Garante Privacy e IA: Le regole italiane per l'intelligenza artificiale

Il Garante per la protezione dei dati personali italiano si e affermato come una delle autorita piu attive e incisive d'Europa nella regolamentazione dell'Intelligenza Artificiale. Dal celebre provvedimento contro ChatGPT del 2023, che ha fatto il giro del mondo, alle numerose sanzioni, linee guida e richieste di chiarimento, l'approccio italiano si caratterizza per un'attenta applicazione dei principi del GDPR al contesto specifico dell'AI generativa. Per le imprese che operano sul territorio italiano, comprendere gli orientamenti del Garante non solo una questione di compliance, ma una necessita operativa per evitare sanzioni che possono raggiungere milioni di euro.

Il caso ChatGPT e le sue conseguenze

Nel marzo 2023, il Garante italiano ha emanato un provvedimento d'urgenza che ha portato alla temporanea sospensione di ChatGPT in Italia, il primo blocco di questo tipo a livello mondiale. L'autorita contestava la mancanza di un'informativa privacy adeguata, l'assenza di una base giuridica per il trattamento dei dati di addestramento e la mancanza di sistemi di verifica dell'eta degli utenti. Questo provvedimento ha avuto un effetto domino: OpenAI ha modificato le proprie policy a livello globale, introducendo maggiore trasparenza e strumenti di controllo per gli utenti. Nel 2026, l'approccio del Garante rimane quello di un dialogo serrato con i provider di AI, cercando di bilanciare innovazione e protezione dei diritti, ma senza esitare a intervenire con provvedimenti restrittivi quando necessario.

Data scraping e training dei modelli: i limiti italiani

Uno dei punti piu delicati dell'azione del Garante riguarda il data scraping, ovvero la raccolta di dati personali dal web per l'addestramento dei modelli AI. L'autorita italiana ha chiarito che lo scraping di dati personali senza una base giuridica adeguata viola il GDPR, indipendentemente dal fatto che i dati siano pubblicamente accessibili. Le imprese che utilizzano modelli addestrati su dati raccolti tramite scraping devono verificare la liceita della fonte e, in caso di dubbi, condurre un'analisi di impatto approfondita. Inoltre, il Garante ha richiesto a diverse piattaforme di implementare meccanismi tecnici per consentire agli utenti di opporsi allo scraping dei propri dati (opt-out), anticipando di fatto requisiti che l'EU AI Act rendera obbligatori.

Sanzioni e provvedimenti recenti

Nel biennio 2024-2026, il Garante ha intensificato l'attivita ispettiva e sanzionatoria nel settore AI. Le sanzioni hanno riguardato principalmente: violazione del principio di trasparenza (informativa insufficiente), mancata designazione del DPO, trattamento illecito di dati per l'addestramento di modelli e mancata adozione di misure di sicurezza adeguate. Le sanzioni amministrative, calcolate secondo i criteri del GDPR, hanno raggiunto importi significativi, fino a diversi milioni di euro per i casi piu gravi. A queste si aggiungono le sanzioni accessorie: il divieto temporaneo o permanente di trattamento, la rettifica o la cancellazione dei dati e l'ordine di adeguamento delle policy aziendali.

Informativa e consenso per sistemi AI

Il Garante ha fornito indicazioni precise su come devono essere redatte le informative privacy per i sistemi di IA. Oltre ai contenuti tradizionali, l'informativa deve specificare: la logica del processo decisionale automatizzato, le categorie di dati utilizzati per l'addestramento, le misure di sicurezza adottate, i diritti dell'interessato inclusa la possibilita di richiedere l'intervento umano e la durata di conservazione dei dati. Per quanto riguarda il consenso, il Garante ha sottolineato che deve essere libero, specifico, informato e inequivocabile, e che non puo essere confuso con l'accettazione dei termini di servizio generici. Il consenso al trattamento dei dati per finalita di AI deve essere richiesto con un atto positivo distinto e deve essere revocabile con la stessa facilita con cui e stato prestato.