Con provvedimento dell’11 aprile u.s., il Garante per la protezione dei dati personali ha ingiunto ad OpenAI L.L.C. (società statunitense sviluppatrice e gestrice di ChatGPT) di attuare, entro e non oltre il 30 aprile 2023, una serie di misure a tutela dei diritti e delle libertà degli interessati, i cui dati sono stati trattati per l’addestramento degli algoritmi strumentali all’erogazione del servizio ChatGPT.
Le misure richieste dal Garante sono le seguenti:
- realizzazione di un’informativa privacy di dettaglio (da pubblicare sul sito-web di OpenAI);
- predisposizione di uno strumento attraverso il quale gli interessati possano esercitare il diritto di opposizione rispetto ai trattamenti svolti dalla società ai fini dell’addestramento degli algoritmi e dell’erogazione del servizio;
- creazione di uno strumento attraverso il quale gli interessati possano chiedere e ottenere la correzione o la cancellazione di eventuali dati personali che li riguardano, laddove trattati in maniera inesatta nella generazione dei contenuti;
- attuazione di un meccanismo (i.e., link all’informativa presente nel flusso di registrazione) che assicuri che tutti gli utenti che si collegano dall’Italia, al primo accesso successivo all’eventuale riattivazione del servizio, prendano visione dell’informativa privacy di dettaglio di cui sopra;
- modifica della base giuridica del trattamento dei dati personali degli utenti ai fini dell’addestramento algoritmico, eliminando ogni riferimento al contratto e assumendo come base giuridica del trattamento il consenso o il legittimo interesse;
- realizzazione di uno strumento attraverso il quale gli interessati possano agevolmente esercitare il diritto di opposizione al trattamento dei propri dati per l’addestramento degli algoritmi (qualora la base giuridica prescelta ai sensi del punto che precede sia il legittimo interesse);
- predisposizione di una richiesta di superamento di un age gate da sottoporre agli utenti che si collegano dall’Italia, affinché vengano esclusi sulla base dell’età dichiarata, gli utenti minorenni.
A fronte di ciò, l’Autorità ha precisato che, a far data dall’eventuale adempimento, da parte di OpenAI, delle prescrizioni di cui sopra, sospenderà il provvedimento di limitazione provvisoria adottato lo scorso 30 marzo, con la conseguenza per cui ChatGPT potrebbe essere nuovamente accessibile dall’Italia.
Infine, con il provvedimento in commento, il Garante ha altresì richiesto ad OpenAI di:
- formulare, entro il 31 maggio 2023, un piano per l’adozione di strumenti di age verification idoneo a escludere l’accesso al servizio agli utenti infratredicenni e a quelli minorenni in assenza di un’espressa manifestazione di volontà da parte di chi esercita sugli stessi la responsabilità genitoriale;
- promuovere, entro il 15 maggio 2023, una campagna di informazione avente lo scopo di informare le persone dell’avvenuta probabile raccolta dei loro dati personali ai fini dell’addestramento degli algoritmi, dell’avvenuta pubblicazione sul sito internet di OpenAI di un’apposita informativa di dettaglio e della messa a disposizione, sempre sul sito internet di OpenAI, di uno strumento attraverso il quale tutti gli interessati potranno chiedere e ottenere la cancellazione dei propri dati personali.
