Prescrizioni del Garante n. 114 del 11/04/2023

OpenAI / ChatGPT: prescrizioni del Garante su informativa, diritti degli interessati, base giuridica e tutela dei minori

Il provvedimento riguarda OpenAI L.L.C., titolare del trattamento connesso a ChatGPT, e si colloca nel seguito della limitazione provvisoria adottata d’urgenza il 30 marzo 2023 e ratificata l’8 aprile 2023. Il Garante, preso atto della disponibilità manifestata dalla società a collaborare e ad adottare misure concrete, rivaluta la situazione e dispone una serie di prescrizioni ai sensi dell’art. 58, par. 2, lett. d), GDPR, con sospensione della limitazione provvisoria subordinata all’adempimento di parte delle misure richieste.

Contesto e origine del procedimento

Il provvedimento si fonda sull’attività istruttoria avviata dal Garante in relazione al trattamento dei dati personali effettuato da OpenAI per l’addestramento degli algoritmi del servizio ChatGPT e, più in generale, per l’erogazione del servizio. L’Autorità richiama:

• il provvedimento n. 112 del 30 marzo 2023, adottato in via d’urgenza ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• la ratifica da parte del Collegio nell’adunanza dell’8 aprile 2023;
• la disponibilità della società a un incontro e le interlocuzioni avvenute tra il 5 e il 7 aprile 2023.

Alla luce delle informazioni acquisite e dell’impegno della società ad adottare misure di tutela, il Garante ritiene di poter rivalutare la limitazione provvisoria, senza però chiudere l’istruttoria e riservandosi ogni ulteriore intervento.

Prescrizioni su informativa e trasparenza

Il Garante ordina a OpenAI di predisporre e pubblicare sul proprio sito internet un’informativa conforme all’art. 12 GDPR. L’informativa deve essere rivolta non solo agli utenti di ChatGPT ma anche agli interessati i cui dati siano stati raccolti e trattati ai fini dell’addestramento degli algoritmi, anche se non utenti del servizio.

L’informativa deve spiegare:

• le modalità del trattamento;
• la logica alla base del trattamento necessario al funzionamento del servizio, nelle varie articolazioni del servizio stesso, incluse ChatGPT e API;
• i diritti spettanti agli interessati;
• ogni altra informazione prevista dal Regolamento.

Per gli utenti del servizio, il Garante richiede anche l’inserimento di un link all’informativa nel flusso di registrazione, in una posizione tale da consentirne la lettura prima di proseguire. In caso di eventuale riattivazione del servizio dall’Italia, anche gli utenti già registrati dovranno visualizzare l’informativa al primo accesso successivo.

Diritti di opposizione, rettifica e cancellazione

Il provvedimento impone a OpenAI di mettere a disposizione, sul proprio sito internet, strumenti facilmente accessibili per l’esercizio dei diritti degli interessati.

In particolare, dovrà essere disponibile:

• uno strumento per esercitare il diritto di opposizione rispetto ai trattamenti svolti dalla società ai fini dell’addestramento degli algoritmi e dell’erogazione del servizio, almeno per gli interessati che si collegano dall’Italia, anche se non utenti;
• uno strumento per chiedere e ottenere la rettifica di eventuali dati personali trattati in modo inesatto nella generazione dei contenuti;
• ove la rettifica non sia possibile allo stato della tecnica, uno strumento per ottenere la cancellazione dei dati personali.

Il Garante valorizza così l’esigenza di rendere concretamente esercitabili i diritti di cui agli artt. 15 e seguenti GDPR in un contesto caratterizzato da trattamento su larga scala e da possibile raccolta di dati di soggetti non direttamente utenti del servizio.

Base giuridica del trattamento per l’addestramento

Una delle prescrizioni centrali riguarda la base giuridica del trattamento dei dati personali degli utenti ai fini dell’addestramento algoritmico. Il Garante impone di eliminare ogni riferimento al contratto come base giuridica e di ricondurre il trattamento al consenso oppure al legittimo interesse, in base alla valutazione che la società dovrà effettuare in una logica di accountability.

Se OpenAI sceglierà il legittimo interesse, dovrà rendere disponibile agli utenti uno strumento facilmente accessibile per l’esercizio del diritto di opposizione. Il provvedimento non impone dunque ex ante una base giuridica unica, ma esclude la correttezza del riferimento al contratto e richiede una riconsiderazione della legittimazione del trattamento coerente con il GDPR.

Tutele per i minori e age verification

Il Garante dedica particolare attenzione alla protezione dei minori.

In caso di eventuale riattivazione del servizio in Italia, OpenAI dovrà richiedere a tutti gli utenti che si collegano dall’Italia, compresi quelli già registrati, di superare al primo accesso un age gate basato sull’età dichiarata, con funzione di filtro degli utenti minorenni.

Inoltre, entro il 31 maggio 2023, la società dovrà sottoporre al Garante un piano per l’adozione di strumenti di age verification idonei a:

• escludere l’accesso al servizio agli utenti infratredicenni;
• escludere l’accesso ai minorenni in assenza di un’espressa manifestazione di volontà da parte di chi esercita la responsabilità genitoriale.

L’implementazione di tale piano dovrà decorrere al più tardi dal 30 settembre 2023.

Campagna informativa e termini di adempimento

Il provvedimento prescrive anche una campagna di informazione entro il 15 maggio 2023, di natura non promozionale, sui principali mezzi di comunicazione di massa italiani: radio, televisione, giornali e Internet. I contenuti della campagna dovranno essere concordati con il Garante.

La finalità è informare gli interessati:

• dell’avvenuta probabile raccolta dei loro dati personali per l’addestramento degli algoritmi;
• della pubblicazione sul sito della società di un’informativa di dettaglio;
• della disponibilità di uno strumento online per chiedere e ottenere la cancellazione dei dati personali.

Il Garante precisa che le prescrizioni da 1 a 7 devono essere integralmente adempiute entro il 30 aprile 2023.

Sospensione della limitazione provvisoria e riserve istruttorie

A fronte dell’adempimento delle prescrizioni da 1 a 7, il Garante dispone la sospensione dell’efficacia del provvedimento di limitazione provvisoria adottato il 30 marzo 2023. La sospensione opera dalla data di effettivo adempimento delle misure, ma resta ferma la possibilità di adottare ulteriori misure urgenti o temporanee qualora l’attuazione risulti insufficiente o inidonea.

Il provvedimento sottolinea espressamente che le decisioni assunte non pregiudicano l’attività di accertamento di eventuali violazioni della disciplina vigente né ogni altra misura che possa rendersi necessaria al termine dell’istruttoria.

Obblighi di comunicazione, sanzioni e tutela giurisdizionale

Ai sensi dell’art. 58, par. 1, GDPR e dell’art. 157 del Codice privacy, il Garante invita OpenAI a comunicare:

• entro il 30 aprile 2023, le iniziative adottate per dare attuazione alle prescrizioni da 1 a 7;
• alle scadenze indicate, le iniziative intraprese per le prescrizioni da 8 a 9.

Viene inoltre richiamato che il mancato riscontro alle richieste formulate ai sensi dell’art. 58 GDPR è sanzionato ai sensi dell’art. 83, par. 5, lett. e), GDPR.

Infine, il provvedimento indica la tutela giurisdizionale esperibile: opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.