Ordinanza ingiunzione o revoca n. 487 del 03/07/2026

Character.AI: informative, minori, DPIA e rappresentante UE nel servizio di IA generativa

Il Garante ha esaminato il trattamento di dati personali connesso al servizio di intelligenza artificiale generativa Character.AI, offerto da Character Technologies, Inc. anche agli utenti italiani tramite web e app. Il procedimento è nato da attività istruttoria d’ufficio avviata nel novembre 2024 e ha riguardato, in particolare, la trasparenza informativa, il pre-addestramento dei modelli, la protezione dei minori, la valutazione d’impatto e la designazione del rappresentante nell’Unione europea.

Origine e svolgimento dell’istruttoria

L’Autorità ha rilevato che il servizio era accessibile in Italia almeno dall’8 aprile 2024, in lingua italiana, e che la privacy policy era rivolta anche agli interessati SEE. Nel corso dell’istruttoria sono state inviate tre richieste di informazioni e la società ha prodotto varie versioni della privacy policy, della DPIA e della LIA, oltre all’atto di designazione del rappresentante UE. La società ha anche introdotto nel tempo misure aggiuntive per i minori, inclusa una versione separata del servizio e un sistema di age assurance.

Giurisdizione europea e competenza del Garante

Il Garante ha affermato la sussistenza della giurisdizione europea ai sensi dell’art. 3, par. 2, GDPR, applicando il criterio del targeting: il servizio era infatti offerto a utenti situati nell’Unione, in particolare in Italia, e la competenza dell’Autorità non dipendeva dal meccanismo one-stop-shop, non essendo la società stabilita nell’UE. In ragione di ciò, il Garante ha ritenuto pienamente radicata la propria competenza a esercitare i poteri correttivi e sanzionatori.

Trasparenza e qualità dell’informativa agli utenti

Una prima contestazione ha riguardato la mancata produzione di informazioni chiare, intelligibili e complete nelle privacy policy del 23 ottobre 2023 e del 27 agosto 2025. Il Garante ha ritenuto violati gli artt. 12, par. 1, 13, parr. 1 e 2, e 14, parr. 1 e 2, GDPR, evidenziando diverse criticità:

• assenza della privacy policy in lingua italiana nel periodo successivo all’8 aprile 2024;
• indicazione poco chiara del diritto di opposizione;
• mancata indicazione del rappresentante UE nel periodo iniziale;
• descrizioni fuorvianti dei trattamenti per post-training;
• imprecisioni linguistiche nella versione italiana del 2025;
• trasferimenti extra-UE descritti in modo probabilistico e non concreto;
• uso non corretto del concetto di anonimizzazione/de-identificazione;
• carenze nella correlazione tra categorie di dati, basi giuridiche, finalità e tempi di conservazione.

Il Garante ha però preso atto che la società ha progressivamente aggiornato la privacy policy e che nella versione entrata in vigore dal 1° luglio 2026 sono state corrette varie formulazioni, rese più chiare alcune basi giuridiche e riviste le descrizioni di conservazione e trasferimenti. Restano tuttavia, secondo l’Autorità, lacune residue che giustificano la prescrizione di ulteriore conformazione.

Pre-addestramento dei modelli e informativa agli interessati

L’Autorità ha distinto il trattamento relativo al pre-addestramento dei LLM da quello di diffusione/post-training. Ha ritenuto che la privacy policy del 25 ottobre 2023 descrivesse solo la fase di diffusione e non informasse adeguatamente gli interessati italiani sul pre-addestramento dei modelli proprietari. In questo ambito ha quindi accertato la violazione dell’art. 14, parr. 1 e 2, GDPR.

Il Garante ha invece escluso la violazione dell’art. 21 GDPR per il periodo anteriore al parere EDPB n. 28/2024 del 17 dicembre 2024, ritenendo non retroattivamente esigibile la specifica predisposizione di meccanismi di opt-out incondizionato come raccomandato da quel parere. Ha inoltre preso atto che il trattamento per finalità di pre-addestramento era cessato in epoca successiva, ordinando comunque la regolarizzazione della conservazione dei dati raccolti per tale finalità e, in mancanza di una diversa finalità compatibile, la loro cancellazione.

Tutela dei minori, age gate e impostazioni predefinite

Un capitolo centrale riguarda la protezione dei minori. Il Garante ha ritenuto violati gli artt. 24, par. 1, e 25, par. 2, GDPR per non aver adottato, nel periodo iniziale, misure adeguate e by default a tutela degli utenti minorenni, nonostante il servizio fosse ampiamente utilizzato anche da soggetti vulnerabili.

In particolare, l’Autorità ha osservato che l’age gate basato sulla mera autodichiarazione non ha funzionato correttamente alla verifica tecnica dell’8 aprile 2025 e che, fino al novembre 2024, il servizio era accessibile ai minori con misure non sufficientemente robuste. Ha inoltre rilevato che il profilo del minorenne risultava pubblico per impostazione predefinita, in contrasto con il principio di privacy by default. Solo in un momento successivo la società ha introdotto un servizio separato per minori, misure di age assurance e ulteriori limitazioni, che il Garante ha valutato positivamente per il futuro, ma non sufficienti a escludere la violazione per il periodo precedente.

In ragione di ciò, è stato ordinato di assicurare il corretto funzionamento del blocco all’età minima di 16 anni, del meccanismo che impedisce nuovi tentativi di registrazione dopo il primo blocco e della configurazione privata dei profili dei minorenni.

DPIA tardiva e accountability

Il Garante ha ritenuto violati gli artt. 5, par. 2, e 35, par. 1, GDPR per la tardiva redazione della DPIA. Ha osservato che, per un trattamento basato su tecnologia innovativa come l’intelligenza artificiale generativa, su larga scala e con interessati vulnerabili, il rischio elevato era presumibile e imponeva la valutazione d’impatto sin dalla fase di progettazione, e comunque prima del lancio del servizio.

La prima DPIA prodotta era del 14 novembre 2024 e risultava carente, in particolare, sia sul profilo dei minori sia sul pre-addestramento dei modelli. Il successivo aggiornamento del 30 settembre 2025 ha migliorato il quadro, ma non ha sanato il ritardo originario. L’Autorità ha quindi contestato una violazione del principio di responsabilizzazione, ritenendo insufficienti le generiche valutazioni interne non documentate richiamate dalla società.

Rappresentante nell’Unione europea

Con riferimento all’art. 27, par. 1, GDPR, il Garante ha accertato che la designazione di VeraSafe Ireland Ltd. quale rappresentante nell’Unione europea è avvenuta solo il 31 maggio 2025, nonostante il servizio fosse già offerto agli interessati SEE e italiani da tempo. Ha quindi ritenuto tardivo l’adempimento dell’obbligo di designazione.

Viceversa, non ha ritenuto integrata la violazione dell’art. 27, par. 4, poiché il malfunzionamento del link di contatto nella privacy policy è stato considerato un mero errore materiale, comunque superato dalla presenza di ulteriori recapiti del rappresentante.

Sanzione, criteri e attenuanti

L’Autorità ha applicato l’art. 83 GDPR con riferimento a più violazioni collegate tra loro. Ha individuato come più grave la violazione degli obblighi di trasparenza, ricadente nell’art. 83, par. 5, e ha tenuto conto dei criteri dell’art. 83, par. 2, fra cui natura, gravità e durata delle violazioni, carattere colposo, categorie di dati e numero di interessati coinvolti.

La condotta è stata qualificata come colposa, non dolosa, ma con colpa non grave, anche alla luce del progressivo miglioramento della compliance e della collaborazione mostrata dalla società. Tra le attenuanti il Garante ha valorizzato:

• l’adozione di misure per attenuare il danno, specie in materia di age verification;
• l’assenza di precedenti violazioni pertinenti;
• la cooperazione con l’Autorità durante l’istruttoria;
• gli aggiornamenti spontanei della privacy policy e delle misure tecniche;
• le condizioni economiche del titolare, qualificato come startup in un mercato molto competitivo.

La sanzione amministrativa pecuniaria è stata fissata in euro 158.000,00.

Misure accessorie e adempimenti successivi

Oltre alla sanzione, il Garante ha disposto la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul proprio sito internet e l’annotazione nel registro interno. Ha inoltre prescritto al titolare di conformarsi alle misure correttive entro 120 giorni dalla notifica e di comunicare all’Autorità, entro lo stesso termine, le iniziative adottate per dare attuazione alle prescrizioni.

Restano altresì ferme le possibilità di definizione agevolata nei limiti previsti dalla normativa nazionale e il diritto di opposizione all’autorità giudiziaria ordinaria nei termini di legge.