Italie : ce que le Garante et la loi 132/2025 imposent aux employeurs

Peu d'autorités européennes ont été aussi actives sur l'IA générative que le Garante per la protezione dei dati personali. En mars 2023, l'autorité italienne de protection des données a imposé une limitation temporaire du traitement des données des utilisateurs italiens par ChatGPT, une première pour un service de cette taille. Moins d'un mois plus tard, le service revenait en Italie, après des mesures correctives d'OpenAI.

Depuis, l'Italie est allée plus loin. Elle est devenue en 2025 le premier pays de l'Union à adopter une loi nationale complète sur l'intelligence artificielle, la loi n° 132 du 23 septembre 2025. Pour les employeurs italiens, le message est clair : l'IA au travail doit être transparente, encadrée et documentée.

2023 : la limitation temporaire de ChatGPT

Le 30 mars 2023, le Garante a ordonné à OpenAI de cesser temporairement de traiter les données des personnes situées en Italie. Les reproches étaient précis : information insuffisante des utilisateurs, absence de base légale pour la collecte massive de données servant à entraîner les modèles, absence de vérification de l'âge. Quelques jours plus tôt, un incident avait exposé des historiques de conversation et des informations de paiement d'abonnés.

OpenAI a ensuite publié une information plus claire, ouvert la possibilité de s'opposer à l'usage de ses données et ajouté un contrôle de l'âge. Le service a été rétabli fin avril 2023. L'épisode a appris une chose aux entreprises : un outil d'IA utilisé chaque jour par leurs salariés peut être suspendu du jour au lendemain par un régulateur.

Décembre 2024 : 15 millions d'euros d'amende pour OpenAI

L'enquête a abouti le 20 décembre 2024. Le Garante a infligé à OpenAI une amende de 15 millions d'euros. La décision retient notamment :

• un traitement de données personnelles pour entraîner ChatGPT sans base juridique identifiée au préalable ;

• des manquements aux obligations de transparence envers les utilisateurs ;

• l'absence de notification de la violation de données de mars 2023 ;

• des mécanismes de vérification de l'âge insuffisants pour protéger les mineurs.

Le Garante a aussi exigé une campagne d'information de six mois dans les médias italiens, à la radio, à la télévision et dans la presse, pour expliquer comment ChatGPT utilise les données. Ce n'est pas un cas isolé : fin janvier 2025, l'autorité a ordonné une limitation du traitement visant DeepSeek, et en mai 2025 elle a sanctionné de 5 millions d'euros l'éditeur du chatbot Replika.

La loi 132/2025 : un cadre national pour l'IA

Publiée au Journal officiel le 25 septembre 2025 et entrée en vigueur le 10 octobre 2025, la loi 132/2025 complète l'AI Act européen sans le remplacer. Elle désigne deux autorités nationales pour l'IA, l'Agenzia per l'Italia Digitale (AgID) et l'Agenzia per la Cybersicurezza Nazionale (ACN), tandis que le Garante reste compétent pour tout ce qui touche aux données personnelles. Elle crée aussi des infractions pénales liées aux contenus truqués générés par l'IA.

Pour les entreprises, le chapitre consacré au travail est le plus concret. L'employeur doit informer les salariés lorsqu'il utilise des systèmes d'IA, l'IA doit améliorer les conditions de travail et respecter la dignité des personnes, et un observatoire sur l'adoption de l'IA dans le monde du travail est créé auprès du ministère du Travail.

Ce que cela change pour les employeurs italiens

En Italie, le droit du travail encadre déjà strictement la surveillance des salariés, notamment avec l'article 4 du Statut des travailleurs sur les contrôles à distance. La loi 132/2025 ajoute une exigence de transparence propre à l'IA. Trois situations méritent une attention particulière :

1. L'IA utilisée par l'employeur pour recruter, évaluer ou organiser le travail : les salariés doivent en être informés.

2. L'IA utilisée par les salariés eux-mêmes, souvent sans validation : contrats, bulletins de paie, dossiers clients ou données de santé finissent dans des chatbots publics.

3. Les outils de contrôle mis en place pour encadrer ces usages : ils doivent rester proportionnés et respecter les règles sur les contrôles à distance.

Le deuxième cas est le plus fréquent et le moins visible. Une fuite de données par l'IA commence presque toujours par un copier-coller banal.

Les leçons des décisions du Garante

Les décisions visant OpenAI concernent un fournisseur, mais elles disent beaucoup de ce que l'autorité attend de toute organisation qui traite des données avec l'IA : une base légale identifiée avant le traitement, une information claire des personnes, une notification rapide des violations et des mesures techniques adaptées, comme l'exige l'article 32 du RGPD, détaillé dans notre checklist de conformité.

Former les équipes reste nécessaire, mais ne suffit pas. Nous avons expliqué pourquoi dans notre article sur les limites de la formation à la sécurité IA. Sous la pression d'un délai, même un salarié bien formé colle un codice fiscale ou un IBAN dans un prompt.

Protéger les données sans interdire l'IA

ZeusLock agit sur le poste et dans le navigateur, avant que la donnée ne parte. Il reconnaît les identifiants italiens comme le codice fiscale, la partita IVA ou l'IBAN, ainsi que les données de santé et les informations RH. Il peut les remplacer par des valeurs fictives grâce à l'anonymisation préservant le format, avertir l'utilisateur ou bloquer l'envoi. Chaque incident est journalisé, ce qui fournit des preuves utiles face au Garante et une base concrète pour l'information due aux salariés.

À retenir

• Le Garante a limité ChatGPT en 2023, puis infligé 15 millions d'euros d'amende à OpenAI en décembre 2024.

• La loi 132/2025, en vigueur depuis le 10 octobre 2025, impose aux employeurs d'informer les salariés de l'usage de l'IA.

• AgID et ACN sont les autorités nationales de l'IA, le Garante reste compétent pour les données personnelles.

• Le risque le plus courant vient des prompts des salariés, pas des grands projets.

Vous voulez encadrer l'usage de l'IA dans votre entreprise en Italie, preuves à l'appui ? Demandez une démo de ZeusLock.