Garante Italija: GDPR i tehnicki zahtevi za PII
Azurirano za 2026.
Italijin najaktivniji regulator privatnosti
Garante per la protezione dei dati personali je italijanski organ za zastitu podataka. To je najaktivniji AI regulator u EU.
Dve akcije definisu njegov pristup. U martu 2023., Garante je naredio OpenAI da zaustavi ChatGPT za korisnike u Italiji. Utvrdio je da ne postoji valjana pravna osnova za koristenje podataka. Takodje nije pronadjena provera starosti za maloletnike. OpenAI je dodao kontrole starosti, opciju odustajanja od obuke i obavestenje o privatnosti na italijanskom. Usluga se vratila u aprilu 2023.
U decembru 2024., organ je kaznio OpenAI sa 15 miliona eura. Tri stvari su prouzrokovale kaznu: bez valjane pravne osnove, bez jasnog obavestenja o upotrebi za obuku i bez provere starosti za maloletnike.
Svaki AI alat koji rukuje licnim podacima korisnika u Italiji mora ispuniti iste standarde.
Sta je zakazalo u slucaju OpenAI
Kazna od 15 miliona eura navela je specificne nedostatke. Svaki se mapira na nedostajucu tehnicku kontrolu.
Pravna osnova za podatke za obuku: Garante je odbio "legitimni interes" kao osnovu za obuku na korisnickim podacima. AI obuka na licnim podacima zahteva eksplicitni pristanak ili ugovornu osnovu. Tvrdnja o "legitimnom interesu" sama po sebi ne prolazi.
Transparentnost: Korisnici nisu bili obavesteni kako se njihovi podaci koriste za obuku. Nisu imali jasnu opciju za odustajanje.
Verifikacija starosti: Maloletnici su mogli da pristupe ChatGPT bez provere starosti. Garante ovo tretira kao strogo pravilo za AI alate za potrosace.
Kljucna implikacija: Svaki AI sistem koji prihvata korisnicke unose u Italiji mora imati dokumentovanu GDPR pravnu osnovu. "Legitimni interes" je visokoriziean.
Italijanski nacionalni identifikatori
Italija ima jedinstvene ID formate. Genericki alati ih cesto propustaju. Vas detekcioni stek mora pokriti sve tri.
Codice Fiscale
Codeice fiscale je 16-znakovna nacionalna ID. Kodira zvukove prezimena, zvukove imena, datum rodjenja, pol i grad rodjenja. Poslednji znak je kontrolna cifra.
Garante tehnicka analiza iz 2024. pokazala je da genericki NLP alati hvataju codice fiscale sa samo 67% uspesnosti. Glavni propust: alati uparuju 16-znakovni obrazac ali preskacu logiku kontrolnog znaka. Zatim proizvode lazne pozitivne. Alati koji preskacu pravila kodiranja prezimena i imena takodje ne mogu verifikovati postojece kodove.
Dobra detekcija zahteva tri stvari:
- Kompletan algoritam kontrolnog znaka
- Pravila ekstrakcije slova prezimena i imena
- Testiranje na realnim lokalnim podacima
Partita IVA
Partita IVA je italijanski 11-cifreni poslovni PDV broj. Poslednja cifra je kontrolna cifra. Pojavljuje se u fakturama, ugovorima i poslovnim pismima. Vas alat mora pokrenuti algoritam kontrolne cifre, ne samo upariti 11-cifreni obrazac.
Tessera Sanitaria
Zdravstvena kartica (tessera sanitaria) sadrzi codice fiscale kao deo svog koda. Zdravstveni podaci su posebna kategorija prema GDPR clanu 9. To povecava zahtevani nivo zastite.
Garante zahtevi za AI alate
Garante smernice pokrivaju tri oblasti.
Pre AI obrade: PII mora biti pronadjen i uklonjen pre nego sto podaci udju u AI sistem. Za AI alate koji se koriste u Italiji - ukljucujuci prosirenja za pretragivac i MCP servere - ovo znaci uklanjanje codici fiscali, partite IVA i zdravstvenih podataka iz upita pre njihovog slanja. Pogledajte nas vodic za uskladjenost za to kako evidentirati ovaj korak.
Za AI obuku: Zahteva se eksplicitna pravna osnova. Pristanak je Garanteova preferirana osnova za obuku na korisnickom sadrzaju. "Legitimni interes" zahteva pisani test ravnoteze. Taj test mora pokazati da cilj obuke ne nadjacava prava korisnika na privatnost podataka.
Za AI rezultate: Sistemi koji pisu sadrzaj o stvarnim osobama moraju se baviti rizikom od laznih tvrdnji. Garante je naveo fabricovane licne podatke kao poseban rizik koji zahteva tehnicko resenje.
Praznina od 63% u preduzecima
Istrazivanje Garante iz 2024. pokazalo je da 63% italijanskih firmi nema GDPR-uskladjenu AI politiku. Organ je ovu prazninu ucinio aktivnim auditnim fokusom.
Politika bez tehnickih kontrola je teska za odbraniti. Garante cilja firme koje se oslanjaju na zaposlene da sami nadziru koristenje podataka. Nas pregled bezbednosti pokazuje kako automatizovane kontrole podruzavaju pisanu politiku.
Cetiri kontrole za uskladjenost sa Garante
1. PII filtriranje pre podnosenja
Uklonite codice fiscale, partita IVA i tessera sanitaria podatke pre nego sto unos dospe do bilo kog AI modela. Ovo je osnovna tehnicka popravka koju logika Garante slucaja zahteva.
2. NER na italijanskom jeziku
Koristite model nazvanih entiteta treniran na italijanskim tekstovima. Na primer, spaCy it_core_news. Genericki modeli trenirani na engleskom propustaju italijanske obrasce imenima. Pogledajte nas vodic za visejezienu PII detekciju za izbor modela.
3. Dokumentacija pravne osnove
Za svaki AI alat u upotrebi: zapisite pravnu osnovu. Ako je ukljucena obuka, dodajte test ravnoteze. Cuvajtejte na mestu gde revizori mogu brzo proci.
4. Revizijski trag
Evidentujte da je filtriranje pokrenuto, koji tipovi entiteta su pronadjeni i sta je uklonjeno. Ovo daje inspektorima potrebne dokaze bez dugotrajnog rucnog pregleda.