Chatbot Replika: sanzionata la società per 5 milioni di euro

Il Garante Privacy ha sanzionato per 5 milioni di euro la società statunitense Luka Inc. che gestisce il chatbot Replika e ha avviato un’autonoma istruttoria per verificare il corretto trattamento dei dati personali effettuato dal sistema di intelligenza artificiale generativa alla base del servizio.

Il chatbot, dotato di un’interfaccia scritta e vocale, consente all’utente di generare un amico virtuale a cui attribuire il ruolo di confidente, terapista, partner romantico o mentore.

Nel corso dell’istruttoria, il Garante ha accertato la violazione delle disposizioni che erano già state contestate nel febbraio 2023, quando era stato disposto il blocco dell’applicazione. Secondo il Garante, la società statunitense non aveva individuato ai tempi le basi giuridiche delle operazioni di trattamento effettuate attraverso Replika. Luka Inc., inoltre, aveva fornito una privacy policy inadeguata sotto vari profili.

Il Garante ha accertato, infine, che alla data del 2 febbraio 2023 la società non prevedeva alcun meccanismo per la verifica dell’età degli utenti né all’atto della registrazione al servizio, né durante il suo utilizzo, benché la società dichiarasse di escludere i minorenni tra i potenziali utenti. Dagli accertamenti tecnici effettuati è emerso che il sistema di verifica dell’età attualmente implementato dal titolare continua ad essere carente sotto molteplici aspetti.

Per tali ragioni, oltre al provvedimento sanzionatorio, l’Autorità ha ingiunto alla società di conformare i trattamenti alle disposizioni del Regolamento.

Nella richiesta di informazioni che ha dato avvio alla nuova istruttoria, il Garante ha chiesto a Luka Inc. dei chiarimenti in merito ai trattamenti dei dati relativi all’intero ciclo di vita del sistema di AI generativa sotteso al servizio Replika. In particolare, riguardo alla valutazione dei rischi e alle misure adottate per tutelare i dati nelle varie fasi di sviluppo e addestramento del modello linguistico alla base di Replika, alle tipologie e categorie di dati utilizzati, all’eventuale implementazione di misure di anonimizzazione o pseudonimizzazione.

Fonte: Com. Stampa GDPR 19 maggio 2025