OpenAI enfrenta posibles cargos por violación del GDPR en Italia

OpenAI, la organización detrás del chatbot de IA ChatGPT, está bajo escrutinio de la Autoridad Italiana de Protección de Datos por posibles violaciones del Reglamento General de Protección de Datos (GDPR) de la Unión Europea. Tras una investigación de varios meses, la autoridad italiana ha emitido un aviso de objeción, sospechando que OpenAI podría haber violado las regulaciones de privacidad de la UE. Los detalles del borrador de conclusiones no se han revelado, pero se ha dado a OpenAI 30 días para responder y presentar una defensa contra las alegaciones.

Antecedentes y acciones previas de la autoridad italiana

La Autoridad Italiana de Protección de Datos había planteado anteriormente preocupaciones sobre el cumplimiento de OpenAI con el GDPR cuando ordenó una prohibición temporal del procesamiento de datos locales de ChatGPT, lo que llevó a la suspensión del chatbot de IA en el mercado italiano. La autoridad destacó problemas como la falta de una base legal adecuada para recopilar y procesar datos personales para entrenar los algoritmos de ChatGPT. La seguridad infantil y la tendencia de la herramienta de IA a 'alucinar', produciendo información inexacta sobre individuos, también fueron señaladas como preocupaciones.

A pesar de abordar temporalmente algunas de las cuestiones planteadas por la autoridad italiana, OpenAI ahora enfrenta conclusiones preliminares de que ChatGPT está violando la ley de la UE. El núcleo de la cuestión radica en la base legal que OpenAI alega para procesar datos personales para entrenar sus modelos de IA, especialmente considerando que ChatGPT fue desarrollado utilizando datos extraídos de internet, incluidos los datos personales de los individuos.

Base legal para el procesamiento de datos y posibles consecuencias

OpenAI afirmó inicialmente que el “cumplimiento de un contrato” era la base legal para el entrenamiento del modelo ChatGPT, pero la autoridad italiana le ordenó eliminar esta referencia. Esto dejó a OpenAI con solo dos posibles bases legales: el consentimiento o los intereses legítimos. Obtener el consentimiento de la gran cantidad de personas cuyos datos han sido procesados parece poco práctico, dejando los intereses legítimos como la base legal principal. Sin embargo, esta base requiere que OpenAI permita a los interesados oponerse al tratamiento, lo que plantea desafíos para la operación continua de un chatbot de IA.

La pregunta más amplia es si el Garante, la Autoridad Italiana de Protección de Datos, aceptará finalmente los intereses legítimos como una base legal válida en este contexto. Decisiones anteriores del tribunal supremo de la UE sugieren posibles obstáculos, ya que los intereses legítimos requieren un equilibrio cuidadoso entre los intereses del responsable del tratamiento de datos y los derechos y libertades de las personas. Cabe destacar que el tribunal consideró esta base inapropiada para el negocio de publicidad conductual de Meta.

La respuesta de OpenAI y los esfuerzos continuos de cumplimiento del RGPD

OpenAI ha respondido a los crecientes riesgos regulatorios buscando establecer una base física en Irlanda, designándola como el proveedor de servicios para los datos de los usuarios de la UE. El objetivo es lograr el estatus de “establecimiento principal” en Irlanda y que la supervisión del cumplimiento del RGPD sea liderada por la Comisión de Protección de Datos de Irlanda. Sin embargo, este estatus está pendiente y ChatGPT aún podría enfrentar investigaciones de las Autoridades de Protección de Datos (APD) en otros países de la UE.

Además de la investigación italiana, OpenAI también está bajo escrutinio en Polonia tras una queja sobre información inexacta producida por ChatGPT y la respuesta de OpenAI al denunciante. Los esfuerzos de OpenAI por coordinarse con las APD de la UE a través del Comité Europeo de Protección de Datos podrían conducir a resultados más armonizados, pero las autoridades individuales siguen siendo competentes para emitir decisiones en sus respectivos mercados.