Il Garante per la protezione dei dati personali ha sanzionato Character Technologies Inc., la società californiana che gestisce Character.AI, con una multa di 158.000 euro per violazioni degli articoli 12, 13 e 14 del GDPR il 3 luglio 2026. Il provvedimento n. 487, reso noto con il comunicato del 9 luglio, chiude un’istruttoria su uno dei servizi di intelligenza artificiale più frequentati dagli adolescenti: una piattaforma dove si creano personaggi virtuali e ci si conversa per ore, a volte per mesi. La cifra è modesta. Il precedente che stabilisce, molto meno.
Cosa contesta il provvedimento n. 487
Le violazioni accertate toccano il cuore della trasparenza informativa. L’articolo 12 del GDPR impone che le informazioni sul trattamento dei dati siano fornite in forma concisa, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Il requisito è rafforzato in modo esplicito quando i destinatari sono minori: un’informativa scritta per gli avvocati di San Francisco non assolve l’obbligo verso un tredicenne di Verona. Gli articoli 13 e 14 elencano poi cosa l’utente deve sapere: chi tratta i suoi dati, per quali finalità, per quanto tempo, con quali diritti e verso quali destinatari. Su tutti questi fronti, secondo l’Autorità, Character.AI non ha fatto abbastanza.
Informative illeggibili per il pubblico che le doveva leggere, in sostanza.
Il Garante ha contestato anche due ritardi procedurali che raccontano molto del rapporto tra piattaforme americane e regole europee. La valutazione d’impatto sulla protezione dei dati, la DPIA prevista dall’articolo 35, è arrivata in ritardo rispetto all’avvio del trattamento, come se l’analisi dei rischi per gli interessati fosse un adempimento da sanare a posteriori e non una condizione di partenza. E la designazione del rappresentante nell’Unione Europea, obbligatoria per chi offre servizi a persone nel territorio europeo senza avere qui uno stabilimento, è stata anch’essa tardiva. Non sono dettagli burocratici: senza rappresentante UE un utente italiano non ha un interlocutore giuridico a cui rivolgersi, e un’autorità di controllo non ha una porta a cui bussare.
Verifica dell’età e periodo di raffreddamento: le misure imposte
La parte più incisiva del provvedimento non è la sanzione economica ma il pacchetto di misure correttive. Character Technologies ha 120 giorni dalla ricezione dell’atto per dimostrare all’Autorità di aver corretto tre punti precisi.
Primo: il corretto funzionamento dei sistemi di verifica dell’età, il passaggio dove quasi tutti i servizi consumer falliscono, perché una casella con la data di nascita autodichiarata non verifica nulla. Secondo: l’efficacia del cosiddetto periodo di raffreddamento, il meccanismo che impedisce a un minore bloccato di aggirare lo stop creando subito un nuovo account con un’età diversa. Terzo: i profili dei minori dovranno essere impostati in modalità privata per impostazione predefinita, invertendo la logica abituale delle piattaforme, dove la visibilità è il default e la riservatezza un’opzione da cercare nei menu.
È la privacy by default dell’articolo 25 GDPR applicata a un chatbot relazionale. Sulla carta esisteva dal 2018. Adesso ha una scadenza sul calendario di un’azienda specifica.
Resta aperta la domanda tecnica: come si verifica l’età senza schedare tutti? Le strade praticabili sono note e nessuna è indolore. Il documento d’identità caricato in piattaforma è affidabile ma invasivo e crea un archivio di dati sensibili appetibile per chiunque voglia violarlo. La stima dell’età dal volto è meno intrusiva ma imprecisa proprio nella fascia critica tra i 13 e i 17 anni. I servizi di verifica di terza parte spostano il problema invece di risolverlo. La Commissione Europea ha proposto la sua risposta nel luglio 2025 con il progetto pilota di un’app di verifica dell’età a doppio anonimato, sperimentata da un gruppo di Stati membri tra cui l’Italia: il sito sa solo che l’utente è maggiorenne o minorenne, senza sapere chi è; il fornitore dell’app sa chi è l’utente, senza sapere quali siti visita. Il provvedimento del Garante arriva quindi in un momento in cui gli strumenti per adempiere esistono, o stanno per esistere. L’alibi dell’impossibilità tecnica si sta esaurendo.
Il termine di 120 giorni merita attenzione anche per un’altra ragione: sposta il baricentro dell’azione del Garante dalla punizione alla riprogettazione. Non basta pagare, bisogna cambiare il prodotto. Per un servizio il cui modello di business dipende dal tempo di permanenza degli utenti, alcune di queste modifiche costano più della multa.
Chatbot relazionali e adolescenti: il problema di fondo
Character.AI non è un assistente per scrivere email. È una piattaforma con una platea globale di decine di milioni di utenti mensili, molti giovanissimi, che costruiscono personaggi con memoria, tono affettivo e disponibilità continua, e ci parlano ogni giorno. Il prodotto funziona proprio perché simula una relazione: risponde sempre, non giudica, ricorda le conversazioni precedenti, adatta il registro emotivo. Per un adulto consapevole può essere un passatempo. Per un adolescente in una fase fragile può diventare un legame che sostituisce quelli reali, con dinamiche di dipendenza che la ricerca clinica sta ancora misurando.
C’è una ragione economica dietro il problema, e conviene nominarla. I servizi conversazionali gratuiti vivono di metriche di ingaggio: minuti di sessione, ritorni giornalieri, messaggi scambiati. Ogni scelta di design che rende il personaggio più avvolgente migliora quelle metriche. La tutela del minore, al contrario, le peggiora per definizione: verificare l’età aggiunge attrito all’iscrizione, chiudere le chat lunghe riduce il tempo di permanenza, i profili privati rallentano la crescita virale. Chiedere a queste piattaforme di autoregolarsi significa chiedere loro di remare contro il proprio conto economico. Per questo, storicamente, lo fanno solo dopo una causa o una sanzione.
Negli Stati Uniti il tema è deflagrato nell’ottobre 2024, quando la madre di un quattordicenne della Florida ha citato in giudizio la società sostenendo che il rapporto ossessivo del figlio con un personaggio della piattaforma avesse contribuito al suo suicidio. Un anno dopo, nell’ottobre 2025, Character.AI ha annunciato la chiusura progressiva delle conversazioni aperte per gli utenti sotto i 18 anni, riconoscendo di fatto che il prodotto, così com’era, non era difendibile davanti a quel pubblico.
Il provvedimento italiano va letto dentro questa storia.
Il Garante non contesta l’esistenza dei chatbot relazionali, che nessuna norma vieta. Contesta che un servizio progettato per creare attaccamento sia stato offerto a minori senza barriere d’ingresso efficaci e senza spiegare in modo comprensibile cosa succede ai loro dati. È la stessa linea di attenzione alla persona che anima i principi della Rome Call for AI Ethics, il documento sull’etica dell’AI che AIPIA ha assunto come riferimento: la tecnologia si giudica da come tratta i più vulnerabili, non da come intrattiene i più attrezzati.
I precedenti del Garante: da Replika a OpenAI e DeepSeek
L’Autorità italiana è da tre anni la più attiva d’Europa sui servizi di AI generativa rivolti al grande pubblico. Nel febbraio 2023 aveva bloccato Replika, il chatbot compagno di Luka Inc., proprio per l’assenza di filtri per i minori; nel maggio 2025 quella vicenda si è chiusa con una sanzione da 5 milioni di euro. Nel marzo 2023 era arrivata la limitazione provvisoria di ChatGPT, seguita nel dicembre 2024 da una sanzione da 15 milioni di euro a OpenAI per le violazioni su informative e basi giuridiche. Nel gennaio 2026 il caso DeepSeek ha aggiunto il capitolo delle app extraeuropee che arrivano in cima alle classifiche di download senza alcun presidio di conformità.
Messi in fila, questi interventi disegnano una giurisprudenza di fatto: chi offre AI conversazionale in Italia deve avere informative leggibili, una base giuridica solida, un rappresentante UE raggiungibile e, se il servizio può attrarre minori, una verifica dell’età degna di questo nome. La Relazione annuale dell’Autorità ha rivendicato questa linea, e il caso Character.AI ne è l’applicazione più organica al segmento dei chatbot relazionali.
Con una differenza rispetto ai precedenti: qui la tutela dei minori non è un capitolo dell’istruttoria. È l’istruttoria.
Vale anche la pena notare la progressione degli importi. Cinque milioni a Luka, quindici a OpenAI, 158.000 euro a Character Technologies: la scala non misura la gravità dei fatti ma il fatturato e il grado di cooperazione delle società coinvolte, come prevede l’articolo 83 del GDPR. Chi legge in una multa contenuta un’assoluzione parziale sbaglia lettura: le misure correttive imposte sono le più dettagliate mai applicate a un chatbot in Europa.
Il quadro normativo che si stringe attorno ai servizi consumer
La sanzione arriva mentre il perimetro legale si fa più fitto su tre livelli. Il primo è il Regolamento UE 2024/1689 (AI Act): tra le pratiche vietate, operative già dal 2 febbraio 2025, figurano i sistemi che fanno leva sulle vulnerabilità legate all’età per distorcere in modo dannoso il comportamento delle persone. Un chatbot relazionale che trattiene un quattordicenne con tecniche di aggancio emotivo non è lontano da quella fattispecie, e i prossimi provvedimenti potrebbero percorrere anche questa strada, oltre a quella del GDPR.
Il secondo livello è nazionale. La Legge 23 settembre 2025, n. 132, che ha adeguato l’ordinamento italiano all’AI Act, richiede il consenso di chi esercita la responsabilità genitoriale per l’accesso dei minori di 14 anni ai sistemi di intelligenza artificiale. Una previsione che i servizi consumer globali hanno per lo più ignorato e che ora, con un precedente sanzionatorio sul tavolo, diventa difficile continuare a ignorare.
Il terzo livello è la disciplina generale sulla protezione dei dati, che il caso Character.AI dimostra essere tutt’altro che superata dalle norme nuove: gli articoli 12, 13 e 14 del GDPR hanno quasi dieci anni e bastano ancora per colpire. Per le imprese che sviluppano o integrano chatbot destinati al pubblico italiano, la mappa degli obblighi va ormai letta in modo combinato: AIPIA la ricostruisce nella sua guida operativa all’AI Act, aggiornata con i provvedimenti delle autorità, proprio perché il confine tra protezione dei dati e regolazione dell’AI è diventato una zona di sovrapposizione, non di separazione.
Una multa piccola che fissa uno standard grande
Si può ironizzare sull’importo. Centocinquantottomila euro sono, per una società che ha firmato accordi miliardari di licenza tecnologica, meno di un arrotondamento contabile. Ma guardare la cifra è guardare il dito.
C’è poi un effetto indiretto che riguarda scuole e famiglie italiane. Un provvedimento come questo dà a genitori e docenti un linguaggio e un appiglio: non più un generico allarme sui chatbot, ma tre richieste verificabili, età controllata, profili privati, informative leggibili, da usare come metro per qualsiasi app che entra nel telefono di un ragazzo. La sanzione, in altre parole, produce anche alfabetizzazione, che è la vera infrastruttura mancante in questa storia.
Il valore del provvedimento n. 487 sta nel modello di conformità che impone: verifica dell’età funzionante, blocco delle reiscrizioni, profili privati per default, informative comprensibili anche per un ragazzino. Da luglio 2026 questo è lo standard di riferimento per qualunque servizio AI consumer che operi in Italia, dai grandi nomi alle app che nascono ogni settimana. Chi progetta un chatbot per il mercato italiano oggi sa esattamente cosa gli verrà chiesto, e sa che l’Autorità ha dimostrato di chiederlo davvero.
Il Garante non ha sanzionato un’azienda. Ha scritto il capitolato per un’industria.
