- La sentenza del Tribunale di Roma
- La vicenda: dal blocco di ChatGPT alla sanzione
- Le motivazioni del ricorso di OpenAI
- Il nodo dell'informativa e del trattamento dati
- Un precedente che pesa sul futuro della regolazione
- Privacy e intelligenza artificiale: una partita ancora aperta
- Domande frequenti
La sentenza del Tribunale di Roma
Quindici milioni di euro. Era questa la cifra che OpenAI avrebbe dovuto versare nelle casse dello Stato italiano per presunte violazioni nella gestione dei dati personali degli utenti di ChatGPT. Non dovrà farlo. Il Tribunale di Roma ha accolto il ricorso presentato dalla società di San Francisco, annullando integralmente la sanzione inflitta dal Garante per la protezione dei dati personali nel dicembre 2024.
Una decisione che non è passata inosservata, né a Roma né a Bruxelles. Perché questa sentenza, depositata nelle scorse ore, tocca un nervo scoperto del dibattito europeo: fin dove può spingersi l'azione regolatoria nazionale di fronte ai giganti globali dell'intelligenza artificiale? E soprattutto, con quali strumenti giuridici?
La vicenda: dal blocco di ChatGPT alla sanzione
Per ricostruire il contesto bisogna tornare indietro di quasi tre anni. Nell'aprile 2023, l'Italia fu il primo Paese occidentale a bloccare temporaneamente ChatGPT, con un provvedimento d'urgenza del Garante Privacy che fece il giro del mondo. Le contestazioni riguardavano diversi profili: l'assenza di una base giuridica adeguata per il trattamento massivo dei dati, la mancanza di sistemi efficaci di verifica dell'età, e soprattutto la carenza di un'informativa chiara rivolta agli utenti sul modo in cui i loro dati venivano raccolti e utilizzati per addestrare i modelli di linguaggio.
OpenAI si adeguò parzialmente, il servizio fu riattivato dopo poche settimane, ma l'istruttoria proseguì. Fino alla sanzione di 15 milioni di euro, notificata nel dicembre 2024, che rappresentava una delle multe più significative mai comminate da un'autorità garante europea a un operatore del settore AI.
La società americana non rimase a guardare. Presentò ricorso e, nel marzo 2025, ottenne la sospensione cautelare della sanzione in attesa della decisione di merito. Decisione che è arrivata ora, a distanza di un anno esatto, con l'annullamento integrale del provvedimento.
Le motivazioni del ricorso di OpenAI
OpenAI ha costruito la propria difesa su più livelli. Il primo, e più rilevante, riguarda la dichiarazione di piena conformità alle normative sulla protezione dei dati personali. La società ha sostenuto di aver implementato, già a partire dalla riapertura del servizio in Italia nella primavera 2023, misure concrete per rispettare il GDPR: dall'aggiornamento dell'informativa privacy alla possibilità per gli utenti di opporsi all'utilizzo delle proprie conversazioni per l'addestramento dei modelli, fino all'introduzione di strumenti di verifica dell'età.
Stando a quanto emerge dalle prime ricostruzioni della sentenza, il Tribunale avrebbe ritenuto fondate almeno alcune di queste argomentazioni, giudicando la sanzione sproporzionata rispetto alle condotte effettivamente accertate.
Il nodo dell'informativa e del trattamento dati
Il cuore della contestazione del Garante Privacy ruotava attorno a un punto preciso: l'assenza, al momento dell'avvio del servizio in Italia, di un'informativa adeguata sul trattamento dei dati ai sensi degli articoli 13 e 14 del Regolamento europeo. In sostanza, milioni di utenti italiani avrebbero interagito con ChatGPT senza sapere esattamente come i loro dati venissero processati, conservati e potenzialmente riutilizzati.
È una questione tutt'altro che banale. I modelli di linguaggio come quelli sviluppati da OpenAI si nutrono di enormi quantità di dati testuali, e la linea di confine tra dato personale e dato anonimo, nel contesto dell'addestramento algoritmico, resta sfumata. Il Garante italiano, va detto, è stato tra i primi in Europa a sollevare il problema con forza, aprendo un fronte che poi altri regolatori hanno seguito.
Il Tribunale, tuttavia, sembra aver valutato che le misure correttive adottate successivamente da OpenAI fossero sufficienti a sanare le criticità iniziali, ridimensionando la portata delle violazioni contestate.
Un precedente che pesa sul futuro della regolazione
Questa sentenza crea un precedente rilevante, e non solo per il caso specifico. Il messaggio che arriva dal Tribunale di Roma è duplice. Da un lato, si riconosce la legittimità dell'azione di vigilanza del Garante: nessuno mette in discussione il potere dell'autorità di indagare e sanzionare. Dall'altro, si pone un argine alla discrezionalità sanzionatoria, chiedendo che le multe siano proporzionate e ancorate a violazioni effettive e persistenti, non a condotte già corrette.
Per il Garante Privacy, guidato dal collegio presieduto da Pasquale Stanzione, si tratta di un colpo significativo. L'autorità aveva fatto della vicenda ChatGPT un caso emblematico della propria capacità di intervento sui grandi operatori tecnologici. L'annullamento della sanzione non cancella quel lavoro, ma ne ridimensiona l'impatto concreto.
Il tema si inserisce peraltro in un quadro più ampio di ridefinizione dei rapporti tra istituzioni italiane e mondo digitale. Basti pensare alle recenti decisioni del Governo in materia di identità digitale, come racconta l'analisi su Il Governo Italiano Assegna 40 Milioni ai Provider SPID per Sostenere l'Identità Digitale: segno che la partita della governance tecnologica si gioca ormai su più tavoli contemporaneamente.
Privacy e intelligenza artificiale: una partita ancora aperta
Sarebbe un errore leggere questa sentenza come una resa dell'Europa di fronte a Big Tech. La questione resta aperta, e anzi si fa più complessa con l'entrata in vigore progressiva dell'AI Act, il regolamento europeo sull'intelligenza artificiale che introduce obblighi specifici per i sistemi ad alto rischio e per i modelli general purpose come quelli di OpenAI.
Il punto, semmai, è un altro. L'azione regolatoria funziona quando è chirurgica, fondata su basi giuridiche solide e su contestazioni precise. Le sanzioni esemplari rischiano di trasformarsi in boomerang se non reggono al vaglio giurisdizionale. E in un contesto in cui l'intelligenza artificiale entra prepotentemente anche nel mondo dell'istruzione e della formazione, la capacità di regolare senza soffocare l'innovazione diventa una competenza cruciale per le istituzioni.
OpenAI, dal canto suo, esce rafforzata da questa vicenda. Ma farebbe male a cantare vittoria troppo presto. Il Garante potrebbe impugnare la sentenza, e il quadro normativo europeo è destinato a stringersi ulteriormente nei prossimi mesi. La multa è stata annullata, il problema no.
