Il 3 luglio 2026 il Garante per la protezione dei dati personali ha chiuso con una sanzione l'istruttoria su Character.AI, la piattaforma americana che permette di chattare con migliaia di personaggi virtuali. L'importo è 158.000 euro, e alla multa si accompagnano prescrizioni da attuare entro 120 giorni.
Non è una notizia di nicchia. Character.AI è una delle app di AI conversazionale più usate al mondo, con una base di utenti molto giovane. E non è nemmeno un caso isolato: è il terzo provvedimento italiano di peso su questo tipo di prodotti, dopo il blocco di Replika del 2023 e la sanzione da 5 milioni arrivata l'anno successivo.
Se usi Character.AI, o stai valutando un'app di questo tipo, vale la pena capire cosa è stato contestato davvero — perché i rilievi del Garante sono, di fatto, la lista delle cose da controllare prima di affidare le proprie conversazioni a un servizio.
I fatti, in ordine
L'istruttoria era stata aperta a novembre 2024. Si è chiusa con il provvedimento del 3 luglio 2026, reso pubblico con un comunicato il 9 luglio.
Le contestazioni sono quattro, e sono tutte di natura strutturale — non incidenti isolati:
- Carenze nell'informativa. Gli utenti non ricevevano indicazioni adeguate su quali dati venissero trattati e con quali finalità.
- Valutazione d'impatto (DPIA) tardiva. Per un servizio che tratta conversazioni personali ed è accessibile a minori, la valutazione d'impatto sulla protezione dei dati è obbligatoria prima di iniziare il trattamento, non dopo.
- Nomina tardiva del rappresentante nell'Unione europea. Una società extra-UE che offre servizi a utenti europei deve designare un rappresentante nell'Unione. Character Technologies l'ha fatto in ritardo.
- Verifica dell'età inadeguata. È il punto centrale. Il servizio dichiarava un'età minima, ma i meccanismi per farla rispettare non offrivano garanzie sufficienti per una piattaforma di fatto accessibile a minorenni.
Cosa deve fare ora Character.AI
Il Garante non si è limitato alla sanzione. Ha imposto tre interventi correttivi, con relazione obbligatoria all'Autorità entro 120 giorni dalla notifica:
- far funzionare davvero la verifica dell'età, non come dichiarazione autocertificata;
- rendere effettivo il "cooling-off period", cioè il meccanismo che impedisce a un minore bloccato di reiscriversi subito con dati diversi;
- impostare in modalità privata di default i profili degli utenti minorenni.
Sono tre richieste molto concrete. La terza in particolare — privacy by default per i minori — è un principio che il GDPR prevede dal 2018 e che gran parte delle piattaforme conversazionali continua a trattare come opzionale.
Perché non è un caso isolato
Messo in fila con quello che è già successo, il provvedimento assume un significato più chiaro:
| Data | Provvedimento | Oggetto |
|---|---|---|
| Febbraio 2023 | Blocco del trattamento | Replika — base giuridica assente, minori esposti |
| Aprile 2024 | Sanzione 5 milioni € | Replika — violazioni confermate |
| Maggio 2025 | Nuova istruttoria | Replika — dati usati per l'addestramento |
| Luglio 2026 | Sanzione 158.000 € | Character.AI — informativa, DPIA, età |
Il filo conduttore è sempre lo stesso: prodotti conversazionali costruiti negli Stati Uniti, portati in Europa senza adattare l'impianto giuridico, e con una tutela dei minori affidata a una casella da spuntare.
Abbiamo raccontato la vicenda Replika per esteso in Replika in Italia: cos'è successo e le alternative. La struttura dei rilievi è quasi sovrapponibile.
Cosa cambia concretamente per te
Se usi Character.AI dall'Italia, nell'immediato il servizio non viene bloccato. Questa è la differenza principale rispetto al caso Replika del 2023: lì il Garante aveva imposto la sospensione del trattamento, qui siamo di fronte a una sanzione con prescrizioni correttive.
Quello che cambia è il seguito. Nei prossimi mesi è ragionevole aspettarsi:
- verifiche dell'età più invadenti — per adeguarsi, le piattaforme tendono a chiedere documenti o stime dell'età da selfie;
- restrizioni per gli account più giovani, con profili privati di default e funzioni limitate;
- possibili blocchi per chi non riesce a dimostrare l'età, incluso il cooling-off che impedisce la reiscrizione immediata.
Se sei un genitore, il punto pratico è questo: fino a oggi un minorenne poteva creare un account e conversare con personaggi virtuali senza filtri reali. Il provvedimento serve a chiudere quella porta — ma i 120 giorni scadono a fine ottobre 2026, e fino ad allora la situazione resta quella attuale.
Come scegliere un'alternativa a Character.AI in Italia
Se la vicenda ti ha fatto venire voglia di guardarti intorno, questi sono i controlli che vale la pena fare — in quest'ordine, perché i primi due escludono già la maggior parte dei servizi.
- Verifica dove stanno i server. Cerca nella privacy policy la sezione sui trasferimenti extra-UE. Se i dati finiscono negli Stati Uniti, stai accettando un livello di tutela diverso da quello europeo. Un servizio che tiene i dati nell'Unione lo scrive in modo esplicito.
- Controlla chi è il titolare del trattamento. Deve esserci una società identificabile, con sede e partita IVA. Se il titolare è una società extra-UE, verifica che sia indicato anche il rappresentante nell'Unione — è esattamente ciò che è mancato a Character.AI.
- Guarda come viene gestita l'età. Una checkbox "ho più di 18 anni" non è una verifica. Controlla se esiste un meccanismo reale e cosa succede agli account dei minori.
- Leggi cosa dice il servizio sull'uso dei tuoi dati per l'addestramento. È il fronte su cui Replika ha ricevuto la seconda istruttoria. Deve essere chiaro se le tue conversazioni alimentano modelli, e devi poter dire di no.
- Prova la cancellazione prima di affezionarti. Cerca l'opzione per esportare ed eliminare i dati. Se non la trovi in cinque minuti nelle impostazioni, è un segnale.
Sono cinque controlli che richiedono un quarto d'ora. Valgono per qualsiasi app conversazionale, non solo per i companion.
Come ci poniamo noi
Full disclosure: Insieme.AI è il nostro prodotto, quindi quello che segue è di parte. Lo mettiamo per trasparenza, non per venderti qualcosa — i controlli del paragrafo precedente valgono anche applicati a noi.
Insieme.AI è costruito da InLoop Srl, società italiana con sede a Potenza. I dati stanno su server nell'Unione europea (Francoforte e Milano) e non lasciano lo spazio economico europeo. Il dettaglio tecnico è in Sicurezza, quello sul trattamento in I tuoi dati.
Sui punti contestati a Character.AI, la nostra posizione:
- L'AI dice sempre di essere un'AI. Nessuno dei sei companion può negare la propria natura, in nessuna circostanza. Non è una scelta di stile: dal 2 agosto 2026 è un obbligo dell'AI Act, e ne parliamo in AI Act, cosa cambia per professionisti e PMI.
- Le conversazioni non addestrano modelli. Restano tue.
- I contenuti romantici sono su un piano separato e maggiorenne, non attivabili per default.
- I companion affettivi hanno regole più strette: niente leve emotive per spingere abbonamenti, riconoscimento dei segnali di disagio, rimando esplicito a supporto professionale quando serve.
Non è un vanto: è il minimo sindacale per operare in Europa nel 2026. La differenza è che partire da qui costa molto meno che doverci arrivare dopo un provvedimento.
Se vuoi capire com'è fatto il prodotto prima di provarlo, la panoramica è in I sei companion. Il piano gratuito non chiede la carta: si parte da qui.
FAQ
Character.AI è stata bloccata in Italia?
No. A differenza di Replika nel 2023, il provvedimento del 3 luglio 2026 è una sanzione con prescrizioni correttive, non una sospensione del trattamento. Il servizio resta accessibile dall'Italia.
A quanto ammonta la sanzione?
158.000 euro. L'importo è contenuto rispetto ai massimali del GDPR, ma il provvedimento impone anche interventi obbligatori entro 120 giorni, con relazione all'Autorità.
Cosa deve cambiare Character.AI entro fine ottobre 2026?
Tre cose: una verifica dell'età che funzioni davvero, un meccanismo efficace che impedisca ai minori bloccati di reiscriversi subito, e i profili degli utenti minorenni impostati come privati per impostazione predefinita.
I miei dati su Character.AI sono a rischio?
Il provvedimento non accerta una violazione dei dati, ma carenze nell'informativa e nella valutazione d'impatto. In pratica: non ti veniva spiegato con sufficiente chiarezza cosa succedeva ai tuoi dati. Se la cosa ti preoccupa, richiedi l'esportazione e valuta la cancellazione dell'account.
Esistono AI companion con server in Europa?
Sì. Alcuni servizi europei, incluso Insieme.AI, tengono i dati su server nell'Unione. Verificalo sempre nella privacy policy alla voce trasferimenti extra-UE: è l'unico modo per averne conferma.
Un minorenne può usare un AI companion?
Dipende dal servizio e dalla modalità. La direzione indicata dal Garante è chiara: serve una verifica dell'età reale e i profili dei minori devono essere protetti per default. Diffida di qualsiasi piattaforma che si limiti a chiederti di confermare la tua età con un clic.
