TL;DR per il DPO
18 marzo 2026: il Tribunale di Roma (sent. n. 4153/2026) annulla il provvedimento n. 755/2024 con cui il Garante aveva sanzionato OpenAI per 15 mln di euro. Il Tribunale ritiene assorbente la questione della COMPETENZA: per un trattamento transfrontaliero come quello di ChatGPT si applica il meccanismo dello sportello unico (one-stop-shop), con l'autorita' capofila (in UE, l'irlandese). Le contestazioni di merito (base giuridica per l'addestramento, informativa, verifica dell'eta', notifica del data breach) non vengono decise.
I fatti
Nel novembre 2024 il Garante aveva contestato a OpenAI una pluralita' di violazioni: assenza di base giuridica adeguata per l'addestramento dei modelli, carenze nell'informativa, sistemi di age verification insufficienti, mancata notifica di un data breach e inosservanza di precedenti prescrizioni. Sanzione: 15 mln di euro piu' una campagna di comunicazione istituzionale obbligatoria.
OpenAI ha impugnato davanti al Tribunale di Roma, che gia' nel marzo 2025 aveva sospeso in via cautelare la sanzione. Con la sentenza del 18 marzo 2026 l'annullamento e' diventato definitivo: il giudice accoglie il primo motivo, sulla competenza, ritenendolo assorbente rispetto agli altri.
Attenzione: non vuol dire che ChatGPT sia conforme
La sentenza NON certifica la conformita' di ChatGPT al GDPR: decide solo CHI era competente a sanzionare. Gli obblighi per le aziende che usano ChatGPT restano invariati. Se un tuo cliente usa strumenti di IA generativa, devi comunque verificare ruolo privacy del fornitore, base giuridica, informativa e DPA nel contesto d'uso specifico.
Cosa significa per il DPO
- Per i trattamenti transfrontalieri il primo controllo e' la competenza: chi e' l'autorita' capofila?
- Una sanzione nazionale puo' cadere su un vizio di competenza, a prescindere dal merito
- Sull'IA generativa il quadro resta aperto: l'AI Act ridefinira' parte delle regole
- Per i clienti che usano IA: verifica sempre il ruolo del provider e il DPA, non dare per scontata la conformita'
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
