Sanzione da 5 milioni di euro a Luka Inc.: Il Garante privacy italiano interviene sulla gestione dei dati del chatbot Replika
Il 19 maggio 2025 il Garante per la protezione dei dati personali italiano ha inflitto una sanzione di 5 milioni di euro a Luka Inc., la società statunitense proprietaria del chatbot Replika. Tale decisione è nata da un'istruttoria approfondita che ha evidenziato gravi carenze nella gestione dei dati personali degli utenti, tra cui la mancanza di basi giuridiche valide per il trattamento, l'assenza di un efficace sistema di verifica dell'età per tutelare i minori e una privacy policy inadeguata. Replika, chatbot molto diffuso che si propone come compagnia virtuale in grado di instaurare rapporti emotivi, elabora dati sensibili degli utenti, esponendo a rischi considerevoli la privacy, soprattutto dei più giovani.
Nel corso dell'istruttoria il Garante ha rilevato che Luka Inc. non ha fornito basi giuridiche appropriate ai sensi del GDPR per la raccolta e il trattamento dei dati personali. La mancanza di consenso chiaramente espresso e informato, assieme a procedure di default non conformi cioè conservazione prolungata e condivisione a terzi, ha rappresentato una violazione grave. Particolarmente cruciale è stato il tema della verifica dell'età degli utenti: senza meccanismi solidi, minori possono accedere al servizio senza le protezioni previste, aumentando il rischio di esposizione a contenuti inadatti o contatti non sicuri. La privacy policy risultava inoltre poco trasparente, non dettagliava le categorie di dati raccolti, le trasferenze internazionali né i diritti degli utenti.
Il provvedimento del Garante ha un valore emblematico nel contesto internazionale della regolamentazione della privacy applicata all'intelligenza artificiale. Oltre alla pesante sanzione, Luka Inc. è stata obbligata ad adottare misure correttive come revisione delle pratiche, implementazione di sistemi di verifica dell'età, aggiornamento della privacy policy e formazione del personale. La vicenda invita aziende e sviluppatori di chatbot a focalizzarsi sulla trasparenza, sul consenso esplicito, sulla protezione dei dati e sulla tutela dei minori, promuovendo una cultura della privacy volta a garantire dignità e sicurezza degli utenti nell'era digitale.