Il 9 luglio 2026 il Garante per la protezione dei dati personali ha reso nota una sanzione da 158mila euro nei confronti di Character Technologies Inc., la società statunitense che gestisce Character.AI. Il servizio, basato su intelligenza artificiale generativa, consente agli utenti di creare personaggi virtuali e di conversarvi tramite chat, sia scegliendo figure già esistenti sia costruendone di nuove. Il provvedimento, adottato il 3 luglio 2026, chiude un'istruttoria d'ufficio avviata nel novembre 2024, quando l'Autorità aveva accertato che l'applicazione era già disponibile in Italia, in lingua italiana, tramite app e piattaforma web fin dall'aprile 2024.
🔎 Un'informativa poco chiara e i dati per l'addestramento
Il primo profilo di criticità riguarda la trasparenza. Secondo il Garante, le informative privacy non fornivano agli utenti indicazioni sufficientemente chiare, complete e comprensibili. Le carenze toccavano le finalità del trattamento, le basi giuridiche, i tempi di conservazione dei dati e i trasferimenti verso Paesi esterni all'Unione europea.
A pesare è stato anche un aspetto linguistico: la prima versione dell'informativa era disponibile soltanto in inglese, nonostante il servizio fosse offerto anche in italiano. Nella versione successiva l'Autorità ha riscontrato traduzioni imprecise, formule ambigue e una non corretta associazione tra categorie di dati, finalità e basi giuridiche.
Un ulteriore rilievo riguarda i dati impiegati per il pre-addestramento dei modelli linguistici proprietari. La società non avrebbe informato adeguatamente gli interessati italiani, compresi i soggetti non iscritti alla piattaforma, della possibilità che dati reperiti online venissero utilizzati per sviluppare i sistemi di intelligenza artificiale.
🧒 La tutela dei minori e la verifica dell'età
La parte più rilevante del provvedimento riguarda i minorenni. Character aveva introdotto un sistema di age gate fondato sull'inserimento della data di nascita. Durante le verifiche tecniche svolte dal Garante è stato però possibile creare un account dichiarando un'età di 15 anni, nonostante per gli utenti europei fosse previsto uno sbarramento a 16 anni.
L'Autorità ha inoltre accertato che il profilo del sedicente utente minorenne risultava pubblico per impostazione predefinita. Una configurazione ritenuta incompatibile con i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita sanciti dall'articolo 25 del GDPR, tanto più quando il trattamento coinvolge soggetti vulnerabili.
Un passaggio chiarisce un principio destinato a orientare tutte le piattaforme accessibili ai più giovani: il GDPR non impone un unico sistema tecnico di verifica dell'età. L'assenza di uno standard armonizzato, però, non esonera i gestori dall'obbligo di adottare misure realmente adeguate ed efficaci rispetto ai rischi concreti del servizio.
⏱️ DPIA tardiva e rappresentante UE in ritardo
Il Garante ha contestato anche la redazione tardiva della valutazione d'impatto sulla protezione dei dati, la cosiddetta DPIA. Il documento avrebbe dovuto precedere l'avvio del trattamento, trattandosi di una tecnologia innovativa, impiegata su larga scala e rivolta anche a utenti minorenni. La prima DPIA risale invece al novembre 2024 ed è stata successivamente aggiornata: secondo l'Autorità, la versione iniziale non valutava in modo adeguato né i rischi per i minori né quelli connessi al pre-addestramento dei modelli.
È stata accertata inoltre la nomina tardiva del rappresentante della società nell'Unione europea, avvenuta il 31 maggio 2025, benché il servizio fosse già rivolto agli utenti europei e disponibile in Italia dall'aprile 2024.
⚖️ La sanzione e le misure prescritte
Oltre alla sanzione amministrativa di 158mila euro, il Garante ha ordinato alla società di adeguarsi entro 120 giorni. Character dovrà intervenire su più fronti:
- correggere l'informativa privacy, chiarendo i tempi di conservazione e i trasferimenti extra UE
- verificare la liceità dei dati utilizzati per il pre-addestramento e, in assenza di una valida finalità, procedere alla loro cancellazione
- garantire il corretto funzionamento dello sbarramento anagrafico per la verifica dell'età
- impedire nuovi tentativi di registrazione da parte dei minori già bloccati, attraverso un efficace periodo di raffreddamento (cooling-off)
- impostare per default i profili dei minorenni in modalità privata
Le iniziative adottate dovranno essere comunicate all'Autorità entro il medesimo termine di 120 giorni. Il provvedimento, pur riconoscendo gli interventi già introdotti dalla società nel corso dell'istruttoria, mette in evidenza un punto ricorrente nelle decisioni sull'intelligenza artificiale generativa: l'accessibilità di questi strumenti a un pubblico ampio, che comprende soggetti minorenni, richiede che le garanzie sulla verifica dell'età e sulla configurazione predefinita dei profili siano realmente operative, e non semplicemente dichiarate.
#characterai #tuteladeiminori #ageverification #privacybydesign #garante
