In sintesi. Con il provvedimento del 3 luglio 2026, n. 487, il Garante privacy ha sanzionato per 158.000 euro Character Technologies Inc., la società del chatbot «Character.AI». Le contestazioni: informativa carente e non in italiano, valutazione d’impatto redatta solo a servizio avviato, verifica dell’età aggirabile — un utente dichiaratosi quindicenne è riuscito a registrarsi — e profili dei minori pubblici per impostazione predefinita. Entro 120 giorni la società dovrà conformarsi alle prescrizioni del Garante: garantire una verifica dell’età funzionante, impedire a chi è stato bloccato perché minorenne di ritentare subito la registrazione, rendere privati di default i profili dei minorenni, adeguare l’informativa ai rilievi residui e decidere la sorte dei dati raccolti per il pre-addestramento dei modelli (finalità compatibile o cancellazione integrale). Dopo la sanzione da 5 milioni a Replika, è il nuovo parametro per chi offre IA generativa accessibile ai minori. La regola operativa è triplice: l’età si verifica davvero, la DPIA si fa prima del lancio, le impostazioni predefinite proteggono.
Milioni di utenti conversano ogni giorno con «personaggi» generati dall’intelligenza artificiale: amici virtuali, tutor, confidenti. Quando tra quegli utenti ci sono minori, il GDPR non ammette approssimazioni. Il provvedimento su Character.AI dice con chiarezza che cosa il Garante pretende da chi sviluppa — o integra — un chatbot generativo.
Che cosa ha deciso il Garante
Character.AI è una piattaforma che consente di creare personaggi virtuali e conversare con loro per iscritto o a voce. All’esito di un’istruttoria d’ufficio, con verifiche tecniche dirette, il Garante ha accertato una serie di violazioni del Regolamento (UE) 2016/679 e ha irrogato alla società statunitense una sanzione di 158.000 euro. Soprattutto, ha ordinato misure correttive da riscontrare entro 120 giorni: verifica dell’età correttamente funzionante, meccanismi efficaci contro i nuovi tentativi di registrazione dei minori bloccati, profili dei minorenni privati per impostazione predefinita; e inoltre l’adeguamento della privacy policy ai rilievi residui (artt. 12-14) e una decisione sulla sorte dei dati raccolti per il pre-addestramento dei modelli: individuare una finalità compatibile (art. 6, par. 4) o disporne l’integrale cancellazione.
L’importo non deve trarre in inganno: il costo vero sta nell’obbligo di riprogettare il servizio. Il provvedimento interessa ogni impresa del settore, perché trasforma principi generali in requisiti puntuali di prodotto.
Le contestazioni, una per una
Cinque i fronti dell’accertamento, ciascuno con una lezione operativa.
| Contestazione | Norme violate (Reg. UE 2016/679) | La lezione |
|---|---|---|
| Informativa incompleta, non resa in italiano, poco chiara su diritti e rappresentante UE | artt. 12, 13 e 14 | L’informativa si scrive per l’utente che la legge, nella sua lingua |
| Informazioni carenti sull’uso dei dati per l’addestramento dei modelli | art. 14 | La trasparenza copre l’intero ciclo di vita del sistema, addestramento compreso |
| Verifica dell’età aggirabile e profili dei minori pubblici di default | artt. 24 e 25 | Le misure si commisurano al rischio; le impostazioni predefinite proteggono |
| DPIA redatta solo a servizio avviato e inizialmente priva dei rischi per i minori | artt. 5, par. 2, e 35 | La valutazione d’impatto precede il trattamento, non lo insegue |
| Rappresentante UE designato in ritardo (la contestazione sul link di contatto non raggiungibile è stata invece esclusa: mero errore materiale) | art. 27, par. 1 | Chi opera dall’estero designa il rappresentante UE per tempo, fin dall’avvio del servizio |
Da notare: un’informativa resa solo in inglese, per un servizio rivolto anche al pubblico italiano, viola già di per sé gli obblighi di trasparenza. Su struttura e contenuti si veda che cosa deve contenere l’informativa privacy.
La verifica dell’età: l’autodichiarazione non basta
I termini del servizio fissavano a 16 anni l’età minima per gli utenti dello Spazio economico europeo, con blocco della registrazione sotto soglia. Ma il controllo si fermava alla parola dell’interessato: nella verifica tecnica dell’8 aprile 2025 è stato possibile registrarsi dichiarandosi quindicenni. Un modulo che chiede la data di nascita e nulla più non è una misura di protezione: è una formalità.
L’art. 8 del GDPR fissa a 16 anni l’età per il consenso autonomo del minore nei servizi della società dell’informazione, con facoltà per gli Stati di scendere fino a 13; l’Italia ha scelto i 14 anni (art. 2-quinquies del Codice privacy): sotto quell’età il consenso spetta a chi esercita la responsabilità genitoriale, come visto per le foto dei minori sui social. Lo stesso art. 8, al par. 2, chiede al titolare di adoperarsi «in ogni modo ragionevole», «in considerazione delle tecnologie disponibili», per verificare che il consenso sia prestato o autorizzato da chi esercita la responsabilità genitoriale; il dovere generale di verificare l’età con misure proporzionate discende invece dagli artt. 24 e 25, le norme su cui il Garante fonda il provvedimento. In pratica: non serve chiedere un documento a ogni utente, ma serve un sistema proporzionato al rischio — stima dell’età, controlli di coerenza, segnali d’uso — più un presidio contro il rientro: chi è bloccato perché minorenne non deve poter riprovare subito con un’altra data di nascita. È una delle misure ordinate dal Garante.
La DPIA si fa prima del lancio
L’art. 35 del GDPR è univoco: quando il trattamento presenta un rischio elevato, la valutazione d’impatto va effettuata «prima di procedere al trattamento». Un chatbot generativo accessibile anche a minori riunisce quasi tutti gli indici del rischio elevato: tecnologia innovativa, trattamento su larga scala, interessati vulnerabili, contenuti potenzialmente inadeguati. Character.AI ha prodotto la prima DPIA solo il 14 novembre 2024, a servizio già operativo — in una versione che nemmeno considerava i rischi per i minori, integrata nel settembre 2025. Di qui la violazione dell’art. 35 e del principio di responsabilizzazione (art. 5, par. 2). Presupposti e metodo nella guida sulla DPIA: quando serve e come si fa.
Impostazioni predefinite: la protezione è il default
Terzo pilastro: la privacy by default (art. 25, par. 2). Nel periodo esaminato, i profili degli utenti — anche minorenni — risultavano pubblici per impostazione predefinita. Il Garante ha imposto l’inversione: per i minori il profilo deve nascere privato, e deve essere l’utente, semmai, a scegliere diversamente. Il principio va oltre il caso: visibilità del profilo, memorizzazione delle conversazioni, uso dei contenuti per finalità ulteriori vanno preimpostati nella modalità più protettiva, non nella più esposta.
La checklist per chi sviluppa o integra un chatbot
Per le imprese che sviluppano un chatbot proprio o integrano un modello di terzi, il provvedimento si traduce in una lista di controllo:
- accessibilità di fatto: verificare se il servizio è raggiungibile da minori nella realtà, non solo sulla carta dei termini d’uso;
- informativa multilivello, in italiano, chiara anche per un ragazzo (lo impone l’art. 2-quinquies, comma 2, del Codice privacy), con rappresentante UE e canali per i diritti;
- trasparenza sull’addestramento: dichiarare se e come le conversazioni alimentano i modelli;
- DPIA prima del lancio, aggiornata a ogni funzione nuova;
- verifica dell’età proporzionata al rischio e meccanismi contro i tentativi ripetuti di registrazione;
- default protettivi: profili dei minori privati, minimizzazione, nessuna profilazione non necessaria;
- per chi integra soluzioni altrui: due diligence sul fornitore, accordo sul trattamento e una policy aziendale sull’uso dell’IA che disciplini strumenti e responsabilità.
Cosa dice la giurisprudenza
Il riferimento è il provvedimento del Garante 3 luglio 2026, n. 487 (doc. web 10269571; reso noto con comunicato del 9 luglio 2026, doc. web 10269594): sanzione di 158.000 euro a Character Technologies Inc. per violazione degli artt. 12, 13 e 14 (informativa), 24 e 25 (verifica dell’età aggirabile e profili pubblici di default, con riguardo agli utenti infra-sedicenni italiani nel periodo 8 aprile 2024-8 aprile 2025), 5, par. 2, e 35 (DPIA tardiva) e 27, par. 1 (tardiva designazione del rappresentante UE) del GDPR, con l’ordine — da riscontrare entro 120 giorni — di conformarsi alle prescrizioni del paragrafo 5 del provvedimento: rendere funzionante la verifica dell’età, bloccare i nuovi tentativi di registrazione dei minori respinti, rendere privati di default i profili dei minorenni, adeguare la privacy policy ai rilievi residui sugli artt. 12-14 e conformare la conservazione dei dati degli interessati italiani raccolti per il pre-addestramento dei modelli, individuando una finalità compatibile ex art. 6, par. 4, o disponendone l’integrale cancellazione. Il precedente è noto: con il provv. 10 aprile 2025, n. 232 (doc. web 10130115) il Garante aveva sanzionato per 5 milioni di euro Luka Inc., società del chatbot «Replika», per carenze su base giuridica, informativa e verifica dell’età, dopo la limitazione provvisoria del provv. 2 febbraio 2023, n. 39 (doc. web 9852214); ne abbiamo trattato nell’approfondimento su intelligenza artificiale e GDPR. I provvedimenti del Garante restano impugnabili davanti al giudice ordinario; ma la linea dell’Autorità sui minori è costante, e i requisiti che ne discendono — età verificata, DPIA preventiva, default protettivi — sono il parametro con cui ogni servizio di IA generativa deve misurarsi.
Sviluppi o vuoi integrare un chatbot e il tuo pubblico può includere minori? Aiutiamo le imprese a impostare informative, DPIA, verifica dell’età e configurazioni predefinite nell’ambito della consulenza GDPR per aziende e professionisti.
Domande frequenti
Il nostro servizio vieta l’accesso agli under 14 nei termini d’uso: basta? No. Il divieto contrattuale è solo il primo passo: senza un meccanismo che renda effettiva la soglia — e che impedisca di riprovare dopo un blocco — l’impresa resta esposta alle contestazioni ex artt. 24 e 25 del GDPR.
Quando serve la DPIA per un chatbot? Quasi sempre, se accessibile al pubblico: tecnologia innovativa, larga scala e possibile presenza di minori sono indici tipici di rischio elevato. E va svolta prima del lancio: una DPIA successiva è essa stessa una violazione (art. 35).
Le regole valgono solo per chi sviluppa il modello? No. Anche chi integra un chatbot altrui nel proprio sito o nella propria app tratta dati personali e ne risponde per la propria parte: scelta del fornitore, informativa, impostazioni, accesso dei minori.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 17 luglio 2026.