TL;DR per il DPO
Provv. 3/7/2026 (doc. web 10269571), istruttoria d'ufficio avviata a novembre 2024: 158.000 euro a Character Technologies. Violazioni: informativa non chiara e completa (artt. 12, 13 e 14), DPIA tardiva per un trattamento che la richiedeva PRIMA dell'avvio, designazione tardiva del rappresentante UE (art. 27), carenze su verifica dell'eta' e tutela dei minori. Correttivi entro 120 giorni: age verification efficace, cooling-off contro le re-iscrizioni, profili minori privati by default.
Le tre lezioni che contano
- La DPIA e' una condizione di liceita', non una formalita': per un servizio di IA generativa accessibile anche a minori andava fatta PRIMA del lancio. Farla dopo, a servizio avviato, e' essa stessa la violazione.
- L'art. 27 e' la norma dimenticata dalle societa' extra-UE: se offri servizi a interessati nello Spazio economico europeo senza stabilimento UE, il rappresentante va designato subito - la sua assenza e' contestazione autonoma.
- Minori: se il servizio e' accessibile a minorenni (o non puoi escluderlo), il Garante pretende age verification che funzioni davvero, misure contro l'aggiramento e impostazioni predefinite protettive. I default contano quanto le policy.
Cosa fare adesso, in pratica
Se un tuo cliente lancia o usa servizi di IA rivolti al pubblico: 1) DPIA prima del go-live, agli atti e datata; 2) verifica se serve il rappresentante UE (fornitori USA inclusi: chiedilo ai vendor in due diligence); 3) se il servizio puo' raggiungere minori, documenta age verification, default protettivi e misure anti-aggiramento; 4) censisci questi strumenti nel registro dei sistemi di IA - il quadro si integra con l'AI Act, i cui divieti (art. 5) e obblighi di alfabetizzazione sono gia' applicabili.
Perche' conta per i tuoi clienti
Il messaggio del Garante e' rivolto a tutto il mercato dell'IA consumer: la protezione dei dati si progetta prima, non si aggiusta dopo. E vale anche in senso inverso, per i titolari italiani che ADOTTANO chatbot e assistenti virtuali: la due diligence sul fornitore (DPIA, rappresentante UE, gestione minori) e' parte del compito del DPO.
Fonte ufficiale:Garante per la protezione dei dati personali - provvedimento del 3 luglio 2026, doc. web n. 10269571 (Character Technologies Inc.)Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
