ChatGPT e l'opt-out cookie: il caso che ha scosso il GDPR

La recente decisione di OpenAI di modificare il proprio sistema di gestione del consenso sui cookie, introducendo una nuova opzione di opt-out per l'addestramento dei modelli di intelligenza artificiale, ha sollevato accesi dibattiti tra esperti di privacy, avvocati e organizzazioni per i diritti digitali. Il caso rappresenta un momento cruciale per l'interpretazione del Regolamento Generale sulla Protezione dei Dati (GDPR) nell'era dell'intelligenza artificiale generativa.

Il contesto: perché i cookie contano per l'IA

I cookie, specialmente quelli di analisi e profilazione, raccolgono enormi quantità di dati comportamentali degli utenti che possono essere utilizzati per migliorare i modelli linguistici. Quando OpenAI ha iniziato a incorporare dati tratti da interazioni utente con ChatGPT nei propri dataset di addestramento, molte autorità europee hanno sollevato preoccupazioni riguardo alla liceità di questo trattamento senza un consenso esplicito e informato.

La questione si è fatta ancora più complessa quando OpenAI ha annunciato di non richiedere più il consenso attraverso un banner cookie tradizionale, ma di affidarsi a una clausola contrattuale nascosta nei termini di servizio. Questa pratica è stata immediatamente contestata dal Garante italiano e da altre autorità di controllo europee come potenzialmente incompatibile con i principi di trasparenza e libertà del consenso previsti dal GDPR.

La risposta di OpenAI e l'opt-out

In seguito alle pressioni normative, OpenAI ha introdotto una nuova opzione di opt-out che permette agli utenti europei di rifiutare l'utilizzo dei propri dati per l'addestramento dei modelli. Tuttavia, il meccanismo scelto ha diviso gli esperti: alcuni lo considerano un passo avanti nella tutela della privacy, altri lo criticano perché l'opzione di rifiuto non è sufficientemente visibile e richiede diversi passaggi per essere attivata.

Il sistema attuale prevede che gli utenti debbano accedere alle impostazioni dell'account e disattivare manualmente la condivisione dei dati, una procedura che molti esperti di user experience considerano non conforme allo spirito del "consenso esplicito" richiesto dal articolo 7 del GDPR. Inoltre, non è chiaro se i dati già utilizzati per l'addestramento possano essere rimossi dai modelli esistenti, sollevando dubbi sulla effettività dell'opt-out.

Le reazioni delle autorità europee

Il Garante per la protezione dei dati personali italiano ha avviato un'indagine preliminare per valutare la conformità del nuovo sistema di consenso di OpenAI al quadro normativo europeo. Analogamente, l'Autorità francese per la protezione dei dati (CNIL) e il Commissario irlandese per la protezione dei dati hanno espresso preoccupazioni simili, sottolineando la necessità di un consenso realmente libero, specifico e informato.

• Il Garante italiano ha richiesto la sospensione del trattamento dati in attesa di verifica
• La CNIL ha pubblicato linee guida provvisorie sull'uso dei dati per l'addestramento IA
• Il Comitato Europeo per la Protezione dei Dati ha convocato un'audizione pubblica
• Diverse ONG per i diritti digitali hanno presentato ricorsi congiunti

Implicazioni per il futuro della privacy digitale

Il caso ChatGPT rappresenta un precedente che potrebbe ridefinire il rapporto tra innovazione tecnologica e tutela della privacy in Europa. Se le autorità confermeranno che il consenso basato su opt-out è inadeguato, OpenAI e altre aziende di intelligenza artificiale dovranno riprogettare i propri sistemi di raccolta e trattamento dati, con implicazioni significative per costi e tempi di sviluppo.

Per gli utenti, la lezione è chiara: la privacy digitale nell'era dell'IA richiede un'attenzione maggiore alle impostazioni di configurazione e ai termini di servizio. Il takeaway pratico è essenziale: verificare sempre le opzioni di consenso, esercitare il diritto all'oblio quando possibile, e restare informati sulle evoluzioni normative che riguardano i propri dati personali.