Il 3 luglio 2026 il Garante per la protezione dei dati personali ha sanzionato Character Technologies, Inc. per violazioni in materia di tutela dei minori, verifica dell’età e valutazione d’impatto.
Character.AI rientra tra le cosiddette app di “compagnia AI”: servizi che permettono di conversare con personaggi virtuali generati da modelli linguistici, spesso con un coinvolgimento emotivo significativo. Che questi servizi attraggano gli adolescenti è ormai documentato; la novità sta nel fatto che le autorità siano passate dagli avvertimenti alle sanzioni.
Character.AI
Character.AI è un servizio di intelligenza artificiale generativa sviluppato da Character Technologies, Inc. (Menlo Park, California) che consente agli utenti di creare e dialogare via chat con “Personaggi” virtuali, già presenti sulla piattaforma o creati dagli utenti stessi, attraverso modelli linguistici proprietari. Il servizio è stato lanciato in versione beta nel settembre 2022 sul web e nel maggio 2023 come applicazione mobile. La versione definitiva è disponibile dall’8 aprile 2024 all’indirizzo character.ai, con interfaccia in italiano e informativa sulla privacy rivolta agli utenti dello Spazio Economico Europeo.
L’istruttoria è stata avviata d’ufficio nel novembre 2024 e si è conclusa con il provvedimento del 3 luglio 2026, con cui il Garante ha accertato cinque distinte violazioni del GDPR.
Le cinque violazioni accertate
- Informativa carente (artt. 12, par. 1, 13, par. 1 e 2, e 14, par. 1 e 2, GDPR). Le informative sulla privacy del 23 ottobre 2023 e del 27 agosto 2025 presentavano lacune su finalità del trattamento, basi giuridiche, tempi di conservazione e trasferimenti internazionali. La prima versione era disponibile solo in inglese, nonostante il servizio fosse offerto anche in italiano; la traduzione successiva conteneva imprecisioni e incongruenze tra categorie di dati, finalità e basi giuridiche.
- Informativa carente sull’addestramento dei modelli (art. 14, par. 1 e 2, GDPR). Character non ha informato adeguatamente gli interessati residenti in Italia, compresi i non utenti, del possibile impiego di dati raccolti dal web (web scraping) per addestrare i propri modelli. Il Garante non ha invece riscontrato violazioni dell’art. 21, par. 1 e 4, sul diritto di opposizione, rilevando che il parere EDPB 28/2024, che ha chiarito gli standard applicabili, è successivo alle condotte contestate.
- Misure tecniche e organizzative inadeguate per la tutela dei minori (artt. 24, par. 1, e 25, par. 2, GDPR). Una verifica tecnica condotta dall’Ufficio del Garante ha dimostrato che era possibile registrarsi dichiarando un’età di 15 anni, nonostante la soglia fosse fissata a 16 anni per lo SEE. Il profilo del minore autodichiarato risultava pubblico di default. Le carenze sono state valutate alla luce dell’elevato rischio derivante dalla vulnerabilità degli utenti coinvolti, dalla natura sensibile delle conversazioni con il chatbot e dalle notizie di stampa su episodi di autolesionismo collegati a servizi analoghi.
- Valutazione d’impatto tardiva (artt. 5, par. 2, e 35, par. 1, GDPR). La DPIA avrebbe dovuto precedere il lancio del servizio: la tecnologia impiegata (IA generativa) bastava da sola a qualificare il trattamento come ad alto rischio, insieme al trattamento su larga scala e al coinvolgimento di minori. La prima DPIA risale al novembre 2024, oltre due anni dopo il lancio, ed è stata aggiornata nel settembre 2025. Nella versione iniziale mancava un’analisi dei rischi specifici per i minori e per l’addestramento dei modelli.
- Nomina tardiva del rappresentante nell’UE (art. 27, par. 1, GDPR). VeraSafe Ireland Ltd. è stata nominata solo il 31 maggio 2025, benché il servizio fosse rivolto agli utenti dello SEE e disponibile in Italia dall’aprile 2024. Una contestazione separata relativa a un link di contatto non funzionante (art. 27, par. 4) non è stata accolta, essendo stata considerata un errore materiale prontamente corretto.
La sanzione e le misure correttive
La sanzione ammonta a 158.000 euro, calcolata secondo le Linee guida EDPB 04/2022 e considerando le violazioni come operazioni di trattamento collegate ai sensi dell’art. 83, par. 3, GDPR. Il tetto è stato determinato dalla violazione più grave, quella sulla trasparenza, soggetta al massimale dell’art. 83, par. 5.
La gravità delle violazioni è stata giudicata “media”. Il Garante ha riscontrato negligenza, non dolo, di grado non grave, e ha riconosciuto diverse attenuanti: piena collaborazione durante l’istruttoria, assenza di precedenti, progressivo miglioramento della compliance (con il lancio di un’esperienza dedicata ai minori, gli strumenti Parental Insight e, da novembre 2025, la rimozione delle conversazioni aperte per gli under-18), oltre alle dimensioni limitate e alle risorse dell’azienda, operatore in un mercato competitivo.
Le misure correttive, da attuare entro 120 giorni, comprendono: adeguamento dell’informativa sulla privacy quanto a tempi di conservazione e trasferimenti internazionali; verifica della liceità dei dati usati per l’addestramento, con cancellazione in assenza di finalità compatibile; garanzia che il filtro sull’età blocchi effettivamente gli utenti dello SEE sotto i 16 anni; prevenzione di tentativi ripetuti di registrazione da parte di minori già bloccati; impostazione dei profili dei minori come privati di default. Character deve riferire al Garante sull’adempimento entro lo stesso termine.
Accountability e prevedibilità del rischio
Il provvedimento non va letto come un caso sulla tecnologia di verifica dell’età in quanto tale. Il Garante lo precisa espressamente: il GDPR non impone uno standard tecnico unico e la mancanza di uno standard armonizzato non costituisce, di per sé, una violazione.
Il punto centrale è un altro. Chi impiega intelligenza artificiale generativa rivolta ai minori, o che prevedibilmente li attrae, deve anticipare i rischi connessi alla tecnologia e alla propria platea di utenti fin dalla fase di progettazione. Le tutele non possono arrivare dopo, sotto la spinta del regolatore o dei media.
Il provvedimento conferma che i tempi della DPIA si valutano in base al momento in cui esistevano già gli indicatori di rischio, non in base a quando la società ha deciso di formalizzare le proprie analisi interne. Una tecnologia innovativa come l’IA generativa era di per sé sufficiente a far scattare l’obbligo di valutazione d’impatto prima del lancio.
È una dinamica frequente tra le start-up tecnologiche: prima si lancia il prodotto e si raccolgono utenti, poi si documenta la conformità quando arrivano le risorse o l’attenzione del regolatore. Il Garante afferma che questo approccio è incompatibile con il principio di responsabilizzazione previsto dal GDPR.
Rilevanza per le imprese e le piattaforme digitali
Le conseguenze vanno oltre il caso Character.AI. Qualsiasi società che offra servizi di IA generativa o servizi digitali interattivi in grado di attrarre ragionevolmente i minori, anche senza rivolgersi esplicitamente a loro, deve aspettarsi che le autorità di controllo verifichino:
- se le informative sulla privacy siano davvero accessibili e linguisticamente accurate nella lingua del mercato di riferimento;
- se le pratiche di addestramento dei modelli siano comunicate con trasparenza, anche nei confronti dei non utenti;
- se le misure di verifica dell’età funzionino realmente e non siano solo documentate sulla carta;
- se le DPIA siano condotte prima del lancio e non adeguate a posteriori;
- se il rappresentante nell’UE sia nominato e raggiungibile fin dal primo giorno di operatività nello SEE.
Le società che sviluppano o offrono servizi di IA generativa, chatbot o assistenti digitali, specie se attrattivi per i più giovani, hanno quindi tutto l’interesse ad agire preventivamente.
Le informative sulla privacy vanno verificate per accuratezza e completezza in ogni lingua dei mercati serviti: una traduzione formalmente corretta non basta se il contenuto tecnico-giuridico presenta imprecisioni. La filiera dei dati usati per l’addestramento deve essere mappata e documentata con prove concrete, non con generiche assicurazioni, indicando se e come i dati personali, compresi quelli raccolti da fonti pubbliche, alimentino l’addestramento e il perfezionamento dei modelli, con meccanismi di opt-out effettivi.
I meccanismi di verifica dell’età vanno testati integralmente, verificando il funzionamento reale e non le intenzioni progettuali. Ogni account riconducibile a un minore deve essere impostato di default come privato e con funzionalità limitate. Le DPIA vanno condotte e documentate prima del lancio ogniqualvolta siano coinvolti IA generativa, trattamento su larga scala o utenti vulnerabili: la “tecnologia innovativa” è da sola un presupposto sufficiente.
Il rappresentante nell’UE va nominato e reso raggiungibile dal momento dell’ingresso nel mercato europeo. La collaborazione con l’autorità e il miglioramento progressivo e dimostrabile vanno considerati fattori attenuanti capaci di incidere sull’esito sanzionatorio: il Garante li ha espressamente valorizzati nella riduzione della sanzione.
Conclusione
Il provvedimento segna un precedente su come le autorità europee intendono affrontare i servizi di IA generativa con una platea composta prevalentemente da minori: attraverso un controllo rigoroso sulla responsabilizzazione basata sul rischio, dalla progettazione fino alla messa in opera, senza imporre standard tecnici prescrittivi.
Su un simile argomento potrebbe interessarti l’articolo “La decisione del Garante su ChatGPT diventerà un benchmark per la privacy dell’AI generativa nell’UE?”.
About the Author: Enila Elezi
