# Garante privacy e AI generativa: cosa insegnano i provvedimenti

> Garante privacy e AI generativa: i provvedimenti 2024-2026 su OpenAI, DeepSeek, Character.AI e deepfake e cosa insegnano a chi usa chatbot in azienda.

Normative · pubblicato il 20 ottobre 2026 · https://aimazing.it/blog/garante-privacy-e-ai-generativa-cosa-insegnano-i-provvedimenti/

Tra il 2024 e il 2026 il **Garante privacy** è intervenuto più volte sull’**AI generativa**: ha sanzionato OpenAI e Character.AI, ha limitato DeepSeek e Clothoff, ha avvertito chi crea deepfake e chi analizza lo stress dei dipendenti. Anche se riguardano grandi piattaforme, questi provvedimenti contengono lezioni precise per qualsiasi azienda che usa un chatbot o un assistente virtuale. Le abbiamo raccolte usando solo documenti pubblicati sul sito del Garante.

## In breve

- Nella relazione sul 2024 il Garante ha comunicato di aver ordinato a OpenAI, per ChatGPT, una **campagna informativa** e una **sanzione di 15 milioni di euro**.
- Nel 2025 ha **limitato il trattamento** dei dati degli utenti italiani da parte di DeepSeek e, in via provvisoria, di Clothoff, un’app che crea immagini di persone svestite.
- Il 3 luglio 2026 ha sanzionato **Character.AI per 158.000 euro**, per carenze nell’informativa, ritardi e problemi nella verifica dell’età.
- Il 18 dicembre 2025 ha **avvertito chi usa servizi di deepfake**: voci e immagini di altre persone non si trattano senza una base giuridica.

## I provvedimenti più importanti dal 2024 a oggi

- **Web scraping (maggio 2024)**: indicazioni ai gestori di siti per difendere i dati personali pubblicati online dalla raccolta massiva usata per addestrare l’AI generativa.
- **OpenAI e ChatGPT**: chiusura dell’istruttoria, sanzione di 15 milioni e campagna informativa, comunicate nella relazione annuale sul 2024.
- **DeepSeek (2025)**: limitazione del trattamento dei dati degli utenti italiani nei confronti delle due società cinesi che gestiscono il servizio.
- **Clothoff (2025)**: limitazione provvisoria per l’app che genera immagini di persone senza vestiti, anche di minori.
- **Deepfake (18 dicembre 2025)**: avvertimento a chi usa servizi che generano audio, foto e video con voci e volti altrui.
- **AI e lavoro (14 maggio 2026)**: avvertimento a una start-up per un plug-in che stima lo stress dei dipendenti dalle chat.
- **Character.AI (3 luglio 2026)**: sanzione e ordini su verifica dell’età e tutela dei minori.
- **Punteggi automatici nell’energia (luglio 2026)**: sanzioni per complessivi 7,72 milioni di euro a due fornitori e due società di informazioni creditizie per la scarsa trasparenza del punteggio che decideva l’attivazione dei contratti.

## Lezione 1: l’informativa deve essere chiara, completa e in italiano

Nel caso Character.AI il Garante ha contestato un’informativa disponibile solo in inglese fino al 27 agosto 2025, formule poco chiare sull’opposizione, tempi di conservazione vaghi e più basi giuridiche indicate per la stessa finalità. Il principio è netto: **«la base giuridica deve essere unica e chiaramente comunicata agli interessati»**. Anche per OpenAI la misura principale, oltre alla sanzione, è stata una campagna per informare le persone.

Per un’azienda con un assistente sul sito o su WhatsApp significa: un avviso breve all’inizio della conversazione, un link all’informativa completa in italiano, e risposte chiare su quali dati si raccolgono, perché, per quanto tempo e con quali fornitori.

## Lezione 2: valutare i rischi prima di partire e proteggere i minori

A Character.AI il Garante ha contestato una **valutazione d’impatto (DPIA)** preparata in ritardo, che nella prima versione non considerava i minori e in nessuna versione valutava l’addestramento dei modelli, la nomina tardiva del rappresentante nell’Unione europea e una verifica dell’età inefficace: in una prova dell’8 aprile 2025 un utente che si dichiarava quindicenne riusciva a registrarsi. Gli ordini: verifica dell’età funzionante, un «periodo di raffreddamento» che impedisca nuovi tentativi di registrazione ai minori bloccati, profili dei minorenni privati per impostazione predefinita, e una comunicazione delle misure entro 120 giorni.

La lezione per una PMI è fare la valutazione dei rischi prima di accendere un assistente e chiedersi se il servizio può essere usato da minori. Se scegli un fornitore extra UE, verifica anche che abbia un rappresentante nell’Unione.

## Lezione 3: voci e volti di altre persone non si usano senza base giuridica

Con l’avvertimento del 18 dicembre 2025 il Garante ha ricordato che trattare la voce o l’immagine di terzi senza un’idonea condizione di liceità e senza informarli può violare gli articoli 5, 6 e 9 del GDPR. Voce e immagine sono dati personali e, se servono a identificare una persona in modo univoco, possono essere **dati biometrici**. Tra i rischi citati ci sono frode, diffamazione e sostituzione di persona.

Per chi usa agenti vocali o avatar: usa voci create appositamente o con un consenso documentato e non imitare persone reali, nemmeno il titolare dell’azienda, senza le necessarie garanzie.

## Lezione 4: niente analisi delle emozioni e trasparenza sui punteggi

Nel caso del plug-in per Slack e Teams il Garante ha chiarito che il datore di lavoro non può ottenere informazioni sullo stato emotivo dei dipendenti e ha chiesto garanzie fin dalla progettazione. Ha anche segnalato che gli strumenti basati su modelli linguistici possono produrre risultati non trasparenti, non spiegabili o non verificabili.

Nel settore dell’energia, invece, i clienti si vedevano negare un contratto per un punteggio negativo «senza ricevere informazioni chiare sui criteri e sulla logica utilizzati per attribuirlo». Il Garante ha ordinato procedure più trasparenti, informazioni complete sul punteggio e la possibilità di correggere i dati sbagliati. Se usi l’AI per qualificare contatti o valutare clienti, prepara una spiegazione comprensibile dei criteri e una revisione umana.

## Lezione 5: proteggere i dati pubblicati sul sito dal web scraping

Nel maggio 2024 il Garante ha indicato alcune misure per chi pubblica dati personali online: **aree riservate** accessibili dopo registrazione, **clausole contro lo scraping** nei termini di servizio, **monitoraggio del traffico** per individuare flussi anomali e interventi sui bot, anche tramite il file robots.txt. Non sono obbligatorie: ogni titolare decide in base al principio di responsabilizzazione, tenendo conto dello stato della tecnologia e dei costi, in particolare per le PMI.

## Cosa fare adesso se usi un chatbot o un assistente virtuale

1. **Informativa** breve in chat e completa sul sito, in italiano.
2. **Una base giuridica per ogni finalità** e solo i dati che servono.
3. **Contratto con il fornitore**: dove sono i dati, per quanto tempo, se servono ad addestrare i modelli.
4. **Valutazione dei rischi** prima dell’avvio, con attenzione ai minori.
5. **Una persona** per le decisioni importanti e per i casi dubbi.

Gli assistenti [ADI](https://aimazing.it/adi/) e [AVI](https://aimazing.it/avi/) che configuriamo e seguiamo si presentano come assistenti virtuali, rispondono solo con le informazioni approvate dal cliente, passano la conversazione a una persona quando serve e trattano i dati secondo il GDPR.

Informazioni aggiornate a ottobre 2026. Questo articolo non è una consulenza legale: per il tuo caso fai riferimento ai provvedimenti integrali e a un professionista.

## Domande frequenti

**I provvedimenti su OpenAI o DeepSeek riguardano anche la mia azienda?**

Sono rivolti ai fornitori dei servizi, ma i principi applicati valgono per chiunque tratti dati personali con l’AI: informativa chiara, base giuridica corretta, valutazione dei rischi e tutela dei minori. Una PMI che usa un chatbot deve rispettarli nel proprio trattamento.

**Serve una DPIA per un chatbot sul sito?**

Non sempre: va valutata in base al rischio del trattamento. Diventa necessaria, ad esempio, quando il sistema valuta in modo sistematico e automatizzato aspetti personali con effetti significativi sulle persone o quando coinvolge soggetti vulnerabili come i minori.

**Posso usare in uno spot la voce sintetica di una persona reale?**

Solo con una base giuridica valida e un’informazione corretta alla persona interessata. Il Garante ha avvertito che usare voci e immagini di terzi senza questi presupposti può violare il GDPR, con possibili sanzioni.

**Quali dati non dovrebbe mai chiedere un assistente virtuale?**

Quelli che non servono alla richiesta del cliente. Il principio di minimizzazione vale anche per l’AI: nel caso dell’energia il Garante ha contestato proprio il trattamento di dati non necessari a una delle società coinvolte.

## Fonti

- [Garante privacy, «Relazione sull’attività 2024 - Sintesi per la stampa e documenti», 15 luglio 2025](https://www.garanteprivacy.it/garante/doc.jsp?ID=10150195)
- [Garante privacy, «Relazione sull’attività 2025 - Sintesi per la stampa», 2 luglio 2026](https://www.garanteprivacy.it/garante/doc.jsp?ID=10266612)
- [Garante privacy, «Intelligenza artificiale: dal Garante privacy le indicazioni per difendere i dati personali dal web scraping», 30 maggio 2024](https://www.garanteprivacy.it/garante/document?ID=10019984)
- [Garante privacy, «Provvedimento del 18 dicembre 2025» (avvertimento sui deepfake)](https://www.garanteprivacy.it/garante/doc.jsp?ID=10207132)
- [Garante privacy, «IA e lavoro: il Garante Privacy avverte una start-up italiana», 28 maggio 2026](https://www.garanteprivacy.it/garante/doc.jsp?ID=10255522)
- [Garante privacy, «Intelligenza artificiale: il Garante privacy sanziona Character.AI», 9 luglio 2026](https://www.garanteprivacy.it/garante/doc.jsp?ID=10269594)
- [Garante privacy, «Provvedimento del 3 luglio 2026» (Character Technologies Inc.)](https://www.garanteprivacy.it/garante/doc.jsp?ID=10269571)
- [Garante privacy, «Energia, Garante: Sì alla conoscenza dello score alla base del contratto negato», 21 luglio 2026](https://www.garanteprivacy.it/garante/doc.jsp?ID=10273902)

---
Articolo del blog di Aimazing S.r.l. (Terni). Pagina originale: https://aimazing.it/blog/garante-privacy-e-ai-generativa-cosa-insegnano-i-provvedimenti/