Первые крупные штрафы Европы против генеративного ИИ пришли не из AI Act. Они пришли из GDPR — и от одного регулятора: итальянского Garante per la protezione dei dati personali (итальянский орган по защите персональных данных, который применяет GDPR в Италии).
Это реестр правоприменения Garante по ИИ-делам в рамках GDPR: что сделала каждая компания, какие именно статьи GDPR вменены, сумма и — главное — что стало с решением потом. Один из двух штрафов уже отменён судом. Каждая сумма, дата и статья ниже ведёт на регулятора, судебный акт или редакционную прессу.
Почему первые ИИ-штрафы идут через GDPR, а не через AI Act
AI Act не заменяет GDPR. Эти два закона работают параллельно и постоянно пересекаются: GDPR регулирует, как обращаются с персональными данными внутри ИИ-системы (какие данные, на каком правовом основании, с какой прозрачностью), а AI Act — то, как сама ИИ-система построена, проверена и поднадзорна (класс риска, оценка соответствия, рыночный надзор). Чат-бот может идеально соответствовать одному закону и нарушать другой.
На практике первая волна громких ИИ-штрафов в Европе пришла через GDPR: GDPR уже действовал с отлаженной машиной правоприменения, тогда как обязанности AI Act ещё вводились поэтапно. Общий знаменатель обоих итальянских дел ниже — одно и то же нарушение GDPR: обучение или работа ИИ-сервиса на персональных данных людей без правового основания («правовое основание» — это конкретное законное основание, согласие, договор, законный интерес и т.д., которого Статья 6 GDPR требует до любой обработки персональных данных). Ни одно из дел не решалось по AI Act.
1. OpenAI — ChatGPT — €15 000 000 — декабрь 2024 — ОТМЕНЁН СУДОМ
Что произошло. После временной блокировки ChatGPT в Италии в марте 2023 и работы трансграничной Task Force ChatGPT при EDPB, которую Garante со-координировал, регулятор завершил собственное расследование и объявил штраф €15 миллионов против OpenAI, обнародованный 20 декабря 2024.
Нарушения GDPR. По данным регулятора, OpenAI обрабатывала персональные данные пользователей для обучения ChatGPT не определив сначала адекватного правового основания, нарушила обязанности прозрачности и информирования пользователей, не имела механизма проверки возраста, способного не пускать детей младше 13 лет, и не уведомила Garante об утечке данных в марте 2023 (разбор дела, Lewis Silkin).
Предписание. Помимо €15 миллионов OpenAI обязали провести шестимесячную информационную кампанию на итальянском радио, ТВ, в прессе и интернете — с объяснением того, как работает ChatGPT, как он собирает данные для обучения, и какие права (возражение, исправление, удаление) могут реализовать субъекты данных (Euronews). OpenAI назвала решение «непропорциональным» и обжаловала его.
Статус — ОТМЕНЁН. OpenAI обжаловала решение в общегражданском суде (Tribunale di Roma, римский гражданский суд, рассматривающий оспаривание санкций Garante). Суд сначала временно приостановил штраф в марте 2025 до решения по существу, затем отменил его полностью решением № 4153/2026, депонированным 18 марта 2026 (ANSA). Garante убрал решение со своего сайта после вердикта; полная мотивировка суда на момент публикаций ещё не была доступна. €15 миллионов на момент написания не подлежат уплате.
2. Luka Inc. — Replika — €5 000 000 — апрель 2025
Что произошло. Replika — приложение ИИ-«виртуального компаньона»: пользователь создаёт чат-бота в роли друга, терапевта, романтического партнёра или наставника. После сообщений прессы о сервисе Garante расследовал его американского оператора, Luka Inc., и 10 апреля 2025 оштрафовал компанию на €5 миллионов.
Нарушения GDPR. По официальной сводке EDPB об итальянском решении, Garante установил нарушения Статей 5(1)(a), 6, 12, 13, 5(1)(c), 24 и 25(1) GDPR: до 2 февраля 2023 Luka не определила никакого правового основания для обработки через Replika; её уведомление о приватности было неадекватным в ряде аспектов; и она не внедрила никакого механизма проверки возраста ни при регистрации, ни в использовании, при том что декларировала исключение несовершеннолетних из числа пользователей.
Предписание и второй фронт. Помимо €5 миллионов Garante обязал Luka привести обработку в соответствие с Регламентом и прямо зарезервировал отдельное самостоятельное расследование законности использования Luka данных пользователей для обучения самой ИИ-модели Replika — это вопрос, отдельный от работы сервиса (EDPB). Это отдельное производство на момент написания продолжается.
Что объединяет оба дела
Если убрать ИИ-обёртку, оба решения сводятся к одному паттерну нарушения GDPR, повторённому на разных стадиях жизненного цикла ИИ: персональные данные использованы для создания или работы сервиса до того, как кто-либо установил для этого законное основание, плюс слабая прозрачность и отсутствие проверки возраста на сервисах, явно достигающих несовершеннолетних. Дело OpenAI на €15 млн показывает и вторую половину истории — крупный штраф за генеративный ИИ может быть выписан и затем развалиться в суде по процедуре и существу, ровно как штраф €746 млн Amazon в Люксембурге. Громкая цифра — не то же самое, что окончательный взысканный штраф.
Если вы строите или внедряете ИИ
- Если вы обучаете модели на персональных данных: вопрос правового основания решается до обучения, а не после. «Разберёмся с основанием позже» — это ровно то, что стоило OpenAI штрафа в первой инстанции; судебная победа пришла потом и это исключение, а не план.
- Если до вашего ИИ-сервиса могут дотянуться несовершеннолетние: галочка при регистрации — не проверка возраста. Оба дела частично завязаны на отсутствии реального возрастного барьера при формальном исключении несовершеннолетних в условиях.
- Если вы работаете из-за пределов ЕС: Luka (США) и OpenAI (США) обе были достигнуты. Учреждение в Ирландии позднее завело OpenAI в механизм «одного окна» (механизм GDPR, дающий компании одного ведущего регулятора по трансграничным делам) — но поведение до учреждения в ЕС оценивал национальный орган напрямую.
- Следите за апелляционным треком. Санкции итальянского Garante оспариваются в Tribunale di Roma. Отмена дела OpenAI показывает: штрафы первой инстанции — не конец истории, для любой из сторон.
Источники и метод
Суммы, даты и номера статей взяты из опубликованных решений итальянского надзорного органа в сводке EDPB, судебного акта Рима (освещение решения 4153/2026, Altalex), итальянского национального агентства ANSA, а также редакционного/юридического освещения Euronews и Lewis Silkin. Это живой реестр — обновляется при изменении судебного статуса решения. Связанное: пиллар GDPR, пиллар AI Act и реестр штрафов AKI — тот же паттерн в Эстонии.