Interesse pubblico e impatto sistemico
L’integrazione pervasiva dei sistemi di intelligenza artificiale generativa nelle abitudini digitali quotidiane solleva questioni di primario rilievo circa la tenuta delle tutele fondamentali per gli utenti, con particolare riguardo alle fasce anagrafiche più vulnerabili. L’accesso a piattaforme basate su modelli linguistici avanzati (LLM) ridefinisce le dinamiche di interazione uomo-macchina, trasformando la raccolta dei dati conversazionali in un asset primario di addestramento algoritmico.
La verifica della conformità di tali architetture al quadro normativo europeo del Regolamento (UE) 2016/679 costituisce un banco di prova essenziale per l’intero comparto tecnologico internazionale. L’analisi dei vincoli posti alla profilazione, alla trasparenza dell’informativa e alla salvaguardia dei minori stabilisce parametri operativi destinati a condizionare lo sviluppo dei servizi digitali transfrontalieri.
Contesto storico e geopolitico
La trasformazione dei modelli di interazione testuale ha registrato un’accelerazione con l’avvento dei sistemi conversazionali capaci di simulare personalità complesse e ruoli personalizzati. In questo scenario si colloca la traiettoria di Character, entità societaria costituita il 3 novembre 2021, la quale ha avviato la sperimentazione del proprio servizio in versione beta su interfaccia web il 16 settembre 2022, per poi estendere la distribuzione in formato applicativo per dispositivi mobili il 23 maggio 2023.
La definitiva transizione operativa è avvenuta l’8 aprile 2024, data in cui la piattaforma ha abbandonato lo stadio sperimentale per approdare al dominio ufficiale www.character.ai, rendendo l’infrastruttura pienamente accessibile anche in lingua italiana. Tale passaggio ha esteso la platea di riferimento a livello continentale, determinando l’applicazione formale del criterio di collegamento territoriale di cui all’articolo 3, paragrafo 2, lettera a) del Regolamento europeo, disciplinante l’offerta di servizi a soggetti residenti nell’Unione.
L’evoluzione del modello computazionale proprietario si è storicamente basata sul continuo perfezionamento garantito dall’interazione diretta con gli utenti. Tale architettura generativa ha tuttavia richiesto una progressiva compartimentazione geografica e funzionale: alla data del 30 aprile 2026, le sessioni generate dagli utenti situati nello Spazio Economico Europeo (SEE) risultano escluse dai flussi diretti di affinamento dei modelli linguistici.
Parallelamente, nel novembre 2024, la società ha implementato una versione ad hoc del servizio espressamente riservata agli utenti minorenni, vincolata a un modello linguistico dedicato e a restrizioni funzionali tese a impedire l’accesso indiscriminato all’intero catalogo dei personaggi sintetici e la pubblicazione autonoma di nuovi profili interattivi.
La complessità tecnica e giuridica dell’infrastruttura ha generato una serrata sequenza di verifiche formali. In data 20 dicembre 2024, l’autorità di controllo ha formalizzato con protocollo n. 150217/24 l’accoglimento di un’istanza di proroga (prot. n. 150737/24) presentata dalla società per far fronte all’ampiezza delle richieste informative durante le festività di fine anno. Il 21 gennaio 2025, tramite la nota prot. n. 6935/25, l’operatore ha trasmesso la prima documentazione tecnica, comprendente la valutazione di impatto sulla protezione dei dati (DPIA) ex art. 35 del Regolamento e la valutazione del legittimo interesse (LIA) redatta ai sensi dell’art. 6, par. 1, lett. f).
Le richieste di chiarimento relative alle misure di sicurezza e alla rappresentanza legale nell’Unione hanno condotto a un secondo invio in data 30 settembre 2025 (prot. n. 129329/25), in cui sono state depositate la privacy policy aggiornata al 27 agosto 2025, le revisioni della DPIA e della LIA (rispettivamente datate 30 e 29 settembre 2025) e l’atto formale di designazione del rappresentante ex art. 27 del Regolamento, poi identificato nel soggetto VeraSafe, con indirizzo confermato nella successiva nota prot. n. 71632/26 del 30 aprile 2026.
La rimodulazione dell’ambiente digitale ha registrato un’ulteriore svolta il 9 dicembre 2025 (prot. n. 171362/25), quando la società ha confermato la decisione strategica di eliminare per i minori di 18 anni la facoltà di intrattenere conversazioni libere e aperte con i personaggi artificiali, pianificando l’entrata in vigore della misura a partire dal 24 novembre 2025 negli Stati Uniti ed entro la fine di febbraio 2026 sul territorio italiano.
Soggetti ed enti coinvolti
Entità aziendali e rappresentanze legali
Il soggetto promotore della piattaforma è Character, impresa costituita il 3 novembre 2021 che opera nel settore dell’intelligenza artificiale generativa e dei modelli linguistici proprietari di grandi dimensioni. In sede di contraddittorio difensivo, la società ha rappresentato la propria natura di start-up operante in un mercato ad alta intensità competitiva, caratterizzato da rilevanti costi di gestione infrastrutturale e da una compagine organica contenuta (il cui numero esatto è coperto da omissis negli atti istruttori). Per l’adempimento degli obblighi di rappresentanza previsti dall’articolo 27 del Regolamento europeo, l’entità ha designato la struttura VeraSafe.
Autorità di controllo e giurisdizioni
La supervisione istituzionale è stata esercitata dall’[[Garante per la protezione dei dati personali|Q3758364]], autorità indipendente preposta alla vigilanza sull’applicazione della disciplina privacy nell’ordinamento italiano, operante tramite i propri uffici ispettivi e sanzionatori. Il quadro di riferimento giurisprudenziale include le pronunce della [[Corte di giustizia dell’Unione europea|Q4951]], richiamata dalla difesa societaria in relazione alla sentenza del 5 dicembre 2023 (causa C-807/21) per la determinazione dei presupposti di imputabilità soggettiva a titolo di dolo o colpa nelle sanzioni amministrative pecuniarie.
Analisi critica delle evidenze e nodi aperti
L’esame della documentazione tecnica e delle memorie prodotte evidenzia una serie di frizioni strutturali tra le modalità di erogazione dei servizi algoritmici su scala globale e i canoni di conformità previsti dal diritto europeo. Il primo nodo critico risiede nella strategia informativa adottata dall’operatore tecnologico per assolvere agli obblighi di trasparenza nei confronti degli interessati.
L’art. 12 ed il considerando 58 del Regolamento prescrivono che le informazioni destinate al pubblico o all’interessato debbano essere concise, facilmente accessibili e siano rese in un linguaggio semplice e chiaro.
Nelle proprie deduzioni difensive presentate il 31 marzo 2026 (prot. n. 49636/26) e reiterate nell’audizione del 15 aprile 2026 (verbale prot. n. 60939/26), la società ha sostenuto l’operatività dell’eccezione sancita dall’articolo 14, paragrafo 5, del Regolamento, che esonera il titolare dalla comunicazione individuale in caso di impossibilità materiale o di sforzo manifestamente sproporzionato. L’impresa ha argomentato di aver garantito una pubblicità diffusa attraverso canali eterogenei, quali post sul proprio blog istituzionale, sezioni dell’Help Center e comunicazioni su forum ospitati da terze parti.
Tuttavia, l’analisi delle evidenze documentali rivela che la frammentazione delle comunicazioni su piattaforme esterne rischia di eludere il principio di concentrazione e accessibilità diretta delle informazioni. La continua successione temporale delle informative — dalla versione del febbraio 2023 a quelle aggiornate nel febbraio 2025, agosto 2025, settembre 2025, fino al testo con supplemento regionale calendarizzato per l’efficacia al 1° luglio 2026 — testimonia un quadro regolatorio interno in costante rincorsa rispetto alle contestazioni sollevate.
Un ulteriore aspetto problematico riguarda il trattamento dei dati personali destinati all’addestramento dei modelli proprietari. Sebbene l’azienda abbia attestato l’esclusione degli utenti residenti nell’area SEE dal circuito di training alla data del 30 aprile 2026, gli atti documentali non chiariscono in modo univoco le dinamiche di gestione e conservazione dei log conversazionali raccolti tra il lancio del servizio in italiano (8 aprile 2024) e la successiva segmentazione tecnica.
La gestione della sicurezza dei minori evidenzia parimenti interrogativi aperti. Il passaggio da una versione separata con LLM dedicato (novembre 2024) al blocco integrale delle conversazioni aperte (fissato per febbraio 2026 in Italia) suggerisce come le misure di filtraggio semantico originariamente prospettate nella DPIA non abbiano fornito garanzie reputate sufficienti a scongiurare rischi evolutivi, imponendo una soluzione restrittiva di natura strutturale.
Infine, sotto il profilo della responsabilità sanzionatoria, la memoria difensiva ha introdotto un’eccezione formale basata sulla giurisprudenza della Corte di Giustizia UE (sentenza 5 dicembre 2023, C-807/21), sostenendo l’assenza di prova in ordine alla sussistenza dell’elemento soggettivo del dolo o della colpa nell’avvio del procedimento. Tale argomentazione sposta il confronto dal piano puramente oggettivo della conformità tecnica a quello della colpevolezza organizzativa, in un contesto in cui la società ha altresì fornito i dati contabili relativi al fatturato mondiale annuo 2025 per consentire la corretta graduazione dell’eventuale quadro economico sanzionatorio.
Trasparenza documentale e base giuridica
Il presente dossier analitico si fonda esclusivamente su risultanze documentali e atti procedimentali ufficiali afferenti all’attività ispettiva delle autorità amministrative indipendenti. La fonte primaria di riferimento è costituita dal Provvedimento del 3 luglio 2026 [Registro dei provvedimenti n. 10269571], emanato dal Garante per la protezione dei dati personali e consultabile all’indirizzo istituzionale https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10269571.
La diffusione, l’analisi e la riproduzione dei dati contenuti nel presente fascicolo rispondono ai parametri di pubblico interesse in materia di trasparenza dell’azione amministrativa e tutela dei diritti digitali. La riproduzione dei testi ufficiali emanati dallo Stato e dalle pubbliche amministrazioni è autorizzata in conformità all’articolo 5 della Legge 22 aprile 1941, n. 633, ricadendo le fonti pubbliche nel regime di pubblico dominio.