Luka Inc.处500万欧元的罚款
意大利数据保护监管机构Garante因违反用户数据保护法规而对人工智能公司Luka Inc.开发的人工智能聊天机器人Replika处以500万欧元的罚款。
Replika于2017年推出，允许用户与旨在模拟陪伴和情感支持的人工智能驱动的互动，该聊天机器人具有文字和语音界面，允许用户“生成”一个可以扮演知己、治疗师、浪漫伴侣或导师角色的“虚拟伙伴”。
然而，Garante的调查发现：
1.该公司的数据处理实践缺乏足够的合法性基础；
2.隐私政策的披露并不充分，没有包含GDPR要求的必要内容；
3.Replika未能实施足够的年龄验证机制来阻止儿童访问该服务。这种疏忽使潜在的弱势群体面临数据隐私风险，特别是考虑到与人工智能同伴进行对话的敏感性。
实际上，Garante对人工智能开展数据合规的监管措施并不新鲜。
•此前，于2023年，该监管机关曾短暂禁止了OpenAI的ChatGPT，并对涉嫌违反GDPR的行为处以1500万欧元的罚款，强调即使是高知名度的人工智能平台也不能幸免于监管行动。
•2025年1月又针对中国人工智能模型DeepSeek的GDPR合规发出问询，并于此后禁止了该大模型在意大利内的应用。
•2025年4月，意大利数据保护局发出警告，拥有WhatsApp、Facebook、Instagram等的Meta Platforms将从5月下旬开始使用个人数据来训练其人工智能系统，除非用户积极选择退出。
评价：
与此前的ChatGPT、DeepSeek的案件类似，Garante裁决的影响超出了Replika的范围，对在有严格隐私法规的司法管辖区运营的人工智能开发人员来说是一个警示：
出海欧盟的人工智能公司需要尤其注意：
1.隐私政策的合规性，是否达到了欧盟GDPR第13、14条要求披露的事项以及自动化决策机制下的有意义的信息的披露；
2.合法性基础是否充足、明确，是否依法披露在隐私政策中，尤其是需要注意的是，为履行合同所必需不能当然适用于类似Replika的处理活动，需要仔细与具体的数据处理活动进行一一对应。如果有需要获得同意的场景，需要获得自由给予、明确、具体的同意（类似国内同意隐私政策的机制并不符合欧盟的标准）；
3.是否开展了足够的年龄验证机制，避免不适合儿童年龄的人工智能模型被儿童应用；
4.是否有足够的阻断机制，确保未成年人和其他脆弱的个人避免受到此类人工智能模型的负面影响。
5.需要保障数据主体行使其数据保护权利，尤其是拒绝权以及访问权、更正权与删除权。按照Meta的情况来说，如果用户已经同意将用户数据用于训练的话，即使此后实施拒绝权或删除权，也将只向后发生效力，已经训练的部分仍然会对人工智能模型产生效果。
6.对于此类具有技术革新且可能对脆弱敏感人群产生影响的，且可能处理儿童个人信息的人工智能，在开发前，应考虑依照GDPR第35条开展数据保护影响评估（DPIA），DPIA的内容必须包含GDPR所要求的内容，并在实施开发时将设计与默认的隐私保护原则落实在开发的全过程，不仅包括考虑到安全性的问题，还有GDPR的各项基本原则以及各项合规义务。
斐石律师事务所
