OpenAI multata dal Garante Privacy: sanzione da 15 milioni per ChatGPT

Il Garante per la protezione dei dati personali ha deciso di multare OpenAI con una sanzione di 15 milioni di euro. La decisione arriva al termine di un’istruttoria avviata nel marzo 2023 e in seguito alla pubblicazione del parere da parte dell’Edpb (Comitato europeo per la protezione dei dati). Quest’ultimo ha delineato un approccio comune per affrontare alcune delle problematiche più rilevanti legate al trattamento dei dati personali nel contesto dell’intelligenza artificiale.

Secondo quanto riportato dal Garante, OpenAI, la società statunitense creatrice di ChatGPT, ha commesso diverse violazioni. In particolare, la società non ha notificato l’Autorità circa la violazione dei dati avvenuta nel marzo 2023. Inoltre, ha trattato “i dati personali degli utenti per addestrare ChatGPT senza aver prima individuato un’adeguata base giuridica e ha violato il principio di trasparenza e i relativi obblighi informativi nei confronti degli utenti“.

Il Garante ha anche evidenziato che OpenAI non ha messo in atto meccanismi di verifica dell’età degli utenti, rischiando di esporre i minori di 13 anni a risposte inadeguate rispetto al loro grado di sviluppo e consapevolezza. L’Autorità ha così ordinato a OpenAI di realizzare una campagna informativa di sei mesi su radio, televisione, giornali e Internet, come previsto dall’articolo 166, comma 7, del Codice della Privacy. La campagna, che dovrà essere concordata con il Garante, avrà lo scopo di sensibilizzare il pubblico sul funzionamento di ChatGPT e sulla raccolta dei dati di utenti e non-utenti per l’addestramento dell’intelligenza artificiale. Inoltre, sarà enfatizzata la possibilità per gli utenti di esercitare i loro diritti ai sensi del GDPR, come il diritto di opposizione, rettifica e cancellazione.

Per quanto riguarda la sanzione di 15 milioni di euro, il Garante ha precisato che l’importo è stato calcolato tenendo conto dell’atteggiamento collaborativo di OpenAI durante l’istruttoria. Infine, considerato che la società ha stabilito il proprio quartier generale europeo in Irlanda, il Garante ha trasmesso gli atti dell’indagine all’Autorità di protezione dati irlandese (DPC), la quale proseguirà l’istruttoria per eventuali violazioni continuative non risolte prima dell’apertura dello stabilimento europeo.