El regulador italiano de datos multa con 5 millones de euros al creador de Replika por su política de privacidad y la falta de verificación de edad

El problema

Replika es una aplicación de chatbot de la empresa estadounidense Luka. Tiene una interfaz escrita y de voz y permite crear un compañero virtual cuyo papel elige el usuario, como amigo, terapeuta, pareja sentimental o mentor. A comienzos de 2023 la autoridad italiana de protección de datos, el Garante, abrió una investigación tras informaciones de prensa. Le preocupaban la política de privacidad, la falta de un filtro de edad y unos contenidos del chatbot que podían ser inadecuados para menores y personas vulnerables.

Qué construyeron

Replika es el producto de consumo propio de Luka. La decisión del Garante dice que se basa en un sistema de IA generativa que usa un modelo de lenguaje de gran tamaño, alimentado y perfeccionado de forma continua mediante las interacciones de los usuarios. Luka dijo al Garante que sus modelos de IA son propietarios y que no usa las conversaciones de los usuarios para publicidad ni marketing. El servicio estaba pensado solo para adultos. Luka dijo que incluyó la aplicación en la tienda de Apple con una clasificación de 17+.

Cómo lo hicieron

El 2 de febrero de 2023 la presidencia del Garante ordenó una limitación temporal urgente del tratamiento de los datos de los usuarios en Italia. Luka bloqueó el acceso desde Italia. El 22 de junio de 2023 el Garante suspendió esa orden con condiciones, entre ellas una nueva política de privacidad, una barrera de edad con periodo de espera, solicitudes de derechos más sencillas y planes para impedir el acceso a menores de 18 años y marcar los contenidos inapropiados. Luka dijo al Garante en 2023 que había cumplido esas medidas. En febrero de 2024 el Garante notificó formalmente a Luka presuntas infracciones. La decisión recoge que Luka no respondió a esa notificación ni pidió ser oída.

Qué salió mal

En su decisión del 10 de abril de 2025 el Garante constató que el 2 de febrero de 2023 la política de privacidad no indicaba la base jurídica de cada tipo de tratamiento. Constató que solo estaba en inglés, no daba plazos de conservación y podía inducir a error a los usuarios sobre las transferencias a Estados Unidos. También constató que la aplicación no tenía ningún paso de verificación de edad al registrarse ni durante el uso, aunque declaraba excluidos a los menores, y que nada bloqueaba a los usuarios que decían tener menos de 18 años. Luka había añadido una barrera de edad solo después de que actuara el Garante. Este señaló defectos persistentes en 2025: los usuarios podían cambiar su fecha de nacimiento tras registrarse, el periodo de espera de 24 horas no se aplicaba en modo incógnito y el análisis del lenguaje para activar comprobaciones de edad solo funcionaba en casos limitados.

Resultados

La decisión declaró ilícito el tratamiento y ordenó a Luka adecuar la política de privacidad y la verificación de edad en treinta días e informar de sus medidas en sesenta días. El comunicado de prensa del Garante del 19 de mayo de 2025 dice que multó a Luka con 5 millones de euros y abrió una investigación aparte sobre la licitud del tratamiento a lo largo de todo el ciclo de vida del sistema de IA generativa, incluidas la evaluación de riesgos, los datos de entrenamiento y la anonimización. El comunicado señala que hay un recurso pendiente.