ChatGPT, GDPR e cookie consent: il nodo irrisolto dell'opt-out per AI training

La rivoluzione dell'intelligenza artificiale generativa ha acceso un dibattito sempre più pressante tra innovazione tecnologica e protezione dei dati personali. Il caso ChatGPT, analizzato dalla Garante irlandese e dal Comitato Europeo per la Protezione dei Dati, ha portato al centro della scena la questione del consenso legato ai cookie e alla raccolta dati per l'addestramento dei modelli. Una vicenda che riguarda tutti noi, come utenti e come cittadini digitali.

Il caso OpenAI: cosa è successo

Nel 2023 la Commissione per la Protezione dei Dati irlandese (Data Protection Commission) ha avvìato un'indagine formale su OpenAI relativa al trattamento dei dati personali dei cittadini dell'Unione Europea. La contestazione principale riguarda l'uso di quantità massive di dati, inclusi informazioni personali potenzialmente estratte da siti web, forum e contenuti condivisi online, per addestrare ChatGPT e i relativi modelli linguistici.

Il nodo centrale non è tanto la raccolta dei dati in sé — operazione già ampiamente legittimata dal consenso espresso attraverso i banner cookie — quanto la finalità secondaria: quei dati, raccolti per offrire il servizio, sono stati poi utilizzati per sviluppare un prodotto AI commerciale. Una pratica che molti esperti definiscono "scope creep", ovvero un ampliamento non autorizzato della finalità del trattamento.

Il ruolo ambiguo del cookie consent

Il sistema attuale del cookie banner, regolamentato dalla direttiva ePrivacy e dal GDPR, si fonda sul principio del consenso informato e specifico. Tuttavia, quando un utente accetta i cookie su un sito web, lo fa per migliorare la propria esperienza di navigazione, non per autorizzare la raccolta massiva dei propri dati a fini di addestramento di un modello AI. È qui che si crea il divario normativo.

Secondo molti giuristi, il consenso ottenuto tramite i banner non può essere considerato valido per finalità completamente diverse da quelle dichiarate al momento della raccolta. La nozione di "consenso specifico" prevista dall'articolo 4 del GDPR richiede chiarezza e trasparenza — elementi che spesso mancano nei lunghi e complessi Privacy Policy che nadie legge.

L'opt-out come soluzione possibile

Di fronte a questo scenario, sta guadagnando terreno l'idea di introdurre meccanismi di opt-out chiari e accessibili per gli utenti che desiderano esclusione dai dataset di addestramento AI. Alcuni studiosi propongono un approccio simile a quello del robots.txt, esteso con strumenti come il Global Privacy Control (GPC), uno standard tecnico che segnala automaticamente la volontà dell'utente di non essere tracciato.

Le proposte includono:

• L'introduzione di un "AI opt-out" integrato nei banner cookie, con opzione esplicita per escludere i propri dati dall'addestramento dei modelli
• Lo sviluppo di registri pubblici dei dataset utilizzati dalle aziende AI, per garantire trasparenza e accountability
• La previsione di scadenze temporali definite per la conservazione dei dati raccolti, con possibilità di revoca del consenso in ogni momento
• Codecitazioni tra aziende tecnologiche e autorità di protezione dati per definire standard comuni di trattamento etico

Il futuro normativo: cosa ci attende

L'AI Act europeo, approvato nel 2024, rappresenta un passo fondamentale nella regolamentazione del settore. Il regolamento impone obblighi di trasparenza sul copyright e sulla provenienza dei dati per i sistemi di AI ad alto rischio, ma non entra nel merito del meccanismo di consenso cookie. Questo crea un vuoto normativo che le autorità di protezione dati stanno cercando di colmare attraverso interpretazioni estensive del GDPR.

La Corte di Giustizia dell'Unione Europea è chiamata a pronunciarsi su casi simili, e le sue decisioni potranno stabilire precedenti importanti. Nel frattempo, le aziende che operano nel settore AI devono preparare strategie compliance robuste, mentre i cittadini acquistano crescente consapevolezza dei propri diritti digitali.

Takeaway pratico: cosa puoi fare oggi

Se tieni alla tua privacy digitale, esistono alcune azioni concrete che puoi intraprendere. Innanzitutto, verifica le impostazioni della tua browser e attiva il Global Privacy Control, quando disponibile.其次, quando navighi su siti che offrono servizi AI, leggi con attenzione le Privacy Policy e usa i moduli di opt-out previsti. Infine, resta informato sulle novità normative: la protezione dei dati nell'era dell'AI è un diritto in evoluzione, e la consapevolezza è il tuo miglior strumento.