Il Garante Privacy ha sanzionato Character AI per trattamento illecito di dati personali di minori, contestando l’assenza di sistemi adeguati di verifica dell’età. Gli studi che assistono piattaforme digitali devono aggiornare i propri modelli di compliance, mentre chi rappresenta famiglie danneggiate dispone ora di un precedente spendibile per azioni risarcitorie. Il provvedimento rafforza l’orientamento del Garante verso sanzioni strutturali, non solo pecuniarie, con obbligo di adeguamento tecnico entro termini definiti.
Punti chiave
- Punto 1 — Il Garante ha irrogato una sanzione a Character AI per mancata verifica dell’età degli utenti minorenni.
- Punto 2 — Il provvedimento impone misure tecniche obbligatorie, non solo la multa pecuniaria.
- Punto 3 — Il precedente è utile per azioni risarcitorie da parte di famiglie di minori coinvolti.
Chi assiste piattaforme di intelligenza artificiale o servizi digitali rivolti al pubblico deve aggiornare subito i propri checklist di compliance privacy. Il Garante per la protezione dei dati personali ha dimostrato, ancora una volta, di non limitarsi alla sanzione economica: impone misure correttive strutturali con scadenze precise, e il mancato adeguamento espone il titolare a ulteriori procedimenti.
Il Garante ha sanzionato Character AI — piattaforma statunitense di chatbot basati su intelligenza artificiale — per aver trattato dati personali di utenti minorenni senza adottare sistemi efficaci di verifica dell’età. Il provvedimento prevede sia una multa sia l’obbligo di introdurre misure tecniche e organizzative specifiche. La notizia è stata riportata da Diritto.it.
Il contesto normativo
Il quadro di riferimento è il Regolamento (UE) 2016/679 (GDPR), in particolare l’art. 8, che fissa a 16 anni (abbassabile a 13 dai singoli Stati membri: in Italia il d.lgs. 196/2003, come modificato dal d.lgs. 101/2018, ha adottato il limite di 14 anni) la soglia sotto cui il trattamento dei dati del minore richiede il consenso del titolare della responsabilità genitoriale. L’art. 83 GDPR prevede sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, applicabile il più alto dei due valori. Sul piano interno, l’art. 144 del Codice Privacy attribuisce al Garante il potere di adottare misure correttive oltre alla sanzione pecuniaria. Il Garante aveva già seguito questo approccio nel caso Replika (provvedimento del 2 febbraio 2023), bloccando temporaneamente il trattamento dei dati degli utenti italiani in assenza di adeguate tutele per i soggetti vulnerabili.
Cosa cambia per lo studio
- Se assisti una piattaforma digitale che consente interazioni con contenuti generati da AI, verifica subito se il sistema di age verification adottato supera il test di «misure tecniche e organizzative adeguate» richiesto dall’art. 25 GDPR (privacy by design e by default). Una dichiarazione self-service dell’utente non è sufficiente.
- Nei contratti di servizio tra piattaforme e utenti, inserisci clausole che impongano al titolare obblighi di verifica attiva dell’età, con responsabilità contrattuale esplicita in caso di inadempimento: il provvedimento del Garante può fondare una domanda risarcitoria ex art. 82 GDPR da parte dell’interessato danneggiato.
- Per gli studi che assistono famiglie di minori, questo provvedimento costituisce un precedente diretto spendibile davanti all’AGO per ottenere il risarcimento del danno non patrimoniale da trattamento illecito, senza dover dimostrare ex novo l’illiceità della condotta della piattaforma.
- Aggiorna i modelli di Data Protection Impact Assessment (DPIA) dei clienti che operano nel settore AI: il Garante considera il trattamento di dati di minori da parte di sistemi conversazionali come categoria ad alto rischio, con obbligo di DPIA preventiva ex art. 35 GDPR.
- Monitora il registro dei provvedimenti del Garante: le misure correttive imposte a Character AI potranno essere richiamate come standard di riferimento in sede di ispezione nei confronti di piattaforme analoghe assistite dal tuo studio.
Attenzione a
Il rischio principale è sottovalutare la portata territoriale del provvedimento. Il GDPR si applica a qualsiasi titolare che offra servizi a utenti nell’UE, indipendentemente dalla sede legale: un cliente italiano che utilizza o integra servizi AI esteri nella propria piattaforma risponde in solido per i trattamenti svolti nell’ambito di quella filiera, se non ha contrattualizzato adeguatamente i ruoli di titolare e responsabile ex art. 28 GDPR.
Attenzione anche a non confondere la sanzione amministrativa del Garante con l’esaurimento della pretesa risarcitoria. Le due azioni sono autonome: la famiglia del minore può agire in giudizio per il risarcimento del danno ex art. 82 GDPR anche dopo — o parallelamente — al procedimento amministrativo, e il provvedimento sanzionatorio del Garante ha valore probatorio rafforzato in quella sede.
Domande frequenti
Un minore italiano può chiedere il risarcimento danni a Character AI dopo il provvedimento del Garante?
Sì. L’art. 82 GDPR riconosce il diritto al risarcimento del danno materiale e immateriale a chiunque subisca un trattamento illecito. Il provvedimento del Garante non preclude l’azione civile e può essere utilizzato come prova della condotta illecita davanti al giudice ordinario. In Italia la competenza è del Tribunale del luogo di residenza dell’interessato, ex art. 79 GDPR.
Cosa deve fare una piattaforma AI italiana per non incorrere nelle stesse contestazioni mosse a Character AI?
Deve adottare sistemi di verifica dell’età tecnicamente affidabili (non la sola autodichiarazione), effettuare una DPIA ex art. 35 GDPR se tratta dati di minori, e documentare le misure di privacy by design ex art. 25 GDPR. Il Garante considera insufficienti i meccanismi puramente contrattuali o le mere informative: serve un controllo attivo prima dell’accesso al servizio.
Il Garante italiano è competente a sanzionare una piattaforma con sede negli USA come Character AI?
Sì, quando la piattaforma offre servizi a soggetti nell’UE e monitora il loro comportamento, il GDPR si applica per effetto del criterio di applicabilità territoriale dell’art. 3, par. 2. Il Garante italiano può intervenire direttamente o coordinarsi con le altre autorità europee tramite il meccanismo dello sportello unico (one-stop-shop) se la piattaforma ha uno stabilimento principale in un altro Stato membro.
Fonte di riferimento: Diritto.it