Con il Provvedimento n. 112/2023 del 30 marzo 2023, il Garante della Privacy ha disposto in via d’urgenza, nei confronti di OpenAI L.L.C., società statunitense sviluppatrice e gestrice di ChatGPT, in qualità di titolare del trattamento dei dati personali effettuato attraverso tale applicazione, la misura della limitazione provvisoria del trattamento dei dati personali degli interessati stabiliti nel territorio italiano.
A tale proposito si ricorda che ChatGPT è tra i più noti software di Intelligenza Artificiale relazionale in grado di simulare ed elaborare le conversazioni umane.

Nel provvedimento di limitazione provvisoria del trattamento, il Garante della Privacy ha contestato a OpenAI la violazione degli articoli 5,6,8,13 e 25 del GDPR, ossia una raccolta illecita di dati, sulla base dei seguenti rilievi:
i) assenza di un’informativa sia agli utenti, sia agli interessati i cui dati sono stati raccolti da OpenAI, L.L.C. e trattati tramite il servizio di ChatGPT;
ii) assenza di una base giuridica in relazione alla raccolta dei dati personali e al loro trattamento per scopo di addestramento degli algoritmi sottesi al funzionamento di ChatGPT;
iii) inesattezza del trattamento dei dati personali in quanto le informazioni fornite da ChatGPT non sempre corrispondono al dato reale;
iv) l’assenza di qualsivoglia verifica dell’età degli utenti in relazione al servizio ChatGPT che, secondo i termini pubblicati da OpenAI L.L.C., è riservato a soggetti che abbiano compiuto almeno 13 anni.
Da qui è derivata l’applicazione in via d’urgenza della misura della limitazione provvisoria del trattamento dei dati personali degli interessati stabiliti nel territorio italiano, nonché la richiesta di “comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto prescritto e di fornire ogni elemento ritenuto utile a giustificare le violazioni sopra evidenziate” entro 20 giorni dalla ricezione del provvedimento.
Si precisa che, attualmente, la piattaforma è stata solo momentaneamente bloccata e non chiusa in via definitiva, e, dunque, lo stato dell’arte verrà ripristinato a condizione che, entro il suddetto termine di 20 giorni, siano adottate le iniziative richieste dal Garante, pena l’applicazione di una sanzione fino a 20 milioni di euro o fino al 4% del fatturato globale annuo.

Per leggere il testo del Provvedimento del Garante della Privacy clicca qu