Il 20 marzo 2026 il Tribunale di Roma ha annullato la sanzione da 15 milioni di euro che il Garante Privacy aveva inflitto a OpenAI nel dicembre 2024 in relazione al trattamento dei dati personali nel contesto dello sviluppo e funzionamento di ChatGPT. Una decisione che ha immediatamente acceso il dibattito tra DPO e privacy lawyer in tutta Europa.
Il contesto della sanzione iniziale
Il Garante aveva contestato a OpenAI diverse violazioni: trattamento di dati personali senza adeguata base giuridica per l'addestramento dei modelli, mancanza di informativa agli interessati, mancato adempimento degli obblighi di accountability ex art. 24 GDPR, e assenza di un meccanismo di verifica dell'eta' degli utenti minori.
Cosa cambia per i DPO
- L'enforcement GDPR sui modelli di IA generativa entra in una fase di maggiore incertezza interpretativa
- Le decisioni del Garante in materia di IA possono essere riformate in sede di opposizione
- Resta aperta la questione della base giuridica per il training set composto da dati scrapati dal web
- Aumenta l'importanza dell'Opinion EDPB 28/2024 sui modelli di IA come riferimento interpretativo
Sentenza non ancora definitiva
La sentenza del Tribunale di Roma puo' essere impugnata in Cassazione. Il quadro normativo definitivo si formera' nei prossimi mesi/anni con il consolidamento giurisprudenziale e con le novita' del Digital Omnibus che propone una base giuridica esplicita per il training AI.
Implicazioni operative
Per i clienti che usano sistemi di IA generativa, il DPO deve continuare a applicare le best practice: data minimization, DPIA quando il trattamento presenta rischio elevato (criteri WP248), valutazione caso per caso della base giuridica, informativa specifica agli interessati, contratti DPA con i fornitori di IA. La sentenza del Tribunale di Roma non assolve OpenAI nel merito, ma annulla l'atto sanzionatorio: i principi GDPR restano applicabili.
In DPO Workspace
Il DPIA Wizard (piano Studio) include nello screening WP248 il criterio specifico per le decisioni automatizzate e i sistemi di IA. Quando un cliente attiva un'integrazione con ChatGPT, Claude, Gemini o altri LLM per finalita' business, il wizard ti guida a documentare la valutazione di impatto.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
