Garante Italija: GDPR in tehnicna skladnost PII
Posodobljeno za leto 2026
Italijanski najbolj aktivni regulator zasebnosti
Garante per la protezione dei dati personali je italijanski nadzorni organ za varstvo podatkov. Je najaktivnejsi regulator AI v EU.
Njegov pristop opredeljujeta dve dejanji. Marca 2023 je Garante OpenAI zahteval, da ustavi ChatGPT za uporabnike v Italiji. Ugotovil je, da ni veljavne pravne podlage za uporabo podatkov. Ugotovil je tudi, da ni preverjanja starosti za mladoletnike. OpenAI je dodal kontrole starosti, moznost odjave usposabljanja in obvestilo o zasebnosti v italianscini. Storitev se je vrnila aprila 2023.
Decembra 2024 je organ OpenAI oglobil z 15 milijoni EUR. Tri stvari so povzrocile globo: ni veljavne pravne podlage, ni jasnega obvestila o namenu usposabljanja in ni preverjanja starosti za mladoletnike.
Vsako orodje AI, ki obravnava osebne podatke uporabnikov v Italiji, mora izpolnjevati enake standarde.
Kaj je odpodvedalo v primeru OpenAI
Globa v visini 15 milijonov EUR je imenovala specificne vrzeli. Vsaka se preslika na manjkajoco tehnicno kontrolo.
Pravna podlaga za usposabljanje: Garante je zavrnil "legitimni interes" kot podlago za usposabljanje na uporabniskih podatkih. Usposabljanje AI na osebnih podatkih zahteva izrecno soglasje ali pogodbeno podlago. Samo sklicevanje na "legitimni interes" ne zadostuje.
Preglednost: Uporabniki niso bili obvesceni, kako so bili njihovi podatki uporabljeni za usposabljanje. Niso imeli jasne moznosti odjave.
Preverjanje starosti: Mladoletniki so lahko dostopali do ChatGPT brez preverjanja starosti. Garante to obravnava kot trdo pravilo za orodja AI za potrosniski trg.
Kljucna posledica: Vsak sistem AI, ki sprejema vnose uporabnikov v Italiji, mora imeti dokumentirano pravno podlago GDPR. "Legitimni interes" je visoko tvegan.
Italijanski nacionalni identifikatorji
Italija ima edinstvene formate ID. Generica orodja jih pogosto zamudijo. Vas sistem za zaznavo mora pokrivati vse tri.
Codice fiscale
Codice fiscale je 16-znakovna nacionalna ID. Kodira zvoke priimka, zvoke imen, datum rojstva, spol in kraj rojstva. Zadnji znak je kontrolna stevilka.
Tehnicna analiza Garante iz leta 2024 je ugotovila, da genericna orodja NLP zaznavajo codice fiscale le v 67 % primerov. Glavna pomanjkljivost: orodja se ujemajo s 16-znacnim vzorcem, toda preskocijo logiko kontrolnega znaka. Nato producirajo lazno pozitivne zadetke. Orodja, ki preskocijo pravila ekstrakcie crk imen, prav tako ne morejo preveriti obstojech kod.
Dobra zaznava potrebuje tri stvari:
- Celoten algoritem kontrolnega znaka
- Pravila za ekstrakcijo crk priimka in imena
- Testiranje na realnih lokalnih podatkih
Partita IVA
Partita IVA je italiansko 11-mestno poslovno stevilko DDV. Zadnja stevilka je kontrolna. Pojavi se v racunih, pogodbah in poslovnih pismu. Vase orodje mora izvesti algoritem kontrolne stevilke, ne le iskati 11-mestnega vzorca.
Tessera sanitaria
Zdravstvena kartica (tessera sanitaria) vsebuje codice fiscale kot del svoje kode. Zdravstveni podatki spadajo v posebno kategorijo po clenu 9 GDPR. To dviga zahtevano raven zavarovalnic.
Zahteve Garante za orodja AI
Smernice Garante pokrivajo tri podrocja.
Pred obdelavo AI: PII je treba najti in odstraniti, preden podatki vstopijo v sistem AI. Za orodja AI, ki se uporabljajo v Italiji - vkljucno z razsiritvami brskalnika in MCP strezniki - to pomeni odstranjevanje codici fiscali, partite IVA in zdravstvenih podatkov iz pozivov pred posiljanjem. Pregled vodnika za skladnost, kako dokumentirati ta korak.
Za usposabljanje AI: Zahtevana je izrecna pravna podlaga. Soglasje je Garantejeva prednostna podlaga za usposabljanje na vsebini uporabnikov. "Legitimni interes" zahteva pisni test uravnotezenja. Ta test mora pokazati, da cilj usposabljanja ne prevlada nad pravicami uporabnikov do podatkov.
Za izhode AI: Sistemi, ki piscejo vsebino o resnicnih osebah, morajo obravnavati tveganje laznih trditev. Garante je lazno poosebljene osebne podatke imenoval kot posebno tveganje, ki zahteva tehnicno resitev.
Vrzel 63 % pri podjetjih
Research Garante iz leta 2024 je ugotovil, da 63 % italijanskih podjetij nima politike AI, usklajene z GDPR. Organ je to vrzel prepoznal kot aktivno revizijsko temo.
Politika brez tehnicnih kontrol je tezko vzdrzljiva. Garante cilja na podjetja, ki se zanasajo, da bodo zaposleni sami nadzorovali uporabo podatkov. Nas varnostni pregled kaze, kako avtomatizirani nadzori podpirajo pisno politiko.
Stiri kontrole za skladnost z Garante
1. Filtriranje PII pred oddajo
Odstranite codice fiscale, partita IVA in podatke tessera sanitaria, preden vnos doseze kateri koli model AI. To je osrednja tehnicna resitev, ki jo zahteva logika primera Garante.
2. NER z italijanskim jezikom
Uporabite model za prepoznavanje poimenovanih entitet, usposobljen na italijanskem besedilu, na primer spaCy it_core_news. Generični modeli, usposobljeni na anglescini, zamudijo italijanske vzorce imen. V nasem vodniku za vecjezicno zaznavo PII si oglejte izbiro modela.
3. Dokumentacija pravne podlage
Za vsako orodje AI v uporabi: zapisite pravno podlago. Kadar je vpleteno usposabljanje, dodajte test uravnotezenja. Shranite to, kjer jo revizorji hitro najdejo.
4. Revizijska sled
Zabelezite, da je filtriranje teklo, katere vrste entitet so bile najdene in kaj je bilo odstranjeno. To da inspektorjem dokaze, ki jih potrebujejo, brez dolgotrajnega rocinega pregleda.