I bambini usano già i chatbot di IA e le autorità europee si aspettano ormai che questi prodotti li proteggano nella pratica, non solo nell'informativa sulla privacy. Se la tua azienda gestisce un chatbot, un assistente IA o qualsiasi funzione di IA raggiungibile dai giovani, questo ti riguarda, anche se i bambini non sono il tuo pubblico di riferimento.

Tre sviluppi del 2026 danno il tono. A luglio l'autorità italiana per la protezione dei dati ha sanzionato la società dietro Character.AI per controlli dell'età deboli e profili di minori pubblici per impostazione predefinita, tra altre carenze. A settembre un tribunale tedesco ha deciso contro il modo in cui il chatbot IA di Snapchat usava i dati delle conversazioni per la pubblicità. E il 17 settembre la Commissione europea ha proposto l'EU KIDS Act, che per la prima volta sottoporrebbe i compagni IA e i chatbot generali a regole di tutela dei minori. Il filo conduttore: se i minori possono raggiungere il tuo chatbot, la protezione dei dati fin dalla progettazione deve funzionare nella pratica. Questo articolo ha solo finalità informativa generale e non costituisce consulenza legale.

Cosa hanno fatto autorità e tribunali

L'Italia ha ormai sanzionato due chatbot di compagnia, un tribunale tedesco si è espresso e Bruxelles vuole regole dedicate.

Quattro lezioni per chi gestisce un chatbot

1. Una casella per la data di nascita non è verifica dell'età

Character.AI ha sostenuto che il GDPR non impone una particolare tecnologia di verifica dell'età. Il Garante lo ha accettato, ma ha detto che gli articoli 24 e 25 richiedono comunque misure adeguate ed efficaci in relazione ai rischi, compresa la vulnerabilità dei minori.

L'accesso a Character.AI si basava sul fatto che gli utenti digitassero da soli la propria data di nascita. Un test tecnico dell'8 aprile 2025 ha mostrato che un utente che dichiarava 15 anni poteva comunque registrarsi, e che gli account dei minori autodichiarati erano pubblici per impostazione predefinita. Il Garante ha ordinato all'azienda di far funzionare i controlli dell'età, di rendere effettivo il periodo di blocco per i minori respinti e di impostare i profili dei minori come privati per impostazione predefinita. L'azienda ha 120 giorni per riferire.

Il Garante ha poi ritenuto adeguato il nuovo sistema dell'azienda. Combina la verifica dell'età con esperienze limitate per i minori ed è stato introdotto da novembre 2025.

2. La DPIA viene prima del lancio

La prima valutazione d'impatto sulla protezione dei dati (DPIA) di Character.AI è datata 14 novembre 2024. Il servizio è stato lanciato a settembre 2022. Il Garante ha detto che avrebbe dovuto essere svolta prima del lancio e ha indicato tre fattori che da soli bastavano a richiederla: l'IA generativa, il trattamento su larga scala e il coinvolgimento di minori. Ha aggiunto che valutazioni interne dei rischi informali e non documentate non possono sostituire una DPIA formale ai sensi dell'articolo 35.

Indicazione pratica: se il tuo chatbot usa IA generativa e i bambini potrebbero plausibilmente usarlo, parti dal presupposto che serva una DPIA e completala prima del rilascio. Vedi la nostra guida alla DPIA per i chatbot IA.

3. Spiega chiaramente cosa succede alle chat e ai dati di addestramento

Questi rilievi valgono per qualsiasi prodotto di IA, non solo per quelli rivolti ai giovani.

4. I dati delle chat non sono carburante gratuito per la pubblicità

Il caso Snapchat va nella stessa direzione. Secondo le cronache della sentenza, il tribunale di Colonia ha ritenuto che le condizioni di Snap per il suo chatbot IA non soddisfacessero i requisiti di base per un trattamento lecito. Agli utenti veniva chiesto di acconsentire tramite caselle preselezionate, anche per la pubblicità mirata, e Snap ha detto di usare tutti i dati delle chat per generare annunci pertinenti. Il tribunale ha affermato che il trattamento sarebbe rimasto illecito anche con un'informativa prima del primo utilizzo e che il legittimo interesse non poteva giustificarlo. I commentatori riferiscono anche che ha considerato reale la possibilità di dati sensibili, dato che in un chatbot si può scrivere quasi di tutto, e che ha censurato la pubblicità di alcol e gioco d'azzardo rivolta ai minori.

Le caselle preselezionate non sono un consenso valido nel diritto dell'UE da anni. La novità è vedere il principio applicato a un chatbot, dove gli utenti possono condividere molto più che in una barra di ricerca.

Cosa richiede già la legge e cosa aggiungerebbe il KIDS Act

Nessuna di queste decisioni si basa su norme nuove: il GDPR copre i dati dei minori fin dall'inizio.

Le verifiche dell'età comportano un proprio rischio per la privacy. La Dichiarazione 1/2025 dell'EDPB sulla verifica dell'età (febbraio 2025) stabilisce dieci principi: il metodo deve essere basato sul rischio, proporzionato e il meno invasivo tra quelli ancora efficaci, ed evitare raccolta di dati non necessaria, profilazione e tracciamento. L'EDPB osserva che la verifica dell'età presenta spesso di per sé un rischio elevato, quindi dovrebbe venire prima una DPIA.

Il KIDS Act proposto

Il KIDS Act è una proposta e quindi può cambiare prima di diventare legge. Secondo le FAQ della Commissione, i compagni IA e i chatbot accessibili ai minori dovrebbero:

La valutazione d'impatto della Commissione afferma che gli obblighi di test e monitoraggio non si applicherebbero ai sistemi forniti da micro e piccole imprese. La proposta più ampia prevede che l'età autodichiarata non sarebbe sufficiente: l'età verrebbe verificata con strumenti certificati, come un'app europea di verifica dell'età, che comunicano al servizio soltanto se l'utente è sopra o sotto una certa età. L'applicazione per compagni IA e chatbot si baserebbe sulle strutture del Regolamento sull'IA, con sanzioni fino al 6 % del fatturato mondiale annuo.

Cosa significa per una piccola impresa

Le sanzioni finora hanno colpito app di compagnia, ma il ragionamento vale per qualsiasi azienda che metta un chatbot davanti al pubblico. Un bot di assistenza clienti, un assistente per le prenotazioni o una funzione di IA nella tua app possono essere raggiunti da adolescenti.

Checklist per i team che gestiscono chatbot

In sintesi

Molti chatbot sono stati costruiti presumendo che gli utenti siano adulti in grado di leggere un'informativa sulla privacy e di badare a sé stessi. Autorità e tribunali mettono alla prova questo presupposto e lo trovano carente. I passi sono chiari: valutare i rischi prima del lancio, verificare l'età in modo che funzioni senza raccogliere troppo, tenere privati per impostazione predefinita i dati dei minori, tenere le chat fuori dalla pubblicità ed essere onesti sull'addestramento. I team che lo fanno ora saranno pronti per il KIDS Act e si guadagneranno la fiducia dei genitori che decidono quali app restano sul telefono dei figli. Non sai a che punto sono i tuoi strumenti di IA? Lo strumento di audit IA di GDPRGard è un buon punto di partenza. Per l'obbligo di informare che si tratta di IA, vedi la nostra guida all'articolo 50 del Regolamento sull'IA.

Fonti

Le posizioni sopra sono riassunte dalle fonti elencate; le cronache delle sentenze e della proposta di KIDS Act sono secondarie e vanno verificate sulla sentenza e sulla proposta stesse. L'analisi di come si incastrano è nostra.

Condividi questo articolo

Leggi anche:

⚠️ Questo articolo ha finalità puramente informative e non costituisce consulenza legale. Per situazioni di conformità complesse, rivolgetevi a un professionista qualificato della protezione dei dati. I requisiti del GDPR e del regolamento UE sull'IA sono soggetti a orientamenti normativi in continua evoluzione — verificate i vostri obblighi attuali con il vostro consulente legale.