Italien: was Garante und Gesetz 132/2025 von Arbeitgebern verlangen

Kaum eine europäische Behörde ist bei generativer KI so aktiv wie der Garante per la protezione dei dati personali. Im März 2023 verhängte die italienische Datenschutzbehörde eine vorübergehende Beschränkung der Verarbeitung von Daten italienischer Nutzer durch ChatGPT, eine Premiere für einen Dienst dieser Größe. Weniger als einen Monat später war der Dienst wieder in Italien verfügbar, nachdem OpenAI nachgebessert hatte.

Seitdem ist Italien noch weiter gegangen. 2025 hat es als erstes EU-Land ein umfassendes nationales Gesetz zur künstlichen Intelligenz verabschiedet, das Gesetz Nr. 132 vom 23. September 2025. Für Arbeitgeber in Italien ist die Botschaft klar: KI am Arbeitsplatz muss transparent, geregelt und dokumentiert sein.

2023: die vorübergehende Beschränkung von ChatGPT

Am 30. März 2023 ordnete der Garante an, dass OpenAI die Daten von Personen in Italien vorübergehend nicht mehr verarbeiten durfte. Die Vorwürfe waren konkret: unzureichende Information der Nutzer, keine Rechtsgrundlage für die massenhafte Erhebung von Trainingsdaten und keine Altersprüfung. Wenige Tage zuvor hatte ein Vorfall Chatverläufe und Zahlungsdaten einiger Abonnenten offengelegt.

OpenAI veröffentlichte daraufhin klarere Informationen, ermöglichte einen Widerspruch gegen die Nutzung der eigenen Daten und führte eine Altersabfrage ein. Ende April 2023 war der Dienst wieder erreichbar. Die Lehre für Unternehmen: Ein KI-Tool, das die Belegschaft täglich nutzt, kann über Nacht von einer Behörde gestoppt werden.

Dezember 2024: 15 Millionen Euro Bußgeld für OpenAI

Die Untersuchung endete am 20. Dezember 2024. Der Garante verhängte gegen OpenAI ein Bußgeld von 15 Millionen Euro. Die Entscheidung stellt unter anderem fest:

• eine Verarbeitung personenbezogener Daten zum Training von ChatGPT ohne vorab festgelegte Rechtsgrundlage;

• Verstöße gegen die Transparenzpflichten gegenüber den Nutzern;

• die fehlende Meldung der Datenpanne vom März 2023;

• unzureichende Altersprüfung zum Schutz Minderjähriger.

Außerdem verlangte der Garante eine sechsmonatige Informationskampagne in italienischen Medien, in Radio, Fernsehen und Presse, die erklärt, wie ChatGPT Daten nutzt. Das war kein Einzelfall: Ende Januar 2025 ordnete die Behörde eine Verarbeitungsbeschränkung gegen DeepSeek an, und im Mai 2025 verhängte sie 5 Millionen Euro Bußgeld gegen das Unternehmen hinter dem Chatbot Replika.

Gesetz 132/2025: ein nationaler Rahmen für KI

Das Gesetz 132/2025 wurde am 25. September 2025 im Amtsblatt veröffentlicht und gilt seit dem 10. Oktober 2025. Es ergänzt die europäische KI-Verordnung, ersetzt sie aber nicht. Es benennt zwei nationale KI-Behörden, die Agenzia per l'Italia Digitale (AgID) und die Agenzia per la Cybersicurezza Nazionale (ACN), während der Garante für alles zuständig bleibt, was personenbezogene Daten betrifft. Zudem schafft es Straftatbestände für KI-generierte Deepfakes.

Für Unternehmen ist das Kapitel zur Arbeitswelt am greifbarsten. Arbeitgeber müssen Beschäftigte informieren, wenn sie KI-Systeme einsetzen, KI soll die Arbeitsbedingungen verbessern und die Würde der Menschen achten, und beim Arbeitsministerium entsteht eine Beobachtungsstelle für den Einsatz von KI in der Arbeitswelt.

Was sich für Arbeitgeber in Italien ändert

Das italienische Arbeitsrecht regelt die Überwachung von Beschäftigten bereits streng, vor allem über Artikel 4 des Arbeiterstatuts zu Fernkontrollen. Das Gesetz 132/2025 fügt eine eigene Transparenzpflicht für KI hinzu. Drei Situationen verdienen besondere Aufmerksamkeit:

1. KI, die der Arbeitgeber nutzt, um einzustellen, zu bewerten oder Arbeit zu organisieren: Die Beschäftigten müssen informiert werden.

2. KI, die Beschäftigte selbst nutzen, oft ohne Freigabe: Verträge, Gehaltsabrechnungen, Kundenakten oder Gesundheitsdaten landen in öffentlichen Chatbots.

3. Kontrollwerkzeuge, die diese Nutzung regeln sollen: Sie müssen verhältnismäßig bleiben und die Regeln zu Fernkontrollen einhalten.

Der zweite Fall ist der häufigste und am wenigsten sichtbare. Ein KI-Datenleck beginnt fast immer mit einem ganz normalen Kopieren und Einfügen.

Was die Entscheidungen des Garante lehren

Die Entscheidungen gegen OpenAI betreffen einen Anbieter, sagen aber viel darüber aus, was die Behörde von jeder Organisation erwartet, die Daten mit KI verarbeitet: eine vorab festgelegte Rechtsgrundlage, klare Information der Betroffenen, schnelle Meldung von Datenpannen und geeignete technische Maßnahmen nach Artikel 32 DSGVO, wie in unserer Compliance-Checkliste beschrieben.

Schulungen bleiben nötig, reichen aber nicht aus. Warum, erklären wir in unserem Beitrag dazu, warum KI-Sicherheitsschulungen nicht funktionieren. Unter Zeitdruck kopiert auch eine gut geschulte Person einen Codice fiscale oder eine IBAN in einen Prompt.

Daten schützen, ohne KI zu verbieten

ZeusLock arbeitet auf dem Gerät und im Browser, bevor die Daten das Unternehmen verlassen. Es erkennt italienische Kennungen wie den Codice fiscale, die Partita IVA oder die IBAN sowie Gesundheitsdaten und Personalinformationen. Es kann sie dank formatbewahrender Anonymisierung durch fiktive Werte ersetzen, die Person warnen oder den Versand blockieren. Jeder Vorfall wird protokolliert. Das liefert nützliche Nachweise gegenüber dem Garante und eine konkrete Grundlage für die Information der Beschäftigten.

Das Wichtigste in Kürze

• Der Garante beschränkte ChatGPT 2023 und verhängte im Dezember 2024 ein Bußgeld von 15 Millionen Euro gegen OpenAI.

• Das Gesetz 132/2025 gilt seit dem 10. Oktober 2025 und verpflichtet Arbeitgeber, Beschäftigte über den KI-Einsatz zu informieren.

• AgID und ACN sind die nationalen KI-Behörden, der Garante bleibt für personenbezogene Daten zuständig.

• Das häufigste Risiko steckt in den Prompts der Beschäftigten, nicht in Großprojekten.

Sie möchten den KI-Einsatz in Ihrem Unternehmen in Italien regeln und nachweisen können? Fordern Sie eine ZeusLock-Demo an.