Garante Itali: Pematuhan AI dan PII
Dikemas kini untuk 2026
Rekod Penguatkuasaan AI Garante
Badan data Itali ialah Garante. Ia adalah pengawal selia AI paling aktif di EU. Dua tindakan besar mentakrifkan pendekatannya.
Mac 2023 — larangan ChatGPT: Garante mengarahkan OpenAI untuk menghentikan ChatGPT bagi pengguna di Itali. Ia mendapati tiada asas undang-undang yang sah untuk penggunaan data. Ia juga mendapati tiada semakan umur untuk kanak-kanak. OpenAI menambah semakan umur, pilihan keluar daripada latihan, dan notis privasi dalam Bahasa Itali. Perkhidmatan kembali pada April 2023.
Disember 2024 — denda €15 juta: Garante mendenda OpenAI €15 juta. Tiga kegagalan menyebabkan denda tersebut. Pertama: tiada asas undang-undang yang sah. Kedua: kejelasan yang lemah mengenai penggunaan latihan. Ketiga: tiada semakan umur untuk kanak-kanak.
Siasatan terbuka (2024-2025): Pihak berkuasa melancarkan siasatan terhadap Replika, Worldcoin, dan beberapa pemula AI.
Itali adalah tempat berisiko tertinggi di EU untuk penggunaan alat AI. Mana-mana alat yang mengendalikan rekod peribadi tanpa langkah pematuhan yang jelas mewujudkan risiko undang-undang. Bertindak awal.
Apa yang Dikehendaki Garante
Tindakan penguatkuasaan menjelaskan apa yang mesti dilakukan oleh organisasi apabila mereka menggunakan alat AI.
Asas undang-undang: Setiap alat AI memerlukan asas undang-undang yang didokumentasikan di bawah Artikel 6 GDPR. Pihak berkuasa meragui "kepentingan sah" untuk latihan AI. Persetujuan eksplisit atau keperluan kontrak adalah alasan yang diutamakan.
Perjanjian Pemprosesan Data: Firma yang menggunakan alat AI pihak ketiga sebagai pemproses mesti mempunyai DPA yang mematuhi GDPR. Pihak berkuasa menyemak sama ada DPA vendor merangkumi had penggunaan data. Jurang di sini menarik perhatian.
Kawalan input: Fokus pihak berkuasa pada pemprosesan yang menyalahi undang-undang menuntut kawalan input. Penapis teknikal yang menyingkirkan rekod peribadi sebelum ia mencapai model AI menyelesaikan masalah teras. Lihat panduan pematuhan kami untuk apa yang perlu didokumentasikan.
Semakan umur: Sistem AI yang terbuka kepada pengguna awam mesti mengesahkan umur kanak-kanak. Peraturan ini mengikuti daripada larangan ChatGPT.
Notis yang jelas: Notis privasi mesti dalam Bahasa Itali. Notis mesti menerangkan cara AI menggunakan rekod peribadi, termasuk penggunaan latihan.
Jurang Perusahaan 63%
Tinjauan Garante 2024 mendapati bahawa 63% firma kekurangan dasar penggunaan AI yang selaras dengan GDPR. Jurang ini semakin melebar apabila pihak berkuasa mengembangkan program AInya.
Pendaftaran DPO meningkat 340% selepas larangan ChatGPT. Firma melihat bahawa penggunaan AI tanpa DPO mewujudkan risiko undang-undang. Tetapi DPO sahaja tidak mencukupi. Dasar bertulis tanpa kawalan teknikal sukar dikuatkuasakan. Pihak berkuasa menyasarkan jurang ini: firma yang bergantung pada kakitangan untuk mengawal diri sendiri. Gambaran keseluruhan perlindungan kami menunjukkan bagaimana kawalan menyokong dasar.
Persediaan Teknikal untuk Pematuhan
Bagi firma dengan pengguna di Itali, persediaan yang selaras dengan Garante merangkumi perkara berikut.
Penapisan PII sebelum penyerahan: Sambungan Chrome atau Pelayan MCP berada di antara pengguna dan model AI. Ia menyingkirkan rekod peribadi sebelum ia mencapai model. Tiada data peribadi masuk bermakna tiada pemprosesan yang menyalahi undang-undang. Ini adalah penyelesaian teras.
Jenis entiti khusus Itali: Alat PII standard terlepas jenis ID tempatan. Alat anda mesti mengesan yang berikut:
- Codice fiscale — kod ID nasional 16 aksara
- Partita IVA — nombor perniagaan 11 digit
- Carta d'identita — kad pengenalan kebangsaan
- Tessera sanitaria — kad kesihatan yang menyimpan codice fiscale
- Format IBAN Itali
Codeice fiscale adalah ID nasional utama. Terlepasnya meninggalkan jurang utama. Lihat panduan entiti kami untuk liputan penuh. Jalankan ujian pada data tempatan sebenar.
Jejak audit: Pemeriksaan Garante meminta bukti kawalan teknikal. Log pusat yang menunjukkan penapisan sebelum penyerahan telah dijalankan memberikan pemeriksa bukti yang mereka perlukan.
Rekod DPA: Untuk setiap vendor AI: simpan semakan DPA yang lengkap. Perhatikan had penggunaan data dan terma latihan. Simpannya di tempat yang mudah dijumpai. Lihat Soalan Lazim kami untuk soalan DPA yang biasa.
Bidang Fokus Sektor
Garante menyasarkan sektor tertentu.
Penjagaan kesihatan: Rekod kesihatan adalah berisiko tinggi di bawah Artikel 9 GDPR. Mana-mana alat AI yang mengendalikan rekod pesakit memerlukan asas undang-undang eksplisit, DPA, dan perlindungan yang kukuh. Alat diagnostik dan klinikal AI memerlukan DPIA.
Kewangan: Pemprofilan pengguna menggunakan AI telah menarik perhatian. Bank dan firma kewangan yang menggunakan AI untuk kredit atau pemasaran mesti menjalankan DPIA dan menambah kawalan kebolehjelasan.
HR: Alat AI untuk pengambilan, ulasan, dan pemantauan kakitangan memerlukan DPIA. Garante mengeluarkan panduan mengenai pemantauan kakitangan pada 2023.
Pendidikan: Alat AI sekolah menghadapi peraturan tambahan di bawah panduan Garante 2024 mengenai rekod pelajar.
Firma dalam sektor ini memerlukan rekod khusus sektor di luar keperluan asas. Lihat kajian kes kami untuk mengetahui cara rakan sebaya mengendalikan pematuhan. Perspektif pengasas kami mengenai pembinaan untuk pasaran yang dikawal selia ada di pernyataan pengasas kami. Pelan dan kadar kami merangkumi semua sektor dan saiz firma.