意大利某AI聊天机器人公司未开展充分DPIA且处理特殊类别数据被罚500万欧元案

【案件背景】
2024年，意大利数据保护机构（Garante）对一家提供AI聊天机器人服务的科技公司展开调查。该公司利用大型语言模型（LLM）向用户提供个性化对话服务，在交互过程中自动收集用户的文本输入、对话历史、情感倾向、兴趣偏好等大量数据，并利用这些数据训练和优化其AI模型。Garante特别关注该公司在处理过程中对特殊类别个人数据的处理以及DPIA的充分性。

【违法事实】
经Garante调查认定：一是未开展充分的数据保护影响评估（DPIA）——该AI聊天机器人的数据处理属于'使用新技术'和'大规模处理'相结合的高风险场景，是GDPR第35条第3款明确列举的触发强制DPIA的典型情形，但公司的DPIA存在严重缺陷：未充分评估AI模型训练中的不可逆风险，未对用户提供的敏感信息（如健康咨询、宗教信仰对话、政治观点表达等）在AI模型中的记忆和再生风险进行充分分析；二是可能涉及处理特殊类别个人数据——用户在自由文本对话中可能透露其健康状况、性取向、宗教信仰、政治观点等GDPR第9条下的特殊类别数据，而公司的DPIA未对此类数据的收集和处理风险给予充分评估和相应对策。

【处罚决定】
Garante依据GDPR第35条（DPIA义务）、第5条（数据处理原则）和第9条（特殊类别数据），对该公司处以500万欧元行政罚款。同时要求其重新进行全面的DPIA，并在AI模型训练中实施特殊类别数据过滤机制。

【典型意义】
本案是欧盟对AI/大语言模型场景下DPIA执法的重要先例。一是确立了AI聊天场景的DPIA强制性要求——使用LLM的聊天机器人天然属于'新技术+大规模处理'的高风险组合，DPIA不仅需要评估数据安全风险，还需要评估AI模型对个人信息'记忆和重现'的特殊风险；二是首次明确自由文本对话中特殊类别数据的衍生风险——用户在自然语言对话中无意识透露的敏感信息构成DPIA必须评估的独特风险维度；三是对全球AI企业的DPIA实践具有引领作用——在AI技术快速迭代的背景下，DPIA不能局限于传统的数据安全评估，必须扩展到模型安全性、公平性和不可逆风险的前瞻性评估。