Garante Italien: GDPR och PII teknisk compliance
Uppdaterat 2026
Italiens mest aktiva integritetstillsynsmyndighet
Garante per la protezione dei dati personali är Italiens datatillsynsmyndighet — och EU:s mest aktiva AI-reglerare.
Två åtgärder definierar deras tillvägagångssätt. I mars 2023 beordrade Garante OpenAI att stoppa ChatGPT för användare i Italien. Man fann ingen giltig rättslig grund för dataanvändningen och inga åldersskontroller för minderåriga. OpenAI lade till åldersbegränsningar, ett opt-out för träning och en integritetspolicy på italienska. Tjänsten återupptogs i april 2023.
I december 2024 bötfällde myndigheten OpenAI med 15 miljoner euro. Tre saker orsakade böterna: ingen giltig rättslig grund, ingen tydlig information om träningsanvändning och inga åldersskontroller för minderåriga.
Alla AI-verktyg som hanterar personuppgifter från användare i Italien måste uppfylla samma standarder.
Vad som fallerade i OpenAI-fallet
15 miljoner euro-böterna namngav specifika brister. Var och en mappar till en saknad teknisk kontroll.
Rättslig grund för träningsdata: Garante avslog "berättigat intresse" som grund för träning på användardata. AI-träning på personuppgifter kräver uttryckligt samtycke eller ett kontraktsbaserat. Enbart ett påstående om "berättigat intresse" håller inte.
Transparens: Användare informerades inte om hur deras data användes för träning och hade ingen tydlig möjlighet att tacka nej.
Åldersverifiering: Minderåriga kunde använda ChatGPT utan ålderskontroll. Garante behandlar detta som en hård regel för konsument-AI-verktyg.
Viktig konsekvens: Alla AI-system som tar emot användarinput i Italien måste ha en dokumenterad GDPR-rättslig grund. "Berättigat intresse" är högrisk.
Italienska nationella identifierare
Italien har unika ID-format som generiska verktyg ofta missar. Din detekteringsstack måste täcka alla tre.
Codice Fiscale
Codice fiscale är ett 16-tecken nationellt ID. Det kodar efternamnsljud, förnamnsljud, födelsedatum, kön och födelseort. Det sista tecknet är en kontrollsiffra.
Garantas tekniska analys från 2024 visade att generiska NLP-verktyg identifierar codice fiscale med bara 67 % noggrannhet. Huvudfelet: verktyg matchar 16-teckensmönstret men hoppar över kontrollsifferlogiken och producerar falskt positiva. Verktyg som hoppar över namnkodningsreglerna kan heller inte verifiera befintliga koder.
Bra detektering kräver tre saker:
- Fullständig kontrollsifferalgoritm
- Regler för efternamns- och förnamnsextrahering
- Testning mot verkliga lokala data
Partita IVA
Partita IVA är Italiens 11-siffriga moms-ID för företag. Den sista siffran är en kontrollsiffra. Den förekommer i fakturor, kontrakt och affärsbrev. Ditt verktyg måste köra kontrollsifferalgoritmen, inte bara matcha ett 11-siffrigt mönster.
Tessera Sanitaria
Hälsokortet (tessera sanitaria) innehåller codice fiscale som en del av sin kod. Hälsouppgifter är specialkategoriserade enligt GDPR artikel 9, vilket höjer den krävda skyddsnivån.
Garanets krav på AI-verktyg
Garanets vägledning täcker tre områden.
Innan AI-behandling: PII måste identifieras och tas bort innan data matas in i ett AI-system. För AI-verktyg som används i Italien — inklusive webbläsartillägg och MCP-servrar — innebär detta att stritta bort codici fiscali, partite IVA och hälsodata från promptar innan de skickas. Se vår complianceguide för hur man dokumenterar detta steg.
För AI-träning: En uttrycklig rättslig grund krävs. Samtycke är Garanets föredragna grund för träning på användarinnehåll. "Berättigat intresse" kräver ett skriftligt balansprov som visar att träningsändamålet inte åsidosätter användarnas datarättigheter.
För AI-utdata: System som skriver innehåll om verkliga personer måste hantera risken för falska påståenden. Garante har pekat ut fabricerade personuppgifter som en distinkt risk som kräver en teknisk lösning.
De 63 % företagsluckan
En Garante-undersökning 2024 visade att 63 % av italienska företag saknar en GDPR-anpassad AI-policy. Myndigheten har gjort den här luckan till ett aktivt revisionsfokus.
En policy utan tekniska kontroller är svår att försvara. Garante riktar in sig på företag som förlitar sig på att personal självreglerar dataanvändningen. Vår säkerhetsöversikt visar hur automatiserade kontroller stödjer skriftlig policy.
Fyra kontroller för Garante-compliance
1. PII-filtrering före inlämning
Ta bort codice fiscale, partita IVA och tessera sanitaria-data innan input når någon AI-modell. Det är den centrala tekniska åtgärden som Garanets falllogik kräver.
2. Italienskspråkig NER
Använd en NER-modell tränad på italiensk text, till exempel spaCy it_core_news. Generiska, engelsktränade modeller missar italienska namnmönster. Se vår guide om flerspråkig PII-detektering för modellval.
3. Dokumentation av rättslig grund
För varje AI-verktyg som används: skriv ned den rättsliga grunden. Om träning är inblandad, lägg till balansprovet. Förvara dessa så att revisorer snabbt kan hitta dem.
4. Revisionsspår
Logga att filtrering kördes, vilka entitetstyper som hittades och vad som togs bort. Det ger inspektörer det bevis de behöver utan en lång manuell granskning.