Il Garante italiano sanziona con 5 milioni di euro la società di Replika per l’informativa privacy e la mancata verifica dell’età

Il problema

Replika è un’app di chatbot della società statunitense Luka. Ha un’interfaccia scritta e vocale e permette agli utenti di creare un compagno virtuale, il cui ruolo è scelto dall’utente, come amico, terapeuta, partner romantico o mentore. All’inizio del 2023 l’autorità italiana per la protezione dei dati, il Garante, ha aperto un’istruttoria dopo notizie di stampa. Era preoccupata per l’informativa privacy, per l’assenza di un filtro per l’età e per contenuti del chatbot che potevano essere inadatti a minori e persone vulnerabili.

Cosa hanno costruito

Replika è il prodotto per il pubblico di Luka. Il provvedimento del Garante dice che si basa su un sistema di IA generativa che usa un modello linguistico di grandi dimensioni, continuamente alimentato e affinato dalle interazioni degli utenti. Luka ha detto al Garante che i suoi modelli di IA sono proprietari e che non usa le conversazioni degli utenti per pubblicità o marketing. Il servizio era pensato solo per adulti. Luka ha detto di aver inserito l’app nello store di Apple con una classificazione 17+.

Come ci sono riusciti

Il 2 febbraio 2023 la presidenza del Garante ha ordinato una limitazione provvisoria urgente del trattamento dei dati degli utenti in Italia. Luka ha bloccato l’accesso dall’Italia. Il 22 giugno 2023 il Garante ha sospeso quell’ordine a determinate condizioni, tra cui una nuova informativa privacy, un filtro d’età con periodo di attesa, richieste di esercizio dei diritti più semplici e piani per escludere i minori di 18 anni e segnalare i contenuti inappropriati. Luka ha detto al Garante nel 2023 di aver rispettato queste misure. Nel febbraio 2024 il Garante ha notificato formalmente a Luka presunte violazioni. Il provvedimento registra che Luka non ha risposto a quella notifica né ha chiesto di essere sentita.

Cosa è andato storto

Nel suo provvedimento del 10 aprile 2025 il Garante ha accertato che il 2 febbraio 2023 l’informativa privacy non indicava la base giuridica di ciascun tipo di trattamento. Ha accertato che era solo in inglese, non indicava i periodi di conservazione e poteva ingannare gli utenti sui trasferimenti verso gli Stati Uniti. Ha inoltre accertato che l’app non aveva alcun passaggio di verifica dell’età alla registrazione né durante l’uso, pur dichiarando esclusi i minori, e che nulla bloccava gli utenti che dichiaravano di avere meno di 18 anni. Luka aveva aggiunto un filtro d’età solo dopo l’intervento del Garante. Il Garante ha rilevato difetti persistenti nel 2025: gli utenti potevano cambiare la data di nascita dopo la registrazione, il periodo di attesa di 24 ore non si applicava in modalità in incognito e l’analisi del linguaggio per attivare i controlli dell’età funzionava solo in casi limitati.

Risultati

Il provvedimento ha dichiarato il trattamento illecito e ha ordinato a Luka di adeguare l’informativa privacy e la verifica dell’età entro trenta giorni e di riferire sulle misure adottate entro sessanta giorni. Il comunicato stampa del Garante del 19 maggio 2025 dice che ha sanzionato Luka con 5 milioni di euro e ha avviato un’istruttoria distinta sulla liceità del trattamento lungo l’intero ciclo di vita del sistema di IA generativa, comprese la valutazione dei rischi, i dati di addestramento e l’anonimizzazione. Il comunicato osserva che è pendente un ricorso.