Włoski Organ Ochrony Danych nakłada grzywnę na firmę stojącą za chatbotem „Replika

Włoski organ nadzoru wykazał szereg naruszeń ochrony danych wokół chatbotu „Replika”. Dlatego oprócz nałożenia grzywny, nakazał spółce Luka Inc. dostosowanie operacji przetwarzania danych do przepisów rozporządzenia.

Tło sprawy

Postępowanie wywodzi się z dochodzenia wszczętego z urzędu przez włoski organ nadzoru po opublikowaniu doniesień prasowych i wstępnych ustaleń faktycznych przeprowadzonych w sprawie usługi Replika. To chatbot oparty na generatywnym systemie sztucznej inteligencji, opracowany i zarządzany przez amerykańską firmę Luka Inc. Chatbot posiada zarówno interfejs pisemny, jak i głosowy, umożliwiając użytkownikom wygenerowanie „wirtualnego towarzysza”, który może przyjąć rolę powiernika, terapeuty, romantycznego partnera lub mentora.

Kluczowe ustalenia

W trakcie dochodzenia włoski organ stwierdził, że domniemane naruszenia zgłoszone w lutym 2023 r. – kiedy to nakazał zablokowanie aplikacji – rzeczywiście miały miejsce. Do 2 lutego 2023 r. amerykańska spółka nie określiła podstawy prawnej operacji przetwarzania danych przeprowadzanych za pośrednictwem Repliki. Ponadto Luka przedstawiła politykę prywatności, która była nieodpowiednia pod kilkoma względami. Włoski organ stwierdził również, że do 2 lutego 2023 r. spółka nie wdrożyła żadnych mechanizmów weryfikacji wieku – ani podczas rejestracji, ani podczas korzystania z usługi – pomimo zadeklarowania, że osoby niepełnoletnie są wykluczone z grona potencjalnych użytkowników.

Oceny techniczne wykazały, że system weryfikacji wieku wdrożony obecnie przez administratora nadal jest wadliwy pod kilkoma względami. Z tych powodów, oprócz nałożenia grzywny, włoski organ nadzoru nakazał spółce dostosowanie operacji przetwarzania danych do przepisów rozporządzenia.

Decyzja

Włoski organ nadzoru nałożył na Luka Inc. grzywnę administracyjną w wysokości 5 milionów euro za naruszenie art. 5 ust. 1 lit. a) i art. 6; art. 5 ust. 1 lit. a), art. 12, 13, art. 5 ust. 1 lit. c), art. 24 i art. 25 ust. 1 RODO.

Ponadto włoski organ zastrzega sobie prawo do zbadania i oceny w odrębnym i niezależnym postę-powaniu aspektów dotyczących zgodności z prawem operacji przetwarzania danych przeprowadza-nych przez Luka Inc. ze szczególnym uwzględnieniem podstaw prawnych przetwarzania danych ma-jących zastosowanie w całym cyklu życia systemu generatywnej sztucznej inteligencji stanowiącego podstawę usługi Replika.

Źródło:

Komunikat Europejskiej Rady Ochrony Danych