Il Garante per la protezione dei dati personali ha sanzionato per 158.000 euro Character Technologies Inc., la società statunitense che gestisce Character.AI, il servizio di intelligenza artificiale generativa che consente agli utenti — anche minorenni — di creare personaggi virtuali e di conversarci via chat. Il provvedimento porta la data del 3 luglio 2026 ed è stato reso pubblico dall'Autorità il 9 luglio. L'istruttoria era stata avviata d'ufficio: non a seguito di una segnalazione, ma per iniziativa diretta del Garante, un dettaglio che conferma quanto le chatbot conversazionali siano finite stabilmente nel mirino del regolatore italiano.

Le violazioni contestate

Nel corso dell'accertamento l'Autorità ha rilevato più profili di non conformità al GDPR. Il primo riguarda l'informativa: le comunicazioni rivolte agli utenti sul trattamento dei loro dati non erano chiare, complete e facilmente comprensibili, come invece impongono gli articoli 12, 13 e 14 del Regolamento. A questo si aggiungono due adempimenti eseguiti in ritardo: la valutazione d'impatto sulla protezione dei dati (DPIA), che per un servizio ad alto rischio come una chatbot generativa accessibile ai minori andrebbe predisposta prima del lancio, e la designazione del rappresentante nell'Unione europea, obbligatoria ai sensi dell'articolo 27 per i titolari extra-UE che si rivolgono al mercato europeo.

Il nucleo più delicato del provvedimento riguarda però i minori. Il Garante ha giudicato insufficienti sia le garanzie poste a loro tutela sia le procedure di verifica dell'età, il meccanismo che dovrebbe impedire l'accesso al servizio a chi non ha l'età prevista. È un punto che si lega alle cronache internazionali: negli Stati Uniti Character.AI è al centro di contenziosi giudiziari legati proprio all'interazione di adolescenti con i personaggi virtuali della piattaforma.

Le misure prescritte

Oltre alla sanzione economica, il Garante ha imposto una serie di correttivi con effetti concreti sul prodotto. Character Technologies dovrà garantire il corretto funzionamento dei sistemi di verifica dell'età, assicurare l'efficacia dei meccanismi che impediscono nuovi tentativi di registrazione da parte dei minori già bloccati — il cosiddetto periodo di raffreddamento — e impostare per impostazione predefinita in modalità privata i profili degli utenti minorenni. L'azienda avrà 120 giorni dalla ricezione del provvedimento per comunicare all'Autorità le misure adottate.

Cosa significa per le aziende italiane

Il caso non riguarda soltanto una società della Silicon Valley. È un segnale di metodo che tocca chiunque, in Italia, stia integrando funzioni di intelligenza artificiale generativa in un prodotto o in un servizio. Tre lezioni emergono con chiarezza.

La prima: la DPIA non è un adempimento formale da recuperare a posteriori. Quando un trattamento presenta rischi elevati — e un assistente conversazionale che raccoglie conversazioni, potenzialmente con minori, lo è per definizione — la valutazione d'impatto va condotta prima di mettere online il servizio. Averla predisposta in ritardo è stato contestato come violazione autonoma, non come semplice ritardo procedurale.

La seconda: l'età degli utenti è diventata una frontiera di conformità. Non basta inserire una casella "dichiaro di avere più di 18 anni"; il Garante chiede sistemi di verifica realmente efficaci e meccanismi che impediscano al minore bloccato di rientrare dalla porta accanto. Qualsiasi piattaforma italiana accessibile ai più giovani — dai social ai giochi, dalle app educative ai servizi di IA — dovrebbe rileggere le proprie procedure alla luce di questo standard.

La terza riguarda i fornitori extra-UE: chi offre un servizio digitale al pubblico europeo senza avere una sede nell'Unione deve nominare un rappresentante ai sensi dell'articolo 27. Molte startup e molti fornitori SaaS statunitensi trascurano questo passaggio finché non arriva un'istruttoria. La sanzione a Character.AI, per quanto contenuta nell'importo, mostra che l'Autorità considera questi obblighi tutt'altro che secondari.

Il quadro normativo

Il provvedimento si inserisce in una linea di condotta ormai consolidata: negli ultimi due anni il Garante ha aperto istruttorie e adottato misure nei confronti di diversi servizi di IA, dalla chatbot Replika ad altri modelli generativi, con un'attenzione crescente alla tutela dei minori. Non a caso il piano ispettivo dell'Autorità per il primo semestre 2026 include tra le priorità proprio i data breach, il trattamento dei dati dei minori e l'uso dell'intelligenza artificiale in ambito scolastico. Sul piano normativo, il perimetro di riferimento resta il GDPR — articolo 8 sul consenso dei minori, articoli 13-14 sull'informativa, articolo 35 sulla DPIA, articolo 27 sul rappresentante UE — a cui si aggiunge il progressivo ingranarsi dell'AI Act europeo, che sui sistemi rivolti ai minori impone cautele ulteriori.

Cosa fare subito

  • Condurre la DPIA prima del rilascio di qualsiasi funzione di IA che tratti dati personali, documentando rischi e misure di mitigazione.
  • Verificare l'efficacia dei sistemi di controllo dell'età se il servizio è, anche solo potenzialmente, accessibile a minori: non fermarsi all'autodichiarazione.
  • Impostare la privacy come default per gli utenti minorenni, con profili privati e trattamenti ridotti al minimo necessario.
  • Nominare il rappresentante UE ai sensi dell'articolo 27 se il titolare ha sede fuori dall'Unione ma si rivolge al pubblico europeo.
  • Riscrivere l'informativa in linguaggio chiaro e completo, distinguendo con precisione finalità, basi giuridiche e categorie di dati trattati.