Il Garante per la protezione dei dati personali ha emesso un provvedimento nei confronti della società statunitense Luka Inc. Fine per un importo di 5 milioni di euro. Luka Inc. avrebbe violato i principi centrali di protezione dei dati del GDPR con il suo chatbot Replika, supportato dall'intelligenza artificiale. GDPR hanno violato la legge. La decisione è notevole non solo per l'entità della sanzione, ma anche per l'analisi giuridica dettagliata delle sfide poste dai sistemi di IA generativi e dalla tutela dei minori.
La replica e i suoi rischi
Replika è un chatbot basato sull'intelligenza artificiale che, attraverso l'interazione testuale e vocale, può fungere da compagno emotivo, amico o partner sentimentale. Il sistema è stato commercializzato in particolare per promuovere il benessere emotivo, rivolgendosi anche a persone con difficoltà psicologiche o socialmente isolate.
Dal punto di vista tecnico, Replika si basa su un cosiddetto Large Language Model (LLM). Le sue prestazioni vengono migliorate grazie alla continua interazione con gli utenti. Questo processo di perfezionamento avviene utilizzando dati reali degli utenti, tra cui anche informazioni personali quali i contenuti delle comunicazioni, le espressioni vocali e, se del caso, indicazioni sullo stato mentale o sul stato emotivo. Dal punto di vista della protezione dei dati, ciò è particolarmente delicato, poiché tali dati sono spesso particolarmente sensibili e consentono di trarre conclusioni sulla personalità, sugli stati d’animo e sulle abitudini delle persone interessate.
Il fulcro delle accuse mosse contro Luka Inc.: tre gravi violazioni della normativa sulla protezione dei dati
Mancanza di una base giuridica per il trattamento dei dati (art. 5, par. 1, lett. a, art. 6). GDPR)
L'informativa sulla privacy in vigore al momento dell'indagine (versione del 5 luglio 2022) non presentava una classificazione differenziata di Base giuridica a specifiche operazioni di elaborazione. In particolare, il Elaborazione La decisione di sviluppare ulteriormente l'LLM (sviluppo del modello) è stata presa senza una base giuridica sufficiente. Ciò viola il principio di uno sviluppo legittimo, equo e trasparente. Elaborazione.
Insufficiente Obbligo di informazione (Art. 12 e 13) GDPR)
L'informativa sulla privacy era disponibile solo in inglese, il che viola l'art. 12, par. 1, frase 2. GDPR è violato. Lo standard richiede che le informazioni siano fornite in un linguaggio chiaro e facilmente comprensibile, anche per gli utenti di lingua italiana e per i minori. In effetti, l'informativa sulla privacy non conteneva alcuna informazione sul periodo di conservazione o informazioni chiare sull'uso dei dati personali, sui trasferimenti al di fuori dell'Unione Europea o sulla Elaborazione attraverso un processo decisionale automatizzato. Ciò ha comportato una notevole mancanza di trasparenza per quanto riguarda il tipo e la portata del trattamento dei dati.
Mancanza di tutela dei minori (art. 5 par. 1 lett. c, art. 24, 25 GDPR)
Nonostante si rivolgesse esplicitamente a un determinato pubblico (sostegno emotivo, relazioni romantiche), Replika non disponeva di meccanismi efficaci per la verifica dell’età. I minorenni potevano utilizzare il servizio senza ostacoli, anche se dichiaravano apertamente di avere meno di 18 anni. L’autorità garante della protezione dei dati ha contestato in particolare la mancata implementazione di misure tecniche di protezione quali un solido „age-gate“, un’efficace procedura di „cooling-off“ o metodi di riconoscimento basati sul linguaggio.
Sanzioni nei confronti di Replika: entità, motivazione e misure ulteriori
L'Autorità italiana per la protezione dei dati personali ha inflitto una multa a Luka Inc. Fine per un importo di 5 milioni di euro. La base per questa sanzione era l'art. 83, comma 5, del Codice Civile. GDPRche prevede le ammende più elevate per le violazioni particolarmente gravi dei principi fondamentali della protezione dei dati. Nel calcolare l'importo specifico, l'autorità ha tenuto conto anche dei limiti di cui all'articolo 83, paragrafo 2, del Codice civile. GDPR criteri citati. Questi includono il tipo, la gravità e la durata della violazione, il numero di persone interessate, l'entità del danno causato e il comportamento del responsabile del trattamento durante il procedimento.
In questo caso, sono state individuate diverse circostanze aggravanti: In primo luogo, vi è stata un'inosservanza strutturale e sistematica dei requisiti fondamentali in materia di protezione dei dati - in particolare per quanto riguarda Trasparenza, Stanziamento di fondi, Base giuridica e misure tecniche di protezione. In secondo luogo, è stato coinvolto un numero elevato di utenti, compresi gruppi vulnerabili come i minori. In terzo luogo, la portata internazionale di Replika rappresentava un rischio significativo per i cittadini dell’UE, poiché non erano state adottate misure adeguate a garantire la protezione nel contesto del trattamento transfrontaliero dei dati.
Oltre al Fine L'autorità italiana ha imposto a Luka Inc. di apportare miglioramenti concreti. Tra questi figurava, tra l'altro, la messa a disposizione di un'informativa sulla privacy completa e di facile comprensione in lingua italiana. Inoltre, le informazioni relative ai trasferimenti di dati verso paesi terzi, nonché ai periodi di conservazione e alle finalità del trattamento, devono essere nettamente più trasparenti e GDPR-conforme.
Particolare attenzione è inoltre rivolta all’implementazione di un sistema efficace di verifica dell’età. Ciò consentirà in futuro di controllare efficacemente l’accesso dei minori e di garantire misure di protezione adeguate all’età.
Suggerimento di lettura: Competenze dell'IA e obblighi dell'azienda ai sensi dell'art. 4 del Regolamento IA
Significato per la pratica: un precedente per i servizi di IA nell'UE
La decisione del Garante italiano per la protezione dei dati personali nei confronti di Luka Inc. ha un significato fondamentale per la gestione dei sistemi di IA generativa all'interno dell'Unione Europea, al di là del singolo caso. Essa chiarisce che il GDPR è pienamente applicabile anche a modelli di business altamente dinamici e guidati dalla tecnologia. Anche se il responsabile Il fornitore ha la propria sede legale al di fuori dell'UE. Ciò è dovuto al fatto che il principio del mercato (art. 3, par. 2) GDPR) garantisce l'applicabilità della normativa europea in materia di protezione dei dati ovunque Dati personali da parte di persone residenti nell'UE.
Per la pratica della protezione dei dati ne deriva un segnale chiaro: le applicazioni di intelligenza artificiale devono essere progettate fin dall’inizio in modo tale che Protezione dei dati e Sicurezza dei dati devono essere presi in considerazione a livello strutturale. Ciò vale in particolare per i modelli di business che mirano specificatamente agli aspetti emotivi o psicologici del comportamento degli utenti. È assolutamente necessario prevedere meccanismi di tutela per i minori, fornire informazioni trasparenti sui processi decisionali automatizzati e definire chiaramente le finalità del trattamento dei dati.
Il caso Replika dimostra inoltre che le autorità di vigilanza sono disposte a sottoporre anche sistemi tecnicamente complessi a un’approfondita analisi giuridica e a infliggere sanzioni severe in caso di violazioni accertate. Ciò dovrebbe spingere anche altri fornitori di chatbot, assistenti virtuali o servizi terapeutici digitali a sottoporre i propri processi e le proprie informative sulla privacy a un esame critico.
Infine, ma non meno importante, la decisione è anche un appello alla regolamentazione internazionale: Mentre il GDPR ha già stabilito un elevato standard di protezione, il caso illustra la necessità di standard minimi globali per la protezione delle persone. Trasparenzaresponsabilità e diritti di proprietà nel campo dell'intelligenza artificiale. Il caso Luka Inc. potrebbe quindi svolgere un ruolo pionieristico per ulteriori procedimenti a livello nazionale ed europeo e fungere da modello per un ecosistema di IA conforme alla protezione dei dati in Europa.
German 
English 
Italian 
French