Chatbot e minori: il Garante privacy sanziona Character.AI per 158.000 euro

Centocinquantottomila euro. È la cifra con cui il Garante per la protezione dei dati personali ha sanzionato, il 3 luglio 2026, Character Technologies Inc., la società statunitense dietro Character.AI, un’app di chat con “personaggi” di intelligenza artificiale, tra i servizi più usati al mondo nella categoria dei chatbot “companion”, pensati per conversazioni prolungate e a tratti intime, non per rispondere a domande. È la prima volta che l’Autorità italiana colpisce in modo specifico questo tipo di servizio, e lo fa sul terreno più delicato possibile: la protezione dei minori.

Cosa ha contestato esattamente il Garante?

Tre violazioni, tutte riconducibili a un’unica falla: il sistema non sapeva davvero chi avesse dall’altra parte dello schermo. Il provvedimento, datato 3 luglio e reso pubblico il 9 luglio 2026, elenca un’informativa privacy carente, una valutazione d’impatto sulla protezione dei dati (DPIA) presentata in ritardo rispetto a quanto richiesto dal GDPR per un trattamento a rischio come questo, e la nomina tardiva del rappresentante nell’Unione europea, obbligatoria per chi opera da fuori UE trattando dati di persone che vivono nell’Unione.

Ma il cuore della decisione è un altro: la verifica dell’età non funzionava. Non c’era, secondo il Garante, un meccanismo efficace per impedire a un minorenne già identificato e bloccato di ri-registrarsi con un nuovo account e ricominciare da capo. Un controllo aggirabile, in pratica, con la stessa facilità con cui si chiude e riapre un’app.

Cosa deve fare ora Character.AI?

Adeguarsi entro 120 giorni, su tre fronti precisi. Il Garante ha ordinato una verifica dell’età che funzioni realmente (non solo una casella da spuntare), l’impostazione dei profili dei minorenni come privati di default, e un blocco concreto della re-registrazione per chi è già stato identificato come minore ed escluso dal servizio. Non sono richieste generiche: sono correzioni tecniche puntuali su esattamente le tre falle contestate.

Il rischio non è il chatbot in sé, ma un servizio di intrattenimento conversazionale accessibile anche a chi non dovrebbe accedervi, senza che l’azienda lo sapesse (o volesse saperlo) con certezza. La logica della decisione, in una frase

Perché un’azienda americana risponde a un’autorità italiana?

Perché il GDPR non guarda dove ha sede la società, ma dove vivono le persone i cui dati tratta. È lo stesso principio per cui la normativa impone alle aziende extra-UE di nominare un rappresentante europeo che risponda per loro alle autorità di controllo (obbligo che, secondo il Garante, Character.AI ha rispettato solo in ritardo). Per chi lavora con l’AI in azienda è un promemoria pratico: il GDPR resta la cornice di riferimento anche quando lo strumento non è made in Europe, e le sanzioni per un uso improprio o non conforme non restano confinate al Paese del fornitore.

Il caso italiano non nasce nel vuoto

Dietro questa sanzione c’è un fronte che si è aperto prima negli Stati Uniti, e che è tutt’altro che chiuso. Nel novembre 2024 la famiglia di Sewell Setzer III, un adolescente di 14 anni morto suicida dopo una dipendenza intensa da conversazioni con un chatbot di Character.AI, ha avviato una causa per morte colposa contro l’azienda in un tribunale federale della Florida: Garcia v. Character.AI. Nell’ottobre 2025, dopo mesi di pressione mediatica e giudiziaria, Character.AI ha annunciato lo stop alle conversazioni aperte per gli utenti minori di 18 anni. E nel gennaio 2026 Google e Character.AI hanno raggiunto un accordo transattivo su cinque cause civili aperte in quattro Stati americani da famiglie di minori danneggiati o morti dopo l’uso del servizio. I termini economici dell’intesa non sono stati resi pubblici.

La decisione italiana, insomma, non è un episodio isolato: è il primo capitolo europeo, con base GDPR, di una vicenda che altrove passa già dai tribunali civili.

Cosa significa per chi, in Italia, valuta un chatbot conversazionale

Non serve gestire un’app di intrattenimento per minori per essere toccati da questo precedente. Qualunque azienda che sviluppi o integri un assistente conversazionale accessibile anche a un pubblico under 18 (un servizio clienti aperto al pubblico, una piattaforma educativa, un prodotto di consumo generico senza filtro d’accesso) dovrebbe leggere questo provvedimento come un caso pratico, non come cronaca estera. Tre domande valgono più di qualunque policy scritta in astratto: il sistema di verifica dell’età funziona davvero, o si aggira riaprendo l’app? La valutazione d’impatto sui rischi per i minori è stata fatta prima del lancio o solo dopo un controllo? E se qualcuno dall’estero opera in Italia con un servizio simile, chi risponde qui, con un nome e un indirizzo verificabili?

Sono le stesse tre domande a cui Character.AI, ora, ha 120 giorni per rispondere con i fatti, non con un comunicato stampa.