai: DI priemonės samdymui, vertinimams ir darbuotojų stebėsenai reikalauja PŠV. Garante 2023 m. išleido gaires dėl darbuotojų stebėsenos.
Švietimas: Mokyklų DI priemonės turi laikytis papildomų taisyklių pagal 2024 m. Garante gaires dėl mokinių duomenų.
Šių sektorių firmos turi turėti sektoriui būdingus įrašus, viršijančius bazinius reikalavimus. Žr. mūsų atvejų tyrimus, kaip kolegos sprendžia atitiktį. Mūsų planai ir kainos apima visus sektorius ir firmų dydžius.