Il Garante privacy ha sanzionato per cinque milioni di euro la società statunitense Luka Inc. che gestisce il chatbot “Replika” e ha avviato una autonoma istruttoria per verificare il corretto trattamento dei dati personali effettuato dal sistema di intelligenza artificiale generativa alla base del servizio.
Il chatbot, dotato di un’interfaccia scritta e vocale, consente all’utente di “generare” un “amico virtuale” a cui attribuire il ruolo di confidente, terapista, partner romantico o mentore.
Nel corso dell’istruttoria il Garante ha accertato la violazione delle disposizioni contestate nel febbraio 2023, quando aveva disposto il blocco dell’applicazione. Secondo il Garante, la società statunitense non aveva individuato, alla data del 2 febbraio 2023, le basi giuridiche delle operazioni di trattamento effettuate attraverso “Replika”. Luka, inoltre, aveva fornito una privacy policy inadeguata sotto vari profili.
Il Garante ha accertato, infine, che, alla data del 2 febbraio 2023, la società non prevedeva alcun meccanismo per la verifica dell’età degli utenti né all’atto della registrazione al servizio, né durante il suo utilizzo, benché la società dichiarasse di escludere i minorenni tra i potenziali utenti. Dagli accertamenti tecnici effettuati è emerso che il sistema di verifica dell’età attualmente implementato dal titolare continua ad essere carente sotto molteplici aspetti.
Per tali ragioni, oltre al provvedimento sanzionatorio, l’Autorità ha ingiunto alla società di conformare i trattamenti alle disposizioni del Regolamento.
Nella richiesta di informazioni che ha dato avvio alla nuova istruttoria, il Garante ha chiesto a Luka dei chiarimenti in merito ai trattamenti dei dati relativi all’intero ciclo di vita del sistema di AI generativa sotteso al servizio “Replika”. In particolare, riguardo alla valutazione dei rischi e alle misure adottate per tutelare i dati nelle varie fasi di sviluppo e addestramento del modello linguistico alla base di “Replika”, alle tipologie e categorie di dati utilizzati, all’eventuale implementazione di misure di anonimizzazione o pseudonimizzazione.
