Con provvedimento n. 487 del 3 luglio 2026, il Garante ha accertato l’illiceità di una serie di trattamenti effettuati da Character Technologies, Inc. (“Character”), società statunitense che offre Character.AI, un servizio di intelligenza artificiale generativa disponibile in Italia tramite app e piattaforma web. Il servizio consente agli utenti di creare e interagire, via chat, con personaggi virtuali già esistenti o creati ad hoc. All’esito dell’istruttoria, l’Autorità ha irrogato alla società una sanzione amministrativa pecuniaria di 158.000 euro e le ha ingiunto di adottare una serie di misure correttive per rendere i trattamenti conformi al GDPR. Il provvedimento è di particolare interesse in quanto affronta in modo organico diversi profili critici propri dei servizi di generative AI: dalla trasparenza delle informative privacy, alla base giuridica e all’utilizzo di dati personali per il pre-addestramento dei large language models (“LLM”), fino alla tutela dei minori e alla corretta impostazione della DPIA. La trasparenza delle informative privacy nei servizi di IA Una parte rilevante del provvedimento è dedicata all’esame dell’informativa privacy adottata dalla società e dei suoi successivi aggiornamenti. Il Garante ha accertato numerose criticità relative alla trasparenza delle informazioni rese agli utenti, evidenziando, tra l’altro, l’assenza di una versione in lingua italiana per il periodo in cui il servizio era già offerto in Italia, l’indicazione poco chiara della facoltà degli interessati di esercitare il diritto di opposizione, la mancata indicazione del rappresentante nell’Unione europea, la presenza di imprecisioni linguistiche che rendono l’informativa non intellegibile, l’impiego di espressioni vaghe e probabilistiche nella descrizione dei periodi di conservazione e dei trasferimenti extra-UE, nonché l’indicazione di più basi giuridiche alternative per le medesime attività di trattamento, tale da risultare potenzialmente fuorviante per gli interessati. Di particolare interesse è la valutazione dell’Autorità sull’approccio “multi base giuridica”. Il Garante ha ribadito che la base giuridica deve essere unica per ciascun trattamento e chiaramente comunicata agli interessati, in quanto essa incide sui diritti loro riconosciuti dal GDPR: ad esempio, un trattamento per finalità di pubblicità personalizzata non può fondarsi contemporaneamente sul consenso e sul legittimo interesse, così come un trattamento per finalità di autenticazione non può essere alternativamente ricondotto alla base giuridica del contratto o al legittimo interesse. L’esigenza di contemperare gli obblighi informativi di ordinamenti diversi non giustifica una simile pluralità, specie all’interno dell’informativa dedicata all’area SEE, ove trova applicazione un quadro normativo unico e armonizzato. Il Garante ha inoltre valorizzato la necessità di correlare puntualmente ciascuna categoria di dati trattati alla specifica finalità, alla base giuridica e al periodo di conservazione. L’ancoraggio dei tempi di conservazione a categorie generiche di finalità non è stato ritenuto conforme al dettato normativo, che impone l’indicazione precisa dei periodi di conservazione o, in mancanza, dei criteri utilizzati per determinarli. Il trattamento dei dati per il pre-addestramento dei modelli Il provvedimento affronta uno dei temi più discussi in materia di IA generativa, ossia gli obblighi di trasparenza riguardo ai dati personali utilizzati nella fase di sviluppo degli LLM. Il Garante ha accertato la violazione dell’art. 14 del GDPR per non aver Character fornito un’adeguata informativa agli interessati italiani in relazione alle operazioni di trattamento finalizzate al pre-addestramento dei propri LLM proprietari. L’Autorità ha inoltre respinto la tesi difensiva secondo cui la privacy policy pubblicata sul sito e gli aggiornamenti resi disponibili sul proprio blog e forum di terze parti (quali Reddit e Discord) potessero soddisfare l’obbligo informativo. In particolare, il Garante ha rilevato che la privacy policy si rivolgeva unicamente agli utenti del servizio e riguardava esclusivamente la fase di post-addestramento, mentre gli aggiornamenti diffusi su piattaforme di terzi non consentono di dimostrare, nemmeno in ottica di accountability, l’effettiva conoscibilità delle informazioni da parte degli interessati. Parimenti, il Garante ha respinto l’argomento secondo cui il pre-addestramento potrebbe aver comportato un trattamento di dati personali incidentale e non intenzionale, essendo basato su dataset pubblicamente disponibili raccolti da terze parti: la verifica in ordine alla presenza di dati personali nei dataset di addestramento costituisce onere precipuo del titolare in virtù del principio di accountability, e la mera possibilità che tali dati fossero incidentalmente inclusi non esclude, ma anzi presuppone, l’obbligo di adottare le misure appropriate di trasparenza. Il Garante ha invece ritenuto non integrata la contestata violazione relativa alla predisposizione di meccanismi ad hoc di opt-out preventivo: l’obbligo specifico di offrire agli interessati la possibilità di opporsi incondizionatamente al trattamento prima che questo abbia luogo, secondo l’Autorità, discende dal parere EDPB n. 28/2024[1] (adottato il 17 settembre 2024) e non può trovare applicazione retroattiva rispetto ad attività di pre-addestramento cessate anteriormente alla sua adozione. Il principio è comunque destinato ad assumere rilievo per le attività di sviluppo dei modelli attualmente in corso o avviate in futuro. L’EDPB distingue, a questo riguardo, tra la fase di sviluppo del modello, che comprende le attività precedenti alla sua diffusione, incluse la raccolta e l’elaborazione dei dati di addestramento, e la successiva fase di diffusione. Con riferimento alla fase di sviluppo, l’EDPB sottolinea l’opportunità di mettere a disposizione degli interessati, fin dall’inizio, strumenti che consentano loro di opporsi al trattamento. Tale indicazione riflette l’esigenza di adattare l’applicazione dei principi in materia di protezione dei dati alle specificità tecnologiche e operative dei sistemi di IA generativa. La tutela dei minori: verifica dell’età e impostazioni predefinite Uno dei profili di maggiore rilievo del provvedimento riguarda l’adeguatezza delle misure adottate dalla società per impedire l’accesso al servizio ai minori di sedici anni residenti nell’area SEE. Nel corso dell’istruttoria, il Garante ha accertato che un utente italiano che aveva dichiarato di avere quindici anni era riuscito a completare la registrazione al servizio e che il relativo profilo risultava pubblico per impostazione predefinita. Pur riconoscendo che il GDPR non impone specifiche misure di age verification e che, allo stato, manca uno standard europeo armonizzato in materia, l’Autorità ha ribadito che il titolare è comunque tenuto a adottare – e a dimostrare l’adeguatezza di – misure tecniche e organizzative proporzionate ai rischi. La circostanza che il servizio, pur non espressamente rivolto a minorenni, presenti caratteristiche tali da renderlo attrattivo per soggetti particolarmente vulnerabili impone un elevato standard di diligenza, che nel caso di specie è mancato quantomeno nel periodo compreso tra l’8 aprile 2024 e l’8 aprile 2025. L’Autorità ha valorizzato, altresì, il principio della privacy by default con riferimento all’impostazione dei profili degli utenti minorenni. Richiamando le linee guida EDPB in materia[2], il Garante ha ritenuto che l’impostazione predefinita del profilo di un minore come pubblico sia in radicale contrasto con l’obbligo di riservare a tali soggetti una tutela rafforzata, ordinando alla società di adottare, tra le misure correttive, la predisposizione dei profili dei minorenni in modalità privata by default. La DPIA Il Garante ha inoltre contestato la tardiva predisposizione della DPIA, rilevando come tale valutazione sia stata effettuata soltanto dopo l’avvio del servizio e a seguito dell’intervento dell’Autorità, anziché in via preventiva rispetto ai trattamenti effettuati. L’Autorità ha ricordato[3] che la DPIA è obbligatoria per i trattamenti effettuati mediante tecnologie innovative – tra cui espressamente i sistemi di intelligenza artificiale – quando ricorra almeno un altro dei nove criteri individuati dal WP Art. 29 nelle proprie linee guida sulla DPIA (es., monitoraggio sistematico degli interessati, trattamenti di dati su larga scala, etc.)[4]. Nel caso di specie il rischio elevato doveva ritenersi presunto in ragione della compresenza di più fattori: l’impiego di una tecnologia particolarmente innovativa come l’IA generativa, il trattamento di dati su larga scala per lo sviluppo degli LLM proprietari e il coinvolgimento di soggetti vulnerabili quali i minorenni. Non è stato ritenuto sufficiente il richiamo generico a valutazioni interne, asseritamente condotte sin dal lancio del servizio: il principio di accountability impone la formalizzazione delle analisi svolte attraverso la predisposizione di una DPIA e non mediante non meglio precisate e documentate valutazioni interne aziendali. La nomina del rappresentante nell’Unione europea Il Garante ha inoltre contestato la tardiva designazione del rappresentante nell’Unione europea, rilevando come tale nomina sia intervenuta soltanto dopo che il servizio era già stato reso disponibile agli utenti dell’area SEE, e specificamente a quelli italiani. L’Autorità ha respinto la tesi difensiva secondo cui l’attività di trattamento avrebbe avuto natura occasionale, rilevando come tale eccezione non possa applicarsi ai trattamenti connessi a un servizio stabilmente offerto in lingua italiana e destinati anche al pre-addestramento di LLM su larga scala. Cosa dovrebbero fare le imprese che sviluppano o offrono sistemi di IA generativa Il provvedimento del Garante offre indicazioni operative di rilievo per tutte le imprese che sviluppano o rendono disponibili al pubblico europeo sistemi di IA generativa, indipendentemente dalla loro dimensione. In primo luogo, esso conferma la necessità di considerare gli obblighi in materia di protezione dei dati personali sin dalla fase di progettazione del servizio: la DPIA e le misure di privacy by design e by default non costituiscono adempimenti da posticipare al lancio commerciale, ma condizioni imprescindibili per l’avvio stesso del trattamento. In secondo luogo, il provvedimento evidenzia come la trasparenza nei confronti degli interessati richieda un elevato grado di precisione. Le informative privacy dovrebbero associare puntualmente ogni categoria di dati alla specifica finalità, alla base giuridica e al periodo di conservazione, evitando formulazioni astratte, verbi probabilistici e l’indicazione plurima di basi giuridiche alternative per il medesimo trattamento. Analoga attenzione va riservata alla traduzione dei testi nelle lingue dei mercati serviti, evitando terminologia impropria o suscettibile di generare fraintendimenti. Con particolare riferimento al ciclo di vita dei modelli, le imprese dovrebbero distinguere chiaramente, nelle informative, tra fase di sviluppo e fase di diffusione, illustrando in modo specifico le operazioni di pre-addestramento e post-addestramento, le categorie di dati coinvolti e le modalità con cui gli interessati (utenti e non utenti) possono esercitare i propri diritti, compreso il diritto di opposizione nei modi indicati dall’EDPB nel parere n. 28/2024. Ulteriore profilo di attenzione è rappresentato dalla tutela dei minori. Le imprese dovrebbero valutare, sulla base di un approccio fondato sul rischio, le misure di age assurance più adeguate al contesto del proprio servizio, verificarne periodicamente il corretto funzionamento e assicurare che le impostazioni predefinite del prodotto siano configurate in modo da minimizzare l’esposizione dei minori, in particolare con riferimento alla visibilità dei profili e dei contenuti generati. Da ultimo, il provvedimento ribadisce la centralità degli adempimenti “strutturali” imposti dal GDPR ai titolari extra-UE, quali la tempestiva nomina del rappresentante e la predisposizione di canali di contatto pienamente funzionanti. Si tratta di elementi che, benché talvolta percepiti come formali, rappresentano il presupposto operativo per l’effettivo esercizio dei diritti degli interessati e per l’interlocuzione con le autorità di controllo. Nel complesso, il provvedimento conferma che le specificità tecnologiche dei servizi di IA generativa e l’evoluzione del relativo quadro giuridico non escludono l’applicazione dei principi fondamentali in materia di protezione dei dati personali. Per le imprese, la sfida consiste nell’integrare tali principi fin dall’origine nelle scelte di prodotto, nei processi di governance e nelle attività di sviluppo tecnologico, evitando che gli adempimenti privacy siano affrontati soltanto dopo il lancio del servizio o l’intervento dell’autorità di controllo. [1] Per maggiori approfondimenti sul tema, rinviamo al nostro precedente contributo “Protezione dei dati personali nell’IA: il Parere dell’EDPB su anonimizzazione, interesse legittimo e conseguenze di un trattamento illecito”. [2] EDPB, Linee Guida n. 4/2019 sull’articolo 25 Protezione dei dati fin dalla progettazione e per impostazione predefinita. [3] Provvedimento n. 467 dell’11 ottobre 2018, doc. web. 9058979. [4] In particolare, le linee guida individuano i seguenti nove criteri da tenere in considerazione ai fini dell’identificazione dei trattamenti che possono presentare un “rischio elevato”: 1) valutazione o assegnazione di un punteggio, inclusiva di profilazione e previsione, in particolare in considerazione di aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti dell’interessato; 2) processo decisionale automatizzato che ha effetto giuridico o incide in modo analogo significativamente sulle persone; 3) monitoraggio sistematico degli interessati; 4) dati sensibili o dati aventi carattere altamente personale; 5) trattamento di dati su larga scala; 6) creazione di corrispondenze o combinazione di insiemi di dati; 7) dati relativi a interessati vulnerabili; 8) uso innovativo o applicazione di nuove soluzioni tecnologiche od organizzative; 9) quando il trattamento in sé impedisce agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto.
