Cookie Consent e AI Training: il caso ChatGPT e il diritto all'opt-out

Nell'estate del 2024, l'Autorità per la Protezione dei Dati italiana (Garante) ha disposto il blocco dei cookie su chatgpt.com e deepseek.com, colpendo direttamente un modello di business fondato sulla raccolta massiva di dati per l'addestramento delle AI. Questa decisione non è isolata: anche la Germania ha preso provvedimenti simili nei confronti di DeepSeek. Il caso ha riportato al centro del dibattito pubblico una questione cruciale: quando un servizio digitale gratuito si basa su dati personali per alimentare sistemi di intelligenza artificiale, il consenso dell'utente deve essere realmente libero, informato e revocabile. In questo articolo esaminiamo le implicazioni giuridiche, tecniche e pratiche di questo scenario in rapida evoluzione.

Il caso ChatGPT: cosa è successo

Il Garante della Privacy italiano ha contestato a OpenAI la gestione dei cookie sul sito chatgpt.com, ritenendo che la informativa sulla privacy fornita non fosse sufficiente a garantire un consenso libero e specifico. In particolare, è stato sollevato il dubbio che gli utenti, interagendo con il chatbot, non avessero piena consapevolezza del fatto che le loro conversazioni potessero essere utilizzate per addestrare i modelli linguistici di OpenAI. Il blocco dei cookie ha avuto un impatto significativo: senza il consenso, gli utenti non possono accedere al servizio, creando un vero e proprio muro tra chi accetta la condizione e chi la rifiuta.

La situazione si è replicata in forma analoga per DeepSeek, il colosso cinese dell'IA, che si è trovato ad affrontare lo stesso stop in Italia e in Germania. Entrambe le Autorità hanno sottolineato come la trasparenza sul trattamento dei dati a fini di addestramento sia un requisito essenziale, non un optional. Il principio è semplice ma potente: se un servizio raccoglie conversazioni per migliorare i propri modelli, l'utente deve saperlo e deve poter dire di no, senza essere costretto a rinunciare all'uso del servizio stesso.

L'ottica del GDPR: consenso, opt-out e diritto alla cancellazione

Il Regolamento Generale sulla Protezione dei Dati (GDPR) pone alcune condizioni fondamentali per il trattamento lecito dei dati personali. L'articolo 6 richiede che il consenso sia "libero, specifico, informato e inequivocabile". Nel contesto dell'IA generativa, questo si traduce in obblighi precisi: gli utenti devono essere chiaramente informati che i loro input possono essere utilizzati per addestrare modelli, devono poter esercitare il diritto di opposizione (art. 21) e devono poter chiedere la cancellazione dei propri dati (art. 17). Il problema sorge quando il "consenso" diventa un prezzo di accesso obbligatorio: se un servizio è "gratis" ma richiede dati personali in cambio, il consenso può essere considerato non libero.

Per quanto riguarda l'opt-out, il GDPR lo garantisce esplicitamente per il trattamento basato sul legittimo interesse (art. 21, par. 1) e per la marketing diretto. Tuttavia, quando il trattamento si fonda sul consenso (art. 6, par. 1, lett. a), la revoca è possibile in qualsiasi momento, ma i dati già trattati prima della revoca non devono necessariamente essere cancellati se il trattamento era legittimo al momento in cui è avvenuto. Questo distingue nettamente l'opt-out dall'opt-in: nel primo caso, il trattamento avviene automaticamente salvo opposizione; nel secondo, serve un'azione positiva dell'utente prima di qualsiasi trattamento. OpenAI si è recentemente spostata verso un modello che offre un opt-out per l'uso dei dati di conversazione nell'addestramento, ma la domanda rimane: è sufficiente?

Le implicazioni pratiche per utenti e aziende

Per gli utenti, la takeaway principale è che la propria posizione giuridica è solida. Ogni volta che si utilizza un servizio di IA generativa, si ha il diritto di sapere come vengono utilizzati i propri dati e di opporsi al loro impiego per finalità di addestramento. È consigliabile:

• Leggere attentamente le informative sulla privacy prima di fornire dati sensibili a un chatbot
• Tendere a non condividere informazioni identificabili (nome, indirizzo, dati sanitari, finanziari)
• Utilizzare gli strumenti di opt-out offerti dalle piattaforme quando disponibili
• Esercitare il diritto di cancellazione presso il Garante se si ritiene che il trattamento non sia conforme al GDPR

Per le aziende che sviluppano o integrano soluzioni di IA, le implicazioni sono ancora più ampie. La compliance GDPR non è più un optional: è un requisito di mercato. Le aziende che vogliono utilizzare dati personali per addestrare modelli devono progettare fin dall'inizio sistemi che rispettino il principio di "privacy by design" (art. 25 GDPR), garantendo meccanismi trasparenti di consenso e opzioni reali di opt-out. I procedimenti avviati dal Garante contro OpenAI e DeepSeek sono un segnale chiaro: l'Italia è disposta a fare da laboratorio normativo europeo, e altre Autorità potrebbero seguire l'esempio.

Il futuro del consenso nell'era dell'IA

Il dibattito è appena iniziato. L'Agenzia dell'Unione Europea per la cooperazione tra le autorità di protezione dei dati (EDPB) sta monitorando da vicino l'evoluzione del caso, e si attendono possibili linee guida comuni a livello europeo. Parallelamente, il nuovo AI Act europeo introduce obblighi supplementari per i sistemi di IA ad alto rischio, incluso il dovere di garantire la tracciabilità dei dati di addestramento. Questo potrebbe significare, in futuro, che le aziende di IA dovranno non solo offrire opt-out, ma anche dimostrare in modo verificabile quali dati sono stati utilizzati e in che misura.

La tendenza è chiara: il consenso non può più essere un atto formale e una tantum. Deve essere dinamico, continuo e revocabile. Per gli utenti, questo rappresenta un passo avanti significativo nella tutela della propria sfera privata in un'epoca in cui i dati personali sono sempre più il "carburante" dell'innovazione tecnologica. Per le aziende, rappresenta una sfida operativa ed economica che richiederà investimenti in trasparenza e progettazione etica. Il caso ChatGPT non è la fine di una battaglia, ma l'inizio di un nuovo modello di rapporto tra tecnologia e diritti fondamentali.

Takeaway pratico

Se utilizzi servizi di IA generativa, esercita i tuoi diritti: leggi le informative, attiva l'opt-out per l'uso dei dati nell'addestramento e, se necessario, presenta un reclamo al Garante. La tua conversazione con un chatbot non è solo tecnologia: è dato personale, e il GDPR ti protegge.