OpenAI rischia potenziali accuse di violazione del GDPR in Italia

OpenAI, l'organizzazione dietro il chatbot di intelligenza artificiale ChatGPT, è sottoposta a verifica da parte dell'Autorità Garante per la Protezione dei Dati Personali (Garante Privacy) italiana per potenziali violazioni del Regolamento Generale sulla Protezione dei Dati (GDPR) dell'Unione Europea. A seguito di un'indagine durata diversi mesi, l'autorità italiana ha emesso un avviso di contestazione, sospettando che OpenAI possa aver violato le normative UE sulla privacy. I dettagli della bozza delle conclusioni non sono stati divulgati, ma ad OpenAI sono stati concessi 30 giorni di tempo per rispondere e presentare una difesa contro le accuse.

Contesto e precedenti azioni dell'autorità italiana

L'Autorità Garante per la Protezione dei Dati Personali (Garante Privacy) aveva già sollevato preoccupazioni in merito alla conformità di OpenAI al GDPR, quando aveva ordinato il divieto temporaneo di trattamento dei dati locali da parte di ChatGPT, portando alla sospensione del chatbot di intelligenza artificiale dal mercato italiano. L'Autorità ha evidenziato problematiche quali la mancanza di una base giuridica adeguata per la raccolta e il trattamento dei dati personali per l'addestramento degli algoritmi di ChatGPT. Anche la sicurezza dei minori e la tendenza dello strumento di intelligenza artificiale a "creare allucinazioni", producendo informazioni inaccurate sugli individui, sono state segnalate come problematiche.

Nonostante abbia affrontato temporaneamente alcune questioni sollevate dall'autorità italiana, OpenAI si trova ora a dover affrontare conclusioni preliminari secondo cui ChatGPT viola il diritto dell'UE. Il nocciolo della questione risiede nella base giuridica che OpenAI rivendica per il trattamento dei dati personali per addestrare i suoi modelli di intelligenza artificiale, soprattutto considerando che ChatGPT è stato sviluppato utilizzando dati estratti dalla rete Internet pubblica, inclusi i dati personali degli individui.

Base giuridica del trattamento dei dati e possibili conseguenze

Inizialmente, OpenAI ha rivendicato l'"esecuzione di untrac" come base giuridica per l'addestramento del modello ChatGPT, ma l'autorità italiana ha ordinato di rimuovere tale riferimento. Questo ha lasciato ad OpenAI solo due possibili basi giuridiche: il consenso o gli interessi legittimi. Ottenere il consenso dall'ampio numero di individui i cui dati sono stati trattati appare impraticabile, lasciando gli interessi legittimi come base giuridica primaria. Tuttavia, questa base richiede ad OpenAI di consentire agli interessati di opporsi al trattamento, ponendo sfide per il funzionamento continuo di un chatbot basato sull'intelligenza artificiale.

La questione più ampia è se il Garante per la protezione dei dati personali accetterà in ultima analisi gli interessi legittimi come valida base giuridica in questo contesto. Precedenti decisioni della Corte di Cassazione dell'Unione Europea suggeriscono potenziali ostacoli, poiché gli interessi legittimi richiedono un attento bilanciamento tra gli interessi del responsabile del trattamento e i diritti e le libertà delle persone fisiche. In particolare, la Corte ha ritenuto che questa base giuridica non sia appropriata per l'attività di pubblicità comportamentale di Meta.

La risposta di OpenAI e gli sforzi in corso per la conformità al GDPR

OpenAI ha risposto ai crescenti rischi normativi cercando di stabilire una sede fisica in Irlanda, designandola come fornitore di servizi per i dati degli utenti dell'UE. L'obiettivo è ottenere lo status di "stabilimento principale" in Irlanda e sottoporre la supervisione della conformità al GDPR alla Commissione irlandese per la protezione dei dati. Tuttavia, questo status è in sospeso e ChatGPT potrebbe ancora essere oggetto di indagini da parte delle autorità per la protezione dei dati (DPA) di altri paesi dell'UE.

Oltre all'indagine italiana, OpenAI è sotto esame anche in Polonia a seguito di un reclamo relativo a informazioni inesatte prodotte da ChatGPT e della risposta di OpenAI al reclamante. Gli sforzi di OpenAI per coordinarsi con le autorità di protezione dei dati dell'UE attraverso il Comitato europeo per la protezione dei dati potrebbero portare a risultati più armonizzati, ma le singole autorità rimangono competenti a emettere decisioni nei rispettivi mercati.