Una sanzione di 15 milioni di euro e l’obbligo di effettuare una campagna di comunicazione istituzionale di sei mesi su radio, televisione, giornali e Internet: è l’esito di un’istruttoria del Garante per la protezione dei dati personali nei confronti di OpenAI, la società californiana che gestisce ChatGPT.
Il procedimento era stato avviato a marzo 2023 in relazione all’utilizzo dei dati con cui è allenato il modello di intelligenza artificiale generativa e la mancanza di misure idonee per la protezione dei minori.
All’epoca dei fatti il servizio italiano era stato bloccato per circa un mese, al termine del quale era stato raggiunto un accordo che aveva consentito all’applicazione di tornare online. L’istruttoria è comunque proseguita, per determinare la provenienza delle informazioni usate dal modello di AI e per valare i rischi di profilazione.
Le violazioni contestate a ChatGPT
Alla fine, l’Authority ha accertato le seguenti violazioni: mancata notifica di una violazione dei dati subita nel marzo 2023; trattamento dati privo di adeguata base giuridica nel momento in cui è stato lanciato il servizio in Italia; violazione dei principi di liceità, correttezza e trasparenza nell’informazione agli utenti sull’utilizzo dei dati; mancanza di un sistema di verifica dell’età degli utenti adeguato alla protezione dei minori.
Queste contestazioni si riferiscono per lo più al modo in cui funzionava ChaGPT prima del 30 marzo 2023, data in cui avvenne la sospensione del servizio. In parte, però, il Garante ha mosso rilievi anche su eventi posteriori, ad esempio in relazione alla campagna informativa agli utenti che era stata chiesta ad OpenAI e che non è avvenuta rispettando pienamente i requisiti richiesti.
Le sanzioni: multa e campagna informativa
Nei confronti della società californiana è stata disposta una sanzione di 15 milioni di euro, calcolata anche tenendo conto dell’atteggiamento collaborativo della società nel corso del procedimento.
Il Garante ha chiesto anche una campagna informativa istituzionale con le seguenti caratteristiche: deve durare almeno sei mesi; deve essere diffusa su radio, televisione, giornali e Internet; i contenuti vanno concordati con il Garante e devono promuovere la comprensione e la consapevolezza del pubblico sul funzionamento dell’algoritmo, con particolare riferimento alla raccolta dei dati di utenti e non-utenti per l’addestramento dell’intelligenza artificiale generativa e ai diritti esercitabili dagli interessati, inclusi quelli di opposizione, rettifica e cancellazione, ai sensi del GDPR.
