Replika viola in modo massiccio il GDPR: Luka Inc. deve pagare una multa di milioni in Italia

Il chatbot AI Replika viola in modo massiccio il GDPR.
Categorie:

Il Garante per la protezione dei dati personali ha emesso un provvedimento nei confronti della società statunitense Luka Inc. Fine per un importo di 5 milioni di euro. Luka Inc. avrebbe violato i principi centrali di protezione dei dati del GDPR con il suo chatbot Replika, supportato dall'intelligenza artificiale. GDPR hanno violato la legge. La decisione è notevole non solo per l'entità della sanzione, ma anche per l'analisi giuridica dettagliata delle sfide poste dai sistemi di IA generativi e dalla tutela dei minori.

La replica e i suoi rischi

Replika è un chatbot supportato dall'intelligenza artificiale che può fungere da compagno emotivo, amico o partner romantico tramite interazione testuale e vocale. Il sistema è stato commercializzato in particolare per promuovere il benessere emotivo. Si rivolge anche a persone mentalmente stressate o socialmente isolate.

Replika è tecnicamente basato su un cosiddetto Large Language Model (LLM). Le sue prestazioni vengono migliorate grazie alla continua interazione con gli utenti. Questo ulteriore sviluppo avviene utilizzando i dati reali degli utenti, comprese le informazioni personali come il contenuto della comunicazione, le espressioni vocali e, se del caso, le informazioni sullo stato mentale o sulle condizioni emotive. Si tratta di un aspetto particolarmente delicato dal punto di vista della protezione dei dati, in quanto tali dati sono spesso particolarmente sensibili e consentono di trarre conclusioni sulla personalità, gli stati d'animo e le abitudini delle persone interessate.

Il nucleo delle accuse contro Luka Inc.: tre gravi violazioni della protezione dei dati personali

Mancanza di una base giuridica per il trattamento dei dati (art. 5, par. 1, lett. a, art. 6). GDPR)
La dichiarazione sulla protezione dei dati valida al momento dell'inchiesta (versione del 5 luglio 2022) non riportava alcuna ripartizione differenziata dei dati. Base giuridica a specifiche operazioni di elaborazione. In particolare, il Elaborazione La decisione di sviluppare ulteriormente l'LLM (sviluppo del modello) è stata presa senza una base giuridica sufficiente. Ciò viola il principio di uno sviluppo legittimo, equo e trasparente. Elaborazione.

Insufficiente Obbligo di informazione (Art. 12 e 13) GDPR)
L'informativa sulla privacy era disponibile solo in inglese, il che viola l'art. 12, par. 1, frase 2. GDPR è violato. Lo standard richiede che le informazioni siano fornite in un linguaggio chiaro e facilmente comprensibile, anche per gli utenti di lingua italiana e per i minori. In effetti, l'informativa sulla privacy non conteneva alcuna informazione sul periodo di conservazione o informazioni chiare sull'uso dei dati personali, sui trasferimenti al di fuori dell'Unione Europea o sulla Elaborazione attraverso un processo decisionale automatizzato. Ciò ha comportato una notevole mancanza di trasparenza per quanto riguarda il tipo e la portata del trattamento dei dati.

Mancanza di tutela dei minori (art. 5 par. 1 lett. c, art. 24, 25 GDPR)
Nonostante si rivolgesse esplicitamente al gruppo target (supporto emotivo, relazione sentimentale), Replika non conteneva alcun meccanismo efficace per la verifica dell'età. I minori hanno potuto utilizzare il servizio senza ostacoli, anche se si sono dichiarati apertamente minorenni. In particolare, l'autorità di controllo della protezione dei dati ha criticato la mancata attuazione di misure tecniche di protezione come un robusto "cancello dell'età", un'efficace procedura di "raffreddamento" o metodi di riconoscimento vocale.

Sanzioni contro le repliche: importo, giustificazione e ulteriori misure

L'Autorità italiana per la protezione dei dati personali ha inflitto una multa a Luka Inc. Fine per un importo di 5 milioni di euro. La base per questa sanzione era l'art. 83, comma 5, del Codice Civile. GDPRche prevede le ammende più elevate per le violazioni particolarmente gravi dei principi fondamentali della protezione dei dati. Nel calcolare l'importo specifico, l'autorità ha tenuto conto anche dei limiti di cui all'articolo 83, paragrafo 2, del Codice civile. GDPR criteri citati. Questi includono il tipo, la gravità e la durata della violazione, il numero di persone interessate, l'entità del danno causato e il comportamento del responsabile del trattamento durante il procedimento.

In questo caso, sono state individuate diverse circostanze aggravanti: In primo luogo, vi è stata un'inosservanza strutturale e sistematica dei requisiti fondamentali in materia di protezione dei dati - in particolare per quanto riguarda Trasparenza, Stanziamento di fondi, Base giuridica e misure di protezione tecnica. In secondo luogo, è stato colpito un gran numero di utenti, compresi gruppi vulnerabili come i minori. In terzo luogo, la portata internazionale di Replika rappresentava un rischio significativo per i cittadini dell'UE, poiché non erano state predisposte garanzie adeguate per proteggere il trattamento transfrontaliero dei dati.

Oltre al Fine l'autorità italiana ha imposto a Luka Inc. di apportare specifici miglioramenti. Tra questi, la fornitura di un'informativa sulla privacy completa e di facile comprensione in italiano. Inoltre, le informazioni sui trasferimenti di dati verso Paesi terzi, sui periodi di conservazione e sulle finalità del trattamento devono essere rese molto più trasparenti e conformi al GDPR.

L'implementazione di un efficace sistema di verifica dell'età è un altro punto di particolare attenzione. Questo dovrebbe controllare efficacemente l'accesso dei minori in futuro e garantire garanzie adeguate all'età.

Suggerimento di lettura: Competenze dell'IA e obblighi dell'azienda ai sensi dell'art. 4 del Regolamento IA

Importanza pratica: precedenti per i servizi di IA nell'UE

La decisione del Garante italiano per la protezione dei dati personali nei confronti di Luka Inc. ha un significato fondamentale per la gestione dei sistemi di IA generativa all'interno dell'Unione Europea, al di là del singolo caso. Essa chiarisce che il GDPR è pienamente applicabile anche a modelli di business altamente dinamici e guidati dalla tecnologia. Anche se il responsabile Il fornitore ha la propria sede legale al di fuori dell'UE. Ciò è dovuto al fatto che il principio del mercato (art. 3, par. 2) GDPR) garantisce l'applicabilità della normativa europea in materia di protezione dei dati ovunque Dati personali trattati da persone residenti nell'UE.

Ciò invia un chiaro segnale per la pratica della protezione dei dati: le applicazioni di IA devono essere progettate fin dall'inizio in modo tale che Protezione dei dati e Sicurezza dei dati strutturalmente presi in considerazione. Ciò vale in particolare per i modelli di business che si rivolgono specificamente agli aspetti emotivi o psicologici del comportamento degli utenti. La considerazione di meccanismi di protezione per i minori, informazioni trasparenti sui processi decisionali automatizzati e la chiara delimitazione delle finalità del trattamento dei dati sono assolutamente essenziali.

Il caso Replika dimostra inoltre che le autorità di controllo sono disposte a sottoporre anche sistemi tecnicamente complessi a un'analisi legale approfondita e a imporre sanzioni severe in caso di violazioni. Questo dovrebbe incoraggiare anche altri fornitori di chatbot, assistenti virtuali o servizi di terapia digitale a sottoporre i loro processi e le loro dichiarazioni sulla protezione dei dati a un esame critico.

Infine, ma non meno importante, la decisione è anche un appello alla regolamentazione internazionale: Mentre il GDPR ha già stabilito un elevato standard di protezione, il caso illustra la necessità di standard minimi globali per la protezione delle persone. Trasparenzaresponsabilità e diritti di proprietà nel campo dell'intelligenza artificiale. Il caso Luka Inc. potrebbe quindi svolgere un ruolo pionieristico per ulteriori procedimenti a livello nazionale ed europeo e fungere da modello per un ecosistema di IA conforme alla protezione dei dati in Europa.

Fonte: Multa inflitta dall'Autorità Garante per la protezione dei dati personali nei confronti di Luka Inc.

Tag:
Condividi questo post :