Avvertimento n. 574 del 01/10/2025

AI/Robotics Venture Strategy 3 Ltd. – limitazione provvisoria del trattamento tramite il servizio ClothOff

Il Garante per la protezione dei dati personali interviene in via urgente nei confronti della società AI/Robotics Venture Strategy 3 Ltd., titolare del servizio ClothOff, accessibile anche dall’Italia e progettato per generare immagini alterate di tipo "deep nude" a partire da fotografie di persone vestite. Il provvedimento è adottato nell’ambito di un’istruttoria avviata d’ufficio a seguito dei rischi connessi al servizio e del mancato riscontro della società alla richiesta di informazioni dell’Autorità.

Contesto e applicabilità del GDPR

Il servizio è descritto come una tecnologia di intelligenza artificiale generativa che consente di caricare immagini raffiguranti persone vestite e di ottenere contenuti manipolati, anche sessualmente espliciti, apparentemente realistici. Il Garante qualifica AI/Robotics Venture Strategy 3 Ltd. come titolare del trattamento ai sensi degli artt. 4, n. 7, e 24 GDPR e afferma l’applicabilità del Regolamento in base all’art. 3, par. 2, lett. a), poiché il servizio è rivolto a utenti che si trovano nell’Unione europea, in particolare in Italia.

Istruttoria e mancato riscontro

Nell’esercizio dei poteri di sorveglianza di cui all’art. 57, par. 1, lett. a), GDPR, il Garante ha inviato alla società una richiesta di informazioni in data 6 agosto 2025, con termine di 30 giorni per rispondere. La richiesta è rimasta senza riscontro, circostanza che ha contribuito alla valutazione della necessità di un intervento immediato.

Valutazione del servizio e profili di rischio

Il provvedimento sottolinea che servizi di questo tipo presentano un elevato rischio per i diritti e le libertà fondamentali, in particolare per la dignità delle persone ritratte, per la riservatezza e per la protezione dei dati personali, con aggravamento quando siano coinvolti minori. Il testo richiama anche il contesto sociale e mediatico dell’abuso di immagini artefatte e la diffusione di contenuti di tipo "deep fake" e "deep nude".

Misure dichiarate dal titolare e loro insufficienza

Nei Terms of service del servizio sono presenti avvertenze e divieti, tra cui il divieto di usare immagini di terzi senza consenso, di coinvolgere minori e di utilizzare il servizio per usi illeciti. Il Garante osserva però che tali indicazioni si limitano sostanzialmente a ribadire divieti già vigenti nell’ordinamento e non dimostrano un’effettiva impostazione preventiva e proattiva idonea a escludere abusi del servizio.

Violazioni accertate

L’Autorità ritiene che la società abbia omesso di adottare misure pienamente efficaci per:

• impedire che minori di età utilizzino ClothOff come utenti;
• evitare il caricamento di immagini riferite a minori;
• verificare in modo adeguato la legittimità della raccolta e del successivo trattamento dei dati, anche biometrici, di terzi ritratti nelle immagini caricate dagli utenti.

Tali carenze sono ritenute contrarie ai principi di correttezza e accountability di cui all’art. 5, par. 1, lett. a), e par. 2, GDPR.

Watermark e obblighi di privacy by design/by default

Un ulteriore profilo di illecito riguarda il watermark apposto sulle immagini generate. Il Garante rileva che la parola "Fake" è talmente poco visibile da poter essere facilmente rimossa e non garantisce una chiara percezione dell’origine artificiale del contenuto; anche il banner inferiore è facilmente eliminabile con un semplice ritaglio. Da ciò deriva la violazione dei principi di data protection by design e by default e dell’art. 25 GDPR, oltre che dei principi di correttezza e accountability.

Provvedimento urgente adottato

Alla luce della gravità delle violazioni, del numero potenziale di interessati coinvolti e della natura dei dati trattati, il Garante dispone, ai sensi dell’art. 58, par. 2, lett. f), GDPR, la limitazione provvisoria del trattamento di dati personali effettuato tramite il servizio ClothOff nei confronti degli utenti italiani. La misura ha effetto immediato dalla ricezione del provvedimento e resta efficace fino al completamento dell’istruttoria, salvo diversa valutazione dell’Autorità.

Ulteriori disposizioni e tutela giurisdizionale

Il provvedimento dispone anche la pubblicazione sul sito dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, nonché l’annotazione nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR. È inoltre richiamata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011.