Garante Italië: AVG en PII technische naleving
Bijgewerkt voor 2026
Italië's meest actieve privacytoezichthouder
De Garante per la protezione dei dati personali is Italië's gegevensbeschermingsautoriteit en de meest actieve AI-toezichthouder van de EU.
Twee acties bepalen zijn aanpak. In maart 2023 beval de Garante OpenAI ChatGPT voor Italiaanse gebruikers te stoppen wegens het ontbreken van een geldige rechtsgrondslag voor gegevensgebruik en het ontbreken van een leeftijdscontrole voor minderjarigen. OpenAI voegde leeftijdscontroles, een opt-out voor training en een privacyverklaring in het Italiaans toe. De dienst werd in april 2023 hervat.
In december 2024 boette de autoriteit OpenAI €15 miljoen. Drie zaken veroorzaakten de boete: geen geldige rechtsgrondslag, geen duidelijke kennisgeving over trainingsgebruik en geen leeftijdscontrole voor minderjarigen.
Elk AI-tool dat persoonsgegevens verwerkt van Italiaanse gebruikers, moet aan deze normen voldoen.
Wat er faalde in de OpenAI-zaak
De €15 miljoen boete noemde specifieke tekortkomingen. Elk ervan correspondeert met een ontbrekende technische maatregel.
Rechtsgrondslag voor trainingsgegevens: De Garante verwierp "gerechtvaardigd belang" als grondslag voor training op gebruikersgegevens. AI-training op persoonsgegevens vereist expliciete toestemming of een contractgrondslag.
Transparantie: Gebruikers werden niet geïnformeerd over hoe hun gegevens voor training werden gebruikt. Er was geen duidelijke opt-out.
Leeftijdsverificatie: Minderjarigen konden toegang krijgen tot ChatGPT zonder leeftijdscontrole. De Garante beschouwt dit als een harde regel voor consumenten-AI-tools.
Kernimplicatie: Elk AI-systeem dat gebruikersinput in Italië ontvangt, moet een gedocumenteerde AVG-rechtsgrondslag hebben. "Gerechtvaardigd belang" is hoog-risico.
Italiaanse nationale identificatoren
Italië heeft unieke ID-formaten die generieke tools vaak missen.
Codice Fiscale
Het codice fiscale is een 16-tekens nationaal ID dat achternaamklanken, voornaamklanken, geboortedatum, geslacht en geboorteplaats codeert. Het laatste teken is een controlecijfer.
Technische analyse van de Garante uit 2024 toonde dat generieke NLP-tools het codice fiscale slechts in 67% van de gevallen detecteren. Voornaamste fout: tools matchen het 16-tekenspatroon maar slaan de controlecijferlogica over, wat vals-positieven oplevert.
Goede detectie vereist drie zaken:
- Volledig controletekenalgoritme
- Extractieregels voor achternaam- en voornaamletters
- Testen met echte lokale gegevens
Partita IVA
De partita IVA is Italië's 11-cijferig zakelijk btw-nummer. Het laatste cijfer is een controlecijfer. Het verschijnt in facturen, contracten en zakelijke brieven. Uw tool moet het controlecijferalgoritme uitvoeren, niet alleen een 11-cijferig patroon matchen.
Tessera Sanitaria
De zorgkaart (tessera sanitaria) bevat het codice fiscale als onderdeel van zijn code. Gezondheidsgegevens zijn bijzondere categorie onder AVG Artikel 9 — dit verhoogt het vereiste beveiligingsniveau.
Garante-vereisten voor AI-tools
Vóór AI-verwerking: PII moet worden gevonden en verwijderd vóórdat gegevens een AI-systeem ingaan. Voor AI-tools die in Italië worden gebruikt — inclusief browserextensies en MCP-servers — betekent dit het verwijderen van codici fiscali, partite IVA en gezondheidsgegevens uit prompts vóór verzending. Zie onze nalevingsgids voor hoe deze stap te registreren.
Voor AI-training: Een expliciete rechtsgrondslag is vereist. Toestemming is de voorkeursbasis van de Garante voor training op gebruikersinhoud. "Gerechtvaardigd belang" vereist een schriftelijke balanceringstoets.
Voor AI-uitvoer: Systemen die inhoud over echte personen schrijven, moeten het risico op valse beweringen aanpakken. De Garante heeft gefabriceerde persoonsgegevens aangemerkt als een afzonderlijk risico dat een technische maatregel vereist.
De 63%-ondernemingskloof
Een Garante-onderzoek uit 2024 vond dat 63% van de Italiaanse bedrijven geen AVG-gelinkt AI-beleid heeft. De autoriteit heeft deze kloof tot actief auditfocus gemaakt.
Een beleid zonder technische maatregelen is moeilijk te verdedigen. De Garante richt zich op bedrijven die vertrouwen op medewerkers die zichzelf controleren op gegevensgebruik. Ons beveiligingsoverzicht toont hoe geautomatiseerde maatregelen schriftelijk beleid ondersteunen.
Vier maatregelen voor Garante-naleving
1. Pre-inzending PII-filtering
Verwijder codice fiscale, partita IVA en tessera sanitaria-gegevens vóórdat invoer een AI-model bereikt. Dit is de kerntechnische maatregel die de Garante's zaaklogica vereist.
2. Italiaanse NER
Gebruik een NER-model getraind op Italiaanse tekst, zoals spaCy it_core_news. Generieke Engelstalige modellen missen Italiaanse naampatronen. Zie onze meertalige PII-detectiegids voor modelselectie.
3. Documentatie van rechtsgrondslag
Voor elk AI-tool in gebruik: schrijf de rechtsgrondslag op. Bij training voegt u de balanceringstoets toe. Bewaar deze zodat controleurs ze snel kunnen vinden.
4. Auditspoor
Registreer dat filtering heeft plaatsgevonden, welke entiteitstypen werden gevonden en wat werd verwijderd. Dit geeft inspecteurs het benodigde bewijs zonder langdurige handmatige beoordeling.