Prescrizioni del Garante n. 112 del 30/03/2023

OpenAI L.L.C. (ChatGPT): limitazione provvisoria urgente del trattamento in Italia

Il Garante per la protezione dei dati personali dispone nei confronti di OpenAI L.L.C., titolare del trattamento effettuato tramite ChatGPT, la limitazione provvisoria urgente del trattamento dei dati personali degli interessati stabiliti nel territorio italiano. Il provvedimento è adottato nelle more del completamento dell'istruttoria, a seguito di criticità emerse dall'esame preliminare del servizio.

Origine del procedimento e verifiche del Garante

L'intervento prende le mosse da numerosi interventi dei media relativi al funzionamento di ChatGPT. A seguito di una verifica, il Garante rileva che il servizio opera senza fornire alcuna informativa agli utenti né agli interessati i cui dati sono stati raccolti e trattati tramite la piattaforma.

Criticità riscontrate nel trattamento

Il Garante evidenzia più profili di irregolarità:

• assenza di una idonea base giuridica per la raccolta dei dati personali e per il loro trattamento finalizzato all'addestramento degli algoritmi sottesi a ChatGPT;
• trattamento non corretto sotto il profilo dell'esattezza, poiché le informazioni fornite dal sistema non sempre corrispondono al dato reale;
• assenza di qualsivoglia verifica dell'età degli utenti.

Il provvedimento richiama anche il fatto che, secondo i termini del servizio pubblicati da OpenAI L.L.C., ChatGPT sarebbe riservato a soggetti che abbiano compiuto almeno 13 anni.

Profili relativi ai minori

Il Garante sottolinea che l'assenza di filtri per i minori di 13 anni li espone a risposte assolutamente inidonee rispetto al loro grado di sviluppo e autoconsapevolezza. Tale elemento rafforza la valutazione di urgenza e la necessità di intervenire immediatamente a tutela degli interessati, compresi i minori.

Violazioni del GDPR rilevate

Sulla base delle criticità riscontrate, il Garante ritiene che il trattamento dei dati personali degli utenti, compresi i minori, e degli interessati i cui dati sono utilizzati dal servizio si ponga in violazione degli artt. 5, 6, 8, 13 e 25 del Regolamento (UE) 2016/679.

Misura adottata: limitazione provvisoria del trattamento

In applicazione dell'art. 58, par. 2, lett. f), GDPR, il Garante dispone in via d'urgenza la limitazione provvisoria del trattamento dei dati personali degli interessati stabiliti nel territorio italiano.

La misura:

• ha effetto immediato dalla data di ricezione del provvedimento;
• si applica, in assenza di meccanismi di verifica dell'età e in ragione del complesso delle violazioni rilevate, a tutti i dati personali degli interessati stabiliti in Italia;
• resta in vigore nelle more della definizione dell'istruttoria avviata sul caso, con riserva di ulteriori determinazioni.

Obblighi successivi e termini

Il Garante invita il titolare del trattamento, ai sensi dell'art. 58, par. 1, GDPR, a comunicare entro 20 giorni dalla ricezione:

• quali iniziative siano state intraprese per dare attuazione a quanto prescritto;
• ogni elemento ritenuto utile a giustificare le violazioni evidenziate.

Conseguenze dell'inosservanza e tutela giurisdizionale

Il provvedimento richiama espressamente che:

• l'inosservanza della misura disposta dal Garante comporta l'applicazione della sanzione penale di cui all'art. 170 del Codice privacy;
• il mancato riscontro alla richiesta formulata ai sensi dell'art. 58 è punito con la sanzione amministrativa di cui all'art. 83, par. 5, lett. e), GDPR.

Infine, viene indicata la possibilità di proporre opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, nonché degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all'estero.