Cookie consent per AI training: il caso ChatGPT e l'opt-out

La recente decisione del Garante per la protezione dei dati personali italiano ha aperto un capitolo decisivo sul confine tra innovazione tecnologica e diritti fondamentali degli utenti. Il caso riguarda direttamente OpenAI e il suo modello ChatGPT, ma le implicazioni si estendono a tutta l'industria dell'intelligenza artificiale che opera nell'Unione Europea.

La posizione del Garante italiano

Il Garante ha stabilito che gli utenti europei devono avere la possibilità concreta di rifiutare l'utilizzo dei propri dati per finalità di addestramento dei modelli di intelligenza artificiale. Questa posizione si fonda sull'interpretazione del Regolamento generale sulla protezione dei dati (GDPR), in particolare sugli articoli 6 e 7 riguardanti il consenso e la sua revocabilità.

La decisione non vieta l'addestramento delle IA sui dati degli utenti, ma impone condizioni precise: il consenso deve essere libero, specifico, informato e revocabile in qualsiasi momento. Il Garante ha sottolineato che un opt-out_effectivo deve essere disponibile prima ancora di accettare i cookie, e non nascosto nelle profondità delle impostazioni privacy.

Cosa cambia per gli utenti

Per i milioni di utenti italiani ed europei che interagiscono con ChatGPT e altri assistenti basati su IA generativa, questa decisione rappresenta un cambiamento tangibile nelle proprie opzioni di controllo. In passato, molti servizi offrivano solo la scelta tra accettare tutto o rinunciare all'uso del prodotto. Ora il quadro normativo richiede una terza via.

Gli utenti potranno scegliere di utilizzare il servizio senza che i propri input vengano impiegati per migliorare i modelli sottostanti. Questo significa che le conversazioni non contribuiranno più al dataset di addestramento, preservando la confidenzialità dei dati sensibili scambiati con l'assistente virtuale.

La revoca del consenso dovrà essere facile quanto la sua concessione iniziale. Il Garante ha ribadito che nessun penalizzazione o degradazione del servizio può derivare dalla scelta di opt-out, garantendo parità di accesso alle funzionalità principali.

Le conseguenze per le aziende AI

Per le società che sviluppano modelli di intelligenza artificiale, come OpenAI, Google DeepMind, Anthropic e Meta AI, la decisione del Garante impone un ripensamento architetturale dei processi di raccolta e trattamento dati. Le implicazioni operative sono significative e riguardano:

• Architettura dei sistemi di consenso che separi chiaramente i dati per funzionalità servizio da quelli per addestramento
• Modelli tecnici di differenziazione dei dataset per garantire che i dati degli utenti che hanno optato out non contaminino i modelli finali
• Trasparenza nei meccanismi di revoca che deve essere immediata e verificabile
• Documentazione e audit regolari per dimostrare la conformità al GDPR

Le aziende dovranno anche rivedere le proprie policy sulla conservazione dei dati e stabilire tempi massimi per la cancellazione dei log che contengono informazioni degli utenti che hanno esercitato il diritto all'opporsi al trattamento.

Il dibattito in corso

La comunità tech esprime opinioni divise sulla decisione del Garante. Alcuni sostengono che l'ottimizzazione dei modelli di IA richieda grandi volumi di dati per funzionare efficacemente, e che limitare questa possibilità possa rallentare il progresso tecnologico europeo. Altri ritengono che i diritti degli utenti non siano negoziabili e che l'innovazione debba svilupparsi entro i confini stabiliti dal quadro normativo.

OpenAI ha annunciato che sta rivedendo le proprie policy di trattamento dati per adeguarsi alle richieste del Garante, ma ha anche espresso preoccupazione riguardo all'impatto sulla qualità dei modelli disponibili in Europa. La società sta valutando l'implementazione di sistemi che permettano di separare i dataset per addestramento senza compromettere le prestazioni complessive del servizio.

Takeaway pratico

Per gli utenti europei che utilizzano ChatGPT o altri servizi IA, la raccomandazione è di verificare sempre le impostazioni privacy prima di iniziare a interagire con questi strumenti. Activa l'opzione di opt-out per l'addestramento dei modelli se la protezione dei propri dati personali è una priorità, e ricorda che il consenso può essere revocato in qualsiasi momento dalle impostazioni del account. Per le aziende, il messaggio è chiaro: investire in privacy by design non è più solo una buona pratica ma un requisito legale che determina la possibilità di operare nel mercato europeo.