Итальянский орган по защите персональных данных (Garante) оштрафовал компанию Character Technologies (также Компания), американского владельца платформы генеративного ИИ Character.AI, на 158 000 евро за нарушение правил защиты персональных данных.
Сервис позволяет пользователям, включая несовершеннолетних, общаться с виртуальными персонажами, созданными с помощью ИИ.
Регулятор выявил несколько нарушений требований к защите персональных данных. Среди них:
Политика обработки персональных данных имела положения, которые недостаточно понятны для пользователей из Италии, или положения вовсе могли вводить заблуждение и не отвечали требованиям прозрачности, установленным EDPB. Также политика содержала грубые ошибки, касающиеся защиты прав субъектов персональных данных, в частности обработка персональных не была поделена на цели, и как следствие такое обозначение делало неопределенным сроки хранения и обработки персональных данных пользователей, что нарушило их права (ст. 12, 13, 14 GDPR).
Компания обрабатывала персональные данные в ходе обучения своей модели LLM еще до этапа распространения и пост-обучения модели, как коммерческого продукта, на территории ЕС (ст. 14 и 21 GDPR). Однако обвинение в непредоставлении механизма opt-out было снято, поскольку рекомендация EDPB о «безусловном» возражении появилась лишь в декабре 2024 года (Opinion 28/2024), а предварительное обучение у Character завершилось до этой даты.
Регулятор посчитал, что меры защиты несовершеннолетних и процедур проверки возраста недостаточны и неэффективны, заявив, что помимо уже существующих мер необходимы дополнительные механизмы защиты (нарушение ст. 24 и 25 GDPR).
Компания с опозданием провела оценку воздействия на защиту данных (Data Protection Impact Assessment, DPIA) и поздно назначила своего представителя в Европейском союзе (нарушение ст. 27, 35 GDPR).
Garante считается одним из наиболее активных европейских регуляторов в сфере ИИ. В 2023 году регулятор на короткое время запретил использование чат-бота ChatGPT компании OpenAI из-за вопросов, связанных с проверкой возраста пользователей и сбором данных.
