Due tematiche di stringente attualità su tutte hanno caratterizzato la presentazione della Relazione annuale del Garante per la Privacy al Parlamento: l’intelligenza artificiale, con gli algoritmi al servizio delle guerre, il fango sessista e violento che tracima dai social e dal web.
Sul primo fronte, per il Presidente Garante, Pasquale Stanzione, “l’Intelligenza artificiale, nuova infrastruttura del potere, è divenuta il terreno primario di competizione geopolitica, con una corsa all’indipendenza e alla supremazia tecnologica che riflette una nuova idea di sovranità”. Stanzione ha inoltre sottolineato come l’uso degli algoritmi si sia intensificato in guerra, dall’Ucraina all’Iran, di fatto superando “quella deterrenza su cui per decenni si era fondato l’equilibrio geostrategico, in una sorta di nuova guerra fredda”.
Ben 260 riunioni in sedi internazionali, dedicate in gran parte alle problematiche legate all’IA, hanno visto la partecipazione dell’Autorità Garante: dal Consiglio d’Europa, all’Ocse, la Global Privacy Assembly e il G7 delle autorità di protezione dei dati. L’Autorità ha contribuito ai lavori del Comitato europeo per la protezione dei dati (CEPD) sui principali profili applicativi dell’intelligenza artificiale, partecipando all’elaborazione di documenti dedicati al coordinamento tra il Regolamento generale sulla protezione dei dati (GDPR) e il Regolamento sull’IA, nonché alle osservazioni sulle proposte della Commissione europea volte a semplificare il quadro normativo in materia digitale.
Anche nel corso del 2025 il Garante ha assicurato il proprio contributo ai lavori del Committee on Artificial Intelligence (CAI) e dello Steering Committee on Democracy (CDDEM) del Consiglio d’Europa, nell’ambito del quale è stato presentato uno studio interdisciplinare dedicato all’impatto dell’intelligenza artificiale generativa sui processi democratici, con particolare riferimento al dibattito pubblico, alla disinformazione, alle elezioni e ai media. Pasquale Stanzione ha lanciato una sorta di appello: “Bisogna impedire di ridurre la democrazia a equazione – ha detto Stanzione – la persona a prestazione. Bisogna invece porre l’innovazione al servizio dell’uomo, promuovendo così fiducia nel digitale. È quanto ha inteso fare l’Europa inscrivendo la tecnica in una rete di garanzie, tra le quali quelle di protezione dei dati”.
L’Autorità ha inoltre partecipato ai lavori dell’OCSE in materia di governance dei dati, privacy e intelligenza artificiale, contribuendo ai gruppi di esperti e alle iniziative internazionali dedicate al tema. Tali attività hanno concorso alla pubblicazione del documento Artificial Intelligence Paper No. 48 – Mapping Relevant Data Collection Mechanisms for AI Training.
Il tema dell’intelligenza artificiale è stato infine al centro dei lavori del G7 delle Autorità per la protezione dei dati, svoltosi in Canada, che ha ribadito la necessità di rafforzare la cooperazione internazionale tra le Autorità di controllo per garantire una tutela efficace dei dati personali e dei diritti fondamentali nell’ecosistema digitale. Di particolare rilievo è stata l’attività preventiva svolta dall’Autorità per evitare l’utilizzo, nell’addestramento dei sistemi di intelligenza artificiale generativa, di informazioni raccolte massivamente mediante tecniche di web scraping.
Ma oltre alle tematiche generali legate all’IA, l’Autorità Garante è intervenuta fin dall’inizio del 2025 nella dinamica stringente dell’offerta e dell’uso delle piattaforme. A cominciare dalla decisione del Garante di limitare il trattamento dei dati degli utenti italiani da parte di due società cinesi che gestiscono DeepSeek, il sistema di intelligenza artificiale conversazionale, progettato per comprendere ed elaborare il linguaggio naturale che aveva registrato milioni di download nel giro di pochi giorni.
“Nel corso dell’anno – si legge nella Relazione del Garante al Parlamento – l’Autorità, a seguito della ricezione di diverse segnalazioni sul fenomeno del cosiddetto deepfake, ha avviato un’attività istruttoria, dalla quale è emersa la presenza sul mercato di numerose piattaforme che consentono di utilizzare la voce e/o le immagini di altre persone, per generare contenuti audio, fotografici e audiovisivi, in apparenza realistici, basati su tali elementi identificativi. Alla luce delle criticità emerse, l’Autorità ha quindi adottato un provvedimento di avvertimento nei confronti degli utilizzatori di tali piattaforme, come Grok, ChatGPT e Clothoff. L’utilizzo di tali strumenti e la diffusione dei contenuti così generati, tramite social media o altri servizi digitali e applicazioni di messaggistica, possono determinare – ha sottolineato Pasquale Stanzione – oltre a possibili fattispecie di reato, in assenza del consenso degli interessati, gravi violazioni dei diritti e delle libertà fondamentali delle persone coinvolte, con tutte le conseguenze, anche sanzionatorie, previste dalla normativa in materia di protezione dei dati personali”. Il Garante ha inoltre richiamato i fornitori di tali servizi alla necessità di progettare, sviluppare e rendere disponibili applicazioni e piattaforme che, fin dalla progettazione, garantiscano il rispetto della disciplina in materia di protezione dei dati personali”.
Particolare attenzione è stata riservata all’utilizzo dei dati biometrici e alla crescente diffusione dei sistemi di riconoscimento facciale: “In questo ambito – si legge nella Relazione del Garante -l’Autorità ha disposto la sospensione del sistema di riconoscimento facciale FaceBoarding dell’aeroporto di Milano Linate, ritenendolo non conforme al GDPR (Regolamento Generale per la Protezione dei dati) L’istruttoria ha infatti accertato che i dati biometrici di oltre 24.500 passeggeri venivano conservati in un archivio centralizzato, senza che fossero garantiti agli interessati un adeguato controllo sui propri dati personali e le necessarie garanzie previste dal GPDR”.
La dilagante marea di contenuti sessualmente espliciti, connotati spesso da una cultura sessista e omofoba, è stata trattata con particolare attenzione nella relazione del Garante al Parlamento. La donna è sempre più vittima della diffusione di immagini a sfondo sessuale per via digitale, sui social, sul web e sulle chat. Sono infatti pervenute ben 854 segnalazioni relative alla diffusione o alla minaccia di diffusione non consensuale di materiale intimo, in aumento rispetto al 2024. Un fenomeno ignobile che al di là dei casi che emergono lascia ipotizzare una marea di vicende che non approdano ad una alcuna segnalazione e che si trasformano in una vita di inferno per le donne: “La tipologia più ricorrente – si legge nella relazione del Garante – è stata quella della cosiddetta sextortion: i segnalanti hanno riferito di aver ricevuto da soggetti non identificati o non identificabili, minacce di diffusione del proprio materiale intimo qualora non avessero corrisposto somme di denaro o inviato ulteriori contenuti a carattere sessualmente esplicito. Più contenuto è stato, invece, il numero dei casi riconducibili al cosiddetto revenge porn in senso stretto, nei quali il timore della diffusione del materiale intimo è legato a finalità ritorsive o vendicative da parte di un ex partner, generalmente a seguito della fine della relazione sentimentale”.
Nell’ambito delle iniziative riguardanti i deepfake, il Garante ha affrontato anche il fenomeno dei deepnude che, a partire dall’immagine di una persona vestita, consentono di generare fotografie o video in cui la stessa appare artificialmente priva di indumenti, nonché di realizzare immagini a contenuto sessualmente esplicito o persino pornografico: “L’allarme suscitato dalla crescente diffusione di siti e applicazioni online che offrono tali servizi – si legge nella relazione – è stato ulteriormente alimentato dalle numerose denunce riportate dagli organi di informazione, riguardanti persone coinvolte senza il loro consenso, in prevalenza donne, comprese figure del mondo dello spettacolo e della politica, nonché minorenni. In tale contesto l’Autorità ha disposto un provvedimento di limitazione provvisoria del trattamento dei dati personali nei confronti di una società con sede nelle Isole Vergini Britanniche, che gestisce l’applicazione Clothoff, in grado di generare immagini di persone artificialmente prive di indumenti”.
Questo trend a sfondo sessuale e sessista genera particolare preoccupazione anche in relazione al rapporto dei minori con la Rete ed i social. Sul fronte della tutela dei minori online, anche nel corso del 2025, è proseguita l’attività di vigilanza sull’età di accesso ai social network, anche attraverso l’impiego di sistemi di age verification. Particolare attenzione è stata inoltre dedicata al fenomeno dello sharenting, ossia alla costante condivisione online da parte dei genitori di fotografie, video, ecografie e altri contenuti riguardanti i propri figli: “Si tratta di un fenomeno da tempo all’attenzione del Garante – ha detto Stanzione – in considerazione dei rischi che esso comporta per l’identità digitale del minore e per il suo libero sviluppo della personalità”.
Tra i provvedimenti adottati dall’Autorità nell’ambito del rapporto di lavoro, con particolare riguardo all’utilizzo della posta elettronica, ai sistemi di videosorveglianza e all’impiego di strumenti basati sull’intelligenza artificiale, assume particolare rilievo l’intervento adottato in via d’urgenza nei confronti di Amazon Italia Logistica. Riguarda il trattamento di dati personali di oltre 1800 lavoratori impiegati presso lo stabilimento di Passo Corese, in provincia di Rieti: “Il provvedimento – si legge nella relazione – ha riguardato informazioni relative allo stato di salute, all’attività sindacale e alla vita personale e familiare dei dipendenti, raccolte in modo sistematico per l’intera durata del rapporto di lavoro e conservate fino a dieci anni dalla sua cessazione, attraverso una piattaforma collegata al sistema di rilevazione delle presenze, accessibile a un numero elevato di responsabili aziendali”.
Nel mirino del Garante c’è soprattutto l’uso invasivo di meccanismi resi potentissimi dall’IA, tali da attuare una sorveglianza nei confronti dei lavoratori che non ha precedenti e calpesta ogni diritto di tutela e di privacy. Come nel caso di una start-up italiana che ha sviluppato un componente aggiuntivo (plug-in) per le piattaforme di messaggistica aziendale Slack e Teams, progettato per rilevare, tramite l’intelligenza artificiale e l’analisi semantica delle chat, il livello di stress psicologico dei lavoratori che decidano volontariamente di utilizzarlo per ricevere suggerimenti personalizzati. Facce di quel rovescio della medaglia dell’innovazione legata all’intelligenza artificiale, che rendono necessari non solo gli interventi del Garante per la privacy ma anche un generale e diffuso aumento di consapevolezza che consenta una convivenza serena con le opportunità consentite dalla rivoluzione degli algoritmi.
