provvedimento z 10 kwietnia 2025 r., rejestr nr 232 (Luka Inc., Replika)

Postępowanie wobec amerykańskiej spółki udostępniającej chatbota, wobec której organ zastosował już wcześniej ograniczenie przetwarzania. Organ ustalił, że spółka nie wskazała podstaw prawnych dla poszczególnych operacji na danych użytkowników. Informacja o przetwarzaniu była niekompletna i udostępniona wyłącznie po angielsku, mimo że usługa była oferowana we Włoszech. Spółka deklarowała wykluczenie małoletnich z grona odbiorców, a jednocześnie nie miała żadnego mechanizmu weryfikacji wieku ani przy rejestracji, ani w trakcie korzystania. Sprawdzenie techniczne wykazało, że mechanizm wdrożony później nadal ma braki. Organ stwierdził naruszenie art. 5 ust. 1 lit. a i c, art. 6, art. 12 i 13 oraz art. 24 i art. 25 ust. 1 RODO, nałożył karę pieniężną i nakazał umożliwić użytkownikom we Włoszech proste i skuteczne wykonywanie praw, w tym prawa sprzeciwu. Odrębnie zastrzegł zbadanie legalności przetwarzania w całym cyklu życia systemu generatywnego, w tym sposobu trenowania modelu. To praktyczny wzorzec dla każdego, kto udostępnia chatbota, bo organ nie oceniał jakości modelu ani jego odpowiedzi, tylko rzeczy podstawowe. Obsługę użytkownika rozliczono osobno i wcześniej niż trenowanie, więc zgodność interfejsu nie przesądza o zgodności całości.