Il presidente del Garante per la protezione dei dati personali, Pasquale Stanzione, ha definito l’operazione israelo-statunitense “Epic Fury” contro l’Iran la prima guerra combattuta con priorità strategica dall’intelligenza artificiale, spostando il confronto bellico dentro quello che l’Autorità chiama il quinto dominio operativo.
La dichiarazione arriva nell’ambito della Relazione al Parlamento sull’attività svolta nel 2025, presentata oggi a Palazzo Montecitorio dal Collegio composto da Stanzione, Ginevra Cerrina Feroni e Agostino Ghiglia, giunto al sesto anno di mandato. Il documento fotografa un’Autorità in fortissima escalation di attività: 807 provvedimenti collegiali adottati nel corso dell’anno, 506 tra correttivi e sanzionatori, oltre 37 milioni di euro di sanzioni riscosse e 2.415 data breach notificati, in aumento del 10% rispetto al 2024. Il settore pubblico ha fatto segnare 514 casi, concentrati in Comuni, istituzioni scolastiche e strutture sanitarie, mentre nel privato i 1.901 casi hanno coinvolto soprattutto piccole e medie imprese e società di telecomunicazioni, energia e servizi bancari. A questi numeri si aggiungono 4.288 reclami e oltre 145mila segnalazioni gestite dall’Autorità, insieme a 130 ispezioni condotte anche con il supporto del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza.
Deepfake, deepnude e la richiesta di nuovi poteri
Il 2025 si è aperto con la decisione dell’Autorità di limitare il trattamento dei dati degli utenti italiani da parte delle due società cinesi che gestiscono DeepSeek, il sistema di intelligenza artificiale conversazionale che aveva accumulato milioni di download in pochi giorni dal lancio. È stato il primo intervento italiano su un chatbot basato su un rischio sistemico ancora da verificare, più che su una violazione già accertata.
Nel corso dell’anno il Garante ha ricevuto diverse segnalazioni legate alla diffusione del fenomeno deepfake e ha avviato un’istruttoria da cui è emersa la presenza sul mercato di numerose piattaforme capaci di utilizzare voce e immagini altrui per generare contenuti audio, fotografici e audiovisivi dall’aspetto realistico. Da qui è nato un provvedimento di avvertimento nei confronti degli utilizzatori di strumenti come Grok, ChatGPT e Clothoff, accompagnato dal richiamo, rivolto ai fornitori di questi servizi, a garantire fin dalla progettazione il rispetto della disciplina sulla protezione dei dati personali. L’utilizzo di questi strumenti, avverte l’Autorità, può determinare gravi violazioni dei diritti e delle libertà fondamentali delle persone coinvolte, con conseguenze anche sanzionatorie quando manca il consenso degli interessati.
Il caso più grave riguarda Clothoff, l’applicazione capace di generare immagini di persone artificialmente prive di indumenti: l’Autorità ha disposto una limitazione provvisoria del trattamento nei confronti della società che la gestisce, con sede nelle Isole Vergini Britanniche. Su questo fronte Stanzione ha chiesto che venga attribuito al Garante il potere di interdire il collegamento dall’Italia ai sistemi di nudificazione, per bloccare in tempo utile la catena virale delle condivisioni prima che si producano danni difficili da riparare.
La nuova frontiera geopolitica e la crescita del mercato italiano dell’IA
Richiamando le parole pronunciate da John Fitzgerald Kennedy nel 1960, Stanzione ha definito l’intelligenza artificiale la nuova frontiera del nostro tempo, il principale motore di una trasformazione che sta ridisegnando un possibile nuovo ordine globale. Su questo stesso terreno il presidente ha collocato la lettura dell’operazione Epic Fury: nel drammatico moltiplicarsi dei fronti di guerra, ha spiegato, l’intelligenza artificiale assume un ruolo geostrategico sempre più centrale, e la difficile comprensibilità delle logiche algoritmiche rende meno prevedibili i comportamenti degli attori statali, ridefinendo su più livelli quella deterrenza su cui per decenni si è fondato l’equilibrio internazionale, in quella che Stanzione descrive come una nuova guerra fredda.
A sostenere questa lettura arrivano anche i dati citati dal presidente, tratti da una ricerca dell’Osservatorio Artificial Intelligence del Politecnico di Milano: nel 2025 il mercato italiano dell’intelligenza artificiale è cresciuto del 50% rispetto all’anno precedente, con il 71% delle grandi imprese che ha avviato almeno un progetto nel settore, a fronte di appena l’8% delle piccole e medie imprese, mentre solo il 9% delle aziende dispone di una governance strutturata. Stanzione ha inoltre richiamato l’attenzione sulla diffusione della cosiddetta shadow AI, l’uso da parte dei lavoratori di strumenti di intelligenza artificiale non forniti né autorizzati dall’azienda, un fenomeno che secondo lo stesso studio riguarderebbe quasi la metà dei dipendenti.
Il lavoro sorvegliato da algoritmi e piattaforme di analisi emotiva
Tra i provvedimenti più severi dell’anno figura il divieto d’urgenza imposto ad Amazon Italia Logistica per il trattamento dei dati personali di oltre 1.800 lavoratori dello stabilimento di Passo Corese, in provincia di Rieti. L’istruttoria ha accertato la raccolta sistematica, per l’intera durata del rapporto di lavoro, di informazioni relative allo stato di salute, all’attività sindacale e alla vita personale e familiare dei dipendenti, conservate fino a dieci anni dalla cessazione del rapporto attraverso una piattaforma collegata al sistema di rilevazione delle presenze e accessibile a un numero elevato di responsabili aziendali.
Il Garante ha inviato inoltre un avvertimento a una start-up italiana, Myndoor, che ha sviluppato un plug-in per Slack e Teams capace di rilevare, attraverso l’analisi semantica delle conversazioni, il livello di stress psicologico dei lavoratori che scelgono volontariamente di utilizzarlo.
Chatbot, violenza di genere e minori online
Stanzione si è soffermato sul crescente affidamento ai chatbot delle paure, delle domande e del vissuto personale, un fenomeno che riguarda soprattutto i più giovani e che secondo il presidente pone questioni urgenti a cui non ci si può sottrarre: la rete, ha ribadito, non deve trasformarsi in un luogo di violazione della dignità. Opporre a questa tendenza la forza delle garanzie, ha aggiunto, resta il compito più nobile che il diritto è chiamato a svolgere.
Lo stesso principio guida la lettura che Stanzione dà della violenza digitale, un fenomeno che secondo il presidente incorpora sempre più una dimensione di genere, con il rischio di ridurre corpi violati a semplici byte e pixel, come accade nei siti sessisti dove le donne vengono mostrate in atteggiamenti intimi o spogliate anche attraverso l’intelligenza artificiale. Su questo terreno il Garante ha condotto, nel corso dell’anno, l’attività di vigilanza sull’età di accesso ai social network, anche tramite sistemi di age verification, in un contesto in cui i dati Censis citati dal presidente mostrano che il 46,4% dei genitori autorizza l’uso dello smartphone sotto i dieci anni, percentuale che sale al 68,4% entro gli undici anni e al 90,4% subito dopo.
Per sensibilizzare le famiglie sui rischi legati all’identità digitale dei più giovani, l’Autorità ha promosso la campagna “La sua privacy vale più di un like” contro il fenomeno dello sharenting, la condivisione costante da parte dei genitori di fotografie, video ed ecografie dei figli sui social network.
Sextortion, cronaca giudiziaria e diritto di cronaca
I numeri sulla violenza digitale restano tra i più duri dell’intera Relazione. Sono pervenute 854 segnalazioni relative alla diffusione o alla minaccia di diffusione non consensuale di materiale intimo, in aumento rispetto al 2024, riconducibili nella maggior parte dei casi alla sextortion, con richieste di denaro o di ulteriori contenuti sessualmente espliciti sotto minaccia di divulgazione. Più contenuto il numero dei casi di revenge porn in senso stretto, legati a finalità ritorsive di un ex partner dopo la fine della relazione. Le comunicazioni di notizia di reato inviate dall’Autorità alla magistratura sono state 65, contro le 16 del 2024, e 54 di queste riguardano la diffusione non consensuale di immagini o video sessualmente espliciti.
Per Stanzione la sfida della democrazia sta proprio nel coniugare il diritto all’informazione con la dignità delle persone, un equilibrio che si fonda sul principio di essenzialità dell’informazione sancito dalle regole deontologiche della professione giornalistica, argine al rischio che un eccesso informativo degeneri in spettacolarizzazione voyeuristica o, sul terreno della cronaca giudiziaria, finisca per legittimare un vero e proprio processo mediatico. Rispetto alla cronaca giudiziaria, ha aggiunto il presidente, questo principio tocca ciò che di più prezioso esiste, la reputazione e la dignità dei singoli da un lato, l’esercizio imparziale della funzione giurisdizionale dall’altro.
Tra i casi richiamati da Stanzione figura quello di Garlasco, dove la tutela della dignità della vittima ha imposto il blocco della diffusione delle immagini dell’autopsia, accompagnato da un monito al rispetto del diritto di difesa, del segreto professionale e della riservatezza delle parti, violati dalla diffusione della conversazione tra l’allora imputato e il suo difensore. Il presidente ha citato anche la vicenda della cosiddetta famiglia nel bosco, sottolineando l’esigenza primaria di tutela dei minori coinvolti nel loro superiore interesse, e un procedimento per violenza sessuale a carico di alcuni giovani in cui erano emersi elementi idonei a identificare la vittima e dettagli della sua vita privata, ricordando come il diritto alla riservatezza delle persone offese da reati sessuali sia un presidio essenziale per evitare la vittimizzazione secondaria. Sul piano internazionale, l’Autorità ha infine partecipato a 260 riunioni presso Consiglio d’Europa, OCSE, Global Privacy Assembly e G7 delle autorità di protezione dei dati, contribuendo ai lavori del Comitato europeo per la protezione dei dati sul coordinamento tra il Regolamento generale sulla protezione dei dati e il Regolamento sull’intelligenza artificiale.
