Relazione annuale Garante Privacy: molti interventi sull'AI

Il Presidente Pasquale Stanzione ha illustrato la relazione sull’attività svolta nel 2025 dal Garante per la protezione dei dati personali. Come evidenziato durante il suo discorso alla Camera dei Deputati, molti interventi riguardano l’intelligenza artificiale. L’autorità ha esaminato diversi aspetti della tecnologia (anche in ambito lavorativo) e adottato alcuni provvedimenti per limitare o bloccare il trattamento dei dati degli utenti.

AI, deepfake e verifica dell’età

Il 2025 è iniziato con la decisione di limitare il trattamento dei dati da parte di DeepSeek. Il Garante ha inoltre avviato un’attività istruttoria, dalla quale è emersa la presenza sul mercato di numerose piattaforme che consentono di generare deepfake (immagini, audio, video) di persone reali. Questi contenuti sono stati condivisi sui social media senza il consenso degli interessati.

L’autorità ha quindi avvertito gli utenti di questi servizi della possibile violazione del GDPR (Regolamento generale sulla protezione dei dati) e invitato i provider a progettare i sistemi rispettando la privacy. Nel corso del 2025 sono aumentati i cosiddetti tool di nudificazione che permettono di “spogliare” le persone a partire da un’immagine reale. All’inizio di ottobre 2025 è stato quindi disposto un provvedimento di limitazione provvisoria del trattamento dei dati personali nei confronti della società che sviluppa Clothoff (la situazione è peggiorata all’inizio del 2026 con Grok).

Un altro importante intervento ha riguardato la raccolta dei dati biometrici attraverso i sistemi di riconoscimento facciale. L’autorità ha disposto la sospensione del sistema FaceBoarding dell’aeroporto di Milano Linate, in quanto i dati biometrici di oltre 24.500 passeggeri sono stati conservati in un archivio centralizzato, senza garantire il controllo agli interessati.

Il Garante ha effettuato anche attività di vigilanza sull’accesso ai social media da parte dei minori e quindi sul rispetto dell’età minima. In diverse occasioni ha inoltre evidenziato i rischi del cosiddetto sharenting, ovvero la condivisione online da parte dei genitori di fotografie, video e altri contenuti riguardanti i propri figli.

Per quanto riguarda l’ambito lavorativo, l’autorità ha avvertito una startup italiana (Myndoor) che il suo plugin per Teams e Slack non può essere utilizzato per rilevare lo stress psicologico attraverso l’analisi AI delle conversazioni. Sono state infine inflitte pesanti sanzioni, soprattutto a società del settore energetico, per telemarketing aggressivo.