Garante İtalya: GDPR ve KKB Teknik Uyumluluğu
2026 için güncellendi
İtalya'nın En Aktif Gizlilik Düzenleyicisi
Garante per la protezione dei dati personali, İtalya'nın veri otoritesidir. AB'nin en aktif yapay zeka düzenleyicisidir.
İki eylem yaklaşımını tanımlamaktadır. Mart 2023'te Garante, OpenAI'ya İtalya'daki kullanıcılar için ChatGPT'yi durdurmasını söyledi. Veri kullanımı için geçerli bir hukuki dayanak bulamadı. Küçükler için yaş doğrulaması da yoktu. OpenAI, yaş kontrolleri, eğitim devre dışı bırakma seçeneği ve İtalyanca gizlilik bildirimi ekledi. Hizmet Nisan 2023'te geri döndü.
Aralık 2024'te otorite OpenAI'ya 15 milyon euro para cezası kesti. Üç şey cezaya yol açtı: geçerli hukuki dayanak yokluğu, eğitim kullanımı hakkında net bildirim eksikliği ve küçükler için yaş doğrulama yokluğu.
İtalya'daki kullanıcıların kişisel verilerini işleyen her yapay zeka aracı aynı standartları karşılamak zorundadır.
OpenAI Davasında Neler Başarısız Oldu
15 milyon euro ceza belirli boşlukları belirledi. Her biri, eksik bir teknik kontrole karşılık gelir.
Eğitim verisi hukuki dayanağı: Garante, 'meşru menfaat'i kullanıcı verileri üzerindeki eğitim için bir dayanak olarak reddetti. Yapay zeka eğitimi, kişisel veriler üzerinde açık rıza veya sözleşme dayanağı gerektirmektedir. Yalnızca 'meşru menfaat' iddiası yeterli değildir.
Şeffaflık: Kullanıcılar, verilerinin eğitim için nasıl kullanıldığı konusunda bilgilendirilmedi. Açık bir devre dışı bırakma seçenekleri yoktu.
Yaş doğrulama: Küçükler, yaş doğrulaması olmaksızın ChatGPT'ye erişebildi. Garante bunu tüketici yapay zeka araçları için katı bir kural olarak değerlendirmektedir.
Temel çıkarım: İtalya'da kullanıcı girdisi alan herhangi bir yapay zeka sistemi, belgelenmiş bir GDPR hukuki dayanağına sahip olmak zorundadır. 'Meşru menfaat' yüksek risklidir.
İtalyan Ulusal Tanımlayıcıları
İtalya'nın kendine özgü kimlik formatları vardır. Genel araçlar bunları çoğunlukla kaçırır. Tespit yığınınız üçünü de kapsamalıdır.
Codice Fiscale
Codice fiscale, 16 karakterli bir ulusal kimlik numarasıdır. Soyadı seslerini, ad seslerini, doğum tarihini, cinsiyeti ve doğum ilçesini kodlar. Son karakter bir kontrol hanesidir.
Garante'nin 2024 teknik analizine göre genel amaçlı NLP araçları codice fiscale'yi yalnızca %67 oranında yakalıyor. Temel başarısızlık: araçlar 16 karakterli kalıbı eşleştiriyor ancak kontrol hanesi mantığını atlıyor. Bu da yanlış pozitiflere yol açıyor. İsim kodlama kurallarını atlayan araçlar da mevcut kodları doğrulayamıyor.
İyi tespit üç şey gerektirir:
- Tam kontrol karakteri algoritması
- Soyadı ve ad harflerini çıkarma kuralları
- Gerçek yerel verilere karşı test
Partita IVA
Partita IVA, İtalya'nın 11 haneli işletme KDV numarasıdır. Son hane bir kontrol hanesidir. Faturalarda, sözleşmelerde ve iş yazışmalarında görünür. Aracınız yalnızca 11 haneli bir kalıp eşleştirmek yerine kontrol hanesi algoritmasını çalıştırmalıdır.
Tessera Sanitaria
Sağlık kartı (tessera sanitaria), kodunun bir parçası olarak codice fiscale'yi içerir. Sağlık verisi, GDPR Madde 9 kapsamında özel kategoridir. Bu durum, gereken güvence düzeyini artırmaktadır.
Garante'nin Yapay Zeka Araçlarına Yönelik Gereksinimleri
Garante'nin kılavuzu üç alanı kapsar.
Yapay zeka işlemeden önce: KKB, veriler bir yapay zeka sistemine girmeden önce bulunup kaldırılmalıdır. İtalya'da kullanılan yapay zeka araçları — tarayıcı uzantıları ve MCP sunucuları dahil — için bu, codici fiscali, partite IVA ve sağlık verilerinin göndermeden önce istemlerden temizlenmesi anlamına gelir. Bu adımın nasıl kayıt altına alınacağı için uyumluluk kılavuzumuza bakın.
Yapay zeka eğitimi için: Açık hukuki dayanak zorunludur. Garante, kullanıcı içerikleri üzerindeki eğitim için rızayı tercih edilen dayanak olarak belirlemektedir. 'Meşru menfaat', yazılı bir dengeleme testi gerektirmektedir. Bu test, eğitim amacının kullanıcıların veri haklarını geçersiz kılmadığını göstermelidir.
Yapay zeka çıktıları için: Gerçek kişiler hakkında içerik yazan sistemler, yanlış iddialar riskini ele almalıdır. Garante, uydurma kişisel verileri ayrı bir teknik çözüm gerektiren belirgin bir risk olarak tanımlamıştır.
%63'lük Kurumsal Boşluk
2024 Garante araştırması, İtalyan şirketlerinin %63'ünün GDPR uyumlu yapay zeka politikasına sahip olmadığını ortaya koydu. Otorite bu boşluğu aktif bir denetim odağı haline getirmiştir.
Teknik kontroller olmaksızın bir politikanın savunulması güçtür. Garante, çalışanların kendi veri kullanımını denetlemesine güvenen şirketleri hedef alır. Güvenlik genel bakışımız, otomatik kontrollerin yazılı politikayı nasıl desteklediğini göstermektedir.
Garante Uyumluluğu için Dört Kontrol
1. Gönderi öncesi KKB filtrelemesi
Girdi herhangi bir yapay zeka modeline ulaşmadan önce codice fiscale, partita IVA ve tessera sanitaria verilerini temizleyin. Bu, Garante'nin dava mantığının talep ettiği temel teknik düzeltmedir.
2. İtalyanca NER
İtalyanca metinler üzerinde eğitilmiş adlandırılmış varlık modeli kullanın. Örneğin spaCy it_core_news. İngilizce eğitimli genel modeller İtalyan isim kalıplarını kaçırır. Model seçimi için çok dilli KKB tespit kılavuzumuza bakın.
3. Hukuki dayanak belgelemesi
Kullanılan her yapay zeka aracı için: hukuki dayanağı yazın. Eğitim söz konusuysa, dengeleme testini ekleyin. Bunları denetçilerin hızla bulabileceği yerde saklayın.
4. Denetim izi
Filtrelemenin çalıştığını, hangi varlık türlerinin bulunduğunu ve nelerin kaldırıldığını kayıt altına alın. Bu, uzun bir manuel inceleme olmaksızın müfettişlere ihtiyaç duydukları kanıtı sağlar.