ChatGPT e GDPR: cosa puoi imparare dal Provvedimento del Garante Privacy contro OpenAI

Se gestisci un sito web o lavori in una web agency, sai quanto sia importante rispettare il GDPR per proteggere i dati personali dei tuoi utenti e mantenere la fiducia.

Ma anche i giganti della tecnologia possono trovarsi in difficoltà. È il caso di OpenAI, l’azienda che ha sviluppato ChatGPT, multata dal Garante Privacy italiano con una sanzione di 15 milioni di euro per una serie di violazioni del GDPR.

In questo articolo ti spieghiamo cosa è successo, quali sono le violazioni rilevate e cosa puoi imparare da questa vicenda per evitare rischi simili per la tua azienda.

Visto il tema, abbiamo pensato che fosse appropriato affidare alla stessa intelligenza artificiale di ChatGPT il compito di scrivere questo articolo. Ovviamente, il testo è stato attentamente controllato e rivisto dai nostri avvocati per garantirne l'accuratezza e la veridicità. 😉


SOMMARIO


Cos'è successo e perchè è importante
Le principali violazioni di OpenAI contestate dal Garante Privacy
Le conseguenze per OpenAI
Perchè tutto questo riguarda anche la tua azienda
Conclusioni

 

Cos'è successo e perché è importante

Tutto ha avuto inizio il 20 marzo 2023, quando ChatGPT è stato coinvolto in un data breach che ha esposto i dati personali degli utenti. Questo episodio ha spinto il Garante Privacy italiano ad avviare un’istruttoria, che ha portato alla scoperta di numerose violazioni delle normative GDPR.

Non è stato solo un problema tecnico: OpenAI non ha rispettato alcune regole fondamentali, come la trasparenza, la protezione dei minori e la gestione corretta delle informative privacy. Queste mancanze hanno sollevato questioni cruciali per chiunque gestisca dati personali, specialmente in ambiti innovativi come l’intelligenza artificiale.

 

Le principali violazioni di OpenAI contestate dal Garante Privacy

Ecco un’analisi delle principali criticità individuate dal Garante e le lezioni che puoi trarre per il tuo lavoro.
 

1. Mancanza di base giuridica per il trattamento dei dati

Quando ChatGPT è stato lanciato, OpenAI non aveva chiarito con precisione su quale base giuridica si fondasse il trattamento dei dati personali per addestrare i suoi algoritmi. Questa omissione ha reso impossibile agli utenti esercitare i propri diritti, come la rettifica o la cancellazione dei dati.

👉 Cosa puoi fare tu: Assicurati che quando utilizzi strumenti di intelligenza artificiale la privacy policy indica una base giuridica valida (ad esempio, consenso, esecuzione di un contratto, obbligo legale). Documenta tutto in modo chiaro per dimostrare la tua conformità.

2. Informative privacy incomplete e difficili da reperire

L’informativa privacy di OpenAI era disponibile solo in inglese e mancava di dettagli importanti, tra cui:

• Cosa accade ai dati di chi non utilizza ChatGPT.
• Come vengono trattati i dati degli utenti durante l’interazione con il servizio.
• Spiegazioni comprensibili sulle finalità del trattamento.

👉 Cosa puoi fare tu:

• Scrivi le informative sempre in italiano, con un linguaggio semplice e accessibile.
• Inserisci informazioni dettagliate su come raccogli, usi e proteggi i dati, sia per gli utenti registrati che per i visitatori occasionali.
• Verifica che l’informativa sia facilmente reperibile sul tuo sito, magari con un link ben visibile nel footer.

3. Nessuna protezione per i minori

Fino al 30 marzo 2023, OpenAI non aveva adottato sistemi per verificare l’età degli utenti, permettendo anche ai minori di accedere al servizio senza tutele adeguate.

👉 Cosa puoi fare tu: Se il tuo sito web ha un contenuto vietato ai minori, implementa sistemi di verifica dell’età. Ad esempio, puoi richiedere una conferma tramite data di nascita o utilizzare meccanismi di controllo più sofisticati.

4. Notifica del data breach errata

Quando si è verificato il data breach, OpenAI ha notificato l’incidente all’autorità irlandese (DPC), non al Garante italiano, nonostante l’incidente coinvolgesse utenti italiani.

👉 Cosa puoi fare tu: Se subisci una violazione di sicurezza, verifica quale autorità è competente in base alla provenienza dei tuoi utenti e invia la notifica entro le 72 ore previste dal GDPR. Se vuoi leggere le istruzioni del Garante Privacy clicca qui.

5. Mancata trasparenza sui dati generati dall’AI

ChatGPT può generare output inesatti o fuorvianti, creando false rappresentazioni delle persone. Questo viola il principio di esattezza del GDPR, che richiede che i dati personali siano accurati e aggiornati.

👉 Cosa puoi fare tu: Se il tuo servizio utilizza dati generati dall’intelligenza artificiale, monitora e correggi eventuali errori. Comunica chiaramente agli utenti i limiti della tecnologia e le modalità per segnalare eventuali inesattezze.

Le conseguenze per OpenAI

Il Garante Privacy italiano ha imposto a OpenAI non solo una multa salata, ma anche misure correttive:

1. Campagna informativa obbligatoria: OpenAI dovrà avviare una campagna sui principali media italiani per spiegare agli utenti come funziona ChatGPT e come vengono trattati i loro dati.
2. Trasparenza rafforzata: L’azienda dovrà migliorare le sue informative privacy, con particolare attenzione ai diritti degli utenti e alle finalità del trattamento.
3. Trasmissione degli atti alle autorità irlandesi: Per violazioni successive al trasferimento della sede in Irlanda, la questione è stata affidata al DPC.

Perché tutto questo riguarda anche la tua azienda

Anche se non gestisci un servizio complesso come ChatGPT, le regole per chi utilizza strumenti alimentati da intelligenza artificiale sono le stesse per tutti.

Il GDPR richiede:

• Trasparenza: Devi spiegare chiaramente agli utenti come utilizzi i loro dati.
• Accountability: Dimostra di essere conforme alle regole con documentazione chiara.
• Protezione dei minori: Implementa misure specifiche se il tuo sito è frequentato anche da utenti giovani.
• Gestione sicura dei dati: Proteggi i dati con misure tecniche adeguate e sii pronto a rispondere rapidamente in caso di violazione.

Cosa puoi fare subito

Ecco tre passi concreti per evitare problemi e garantire la conformità:

1. Aggiorna le informative privacy: Verifica che siano complete, chiare e facilmente accessibili. Usa un linguaggio semplice per mettere a loro agio gli utenti.
2. Implementa controlli sui tuoi strumenti di AI: Se usi tecnologie innovative, assicurati che rispettino i principi del GDPR.
3. Forma il tuo team: Assicurati che chi lavora con te conosca le basi della normativa e sappia come applicarle nella pratica.

Conclusioni sulla sanzione del Garante Privacy ad OpenAI

Il caso OpenAI è un campanello d’allarme per tutti. Anche i giganti della tecnologia non sono esenti dalle regole, e le autorità europee sono pronte a intervenire con decisione. Non aspettare di trovarti in una situazione simile: investire nella conformità oggi può salvarti da multe e danni reputazionali domani.

Se hai dubbi su come applicare il GDPR al tuo sito o vuoi assicurarti di essere in regola, contattaci su LegalBlink. Siamo qui per aiutarti a semplificare la burocrazia e proteggere la tua attività. 🚀

Team LegalBlink