意大利数据保护机构因AI聊天机器人隐私政策存在缺陷、未实施透明度告知义务对其开发公司处罚500万欧元案（2025年5月）

【案件背景】
意大利数据保护监管机构（Garante per la protezione dei dati personali）对某AI聊天机器人软件开发公司展开调查。该公司提供的AI对话服务在全球（含欧盟）拥有大量用户，但调查发现其隐私政策存在根本性缺陷，且该公司在未实施有效年龄验证机制的情况下宣称其服务排除未成年人用户。

【违法事实】
意大利监管机构认定该公司存在系统性违反GDPR的行为：（1）违反GDPR第12条和第13条——隐私政策在多个方面不符合透明告知的法定要求：未以'清晰通俗的语言'编制隐私政策，大量使用技术性术语和模糊表述，使用户无法理解其对话数据如何被用于AI模型训练和改进；未明确说明AI系统从用户交互中收集的数据范围（包括对话内容、使用行为模式、设备信息等）；未告知用于训练AI模型的数据保存期限、数据共享对象（包括第三方AI算法服务商和云基础设施提供商）；（2）违反GDPR第5条（数据处理原则）和第6条（处理合法性）——2023年2月之前，公司未明确AI服务数据处理的合法依据（用户同意？合同必需？正当利益？），呈现'一揽子授权'式的模糊处理模式；（3）违反GDPR第24条和第25条——未在AI系统的设计和默认设置中嵌入数据保护（Data Protection by Design and by Default），包括：声称排除未成年人用户但未实施有效年龄验证机制，调查发现现行的年龄验证系统仅依赖用户自行输入出生日期，存在明显技术漏洞（任何了解该声明的人都可以轻易绕过）。

【处罚决定】
2025年5月21日，意大利Garante宣布对该AI开发公司处以500万欧元行政罚款，并责令整改其全部数据处理操作，特别要求：（1）重写隐私政策，以清晰通俗的语言完整披露AI系统的数据收集范围、使用目的、模型训练机制、存储期限及共享对象；（2）在注册及使用环节实施多层级年龄验证机制（如结合身份证核验、人脸识别等技术手段），确保'青少年模式'有效适用。

【典型意义】
本案是AI大模型时代告知义务的典型案例，揭示了生成式AI应用在透明度方面的特殊挑战：一是AI系统处理用户数据的方式极其复杂（对话内容用于模型训练、微调、评估），传统的'隐私政策'文本难以充分传达这种复杂性——监管要求企业不仅告知'收集什么数据'，还须以可理解的方式解释'AI如何使用这些数据'以及'数据在AI系统中的生命周期'；二是当AI服务被宣传为不适用于未成年人时，该声明实际上引发了更高的注意义务——如果未实施有效年龄验证，该声明本身可构成误导性告知。企业开发涉及欧盟用户的AI应用时，需逐项明确数据处理的合法性基础，杜绝模糊的'一揽子授权'。