Cookie e AI: il battaglia per l'opt-out dopo la sentenza ChatGPT

La sentenza della Corte di Giustizia dell'Unione Europea del 2 luglio 2025 ha cambiato le regole del gioco nel rapporto tra big data e privacy. Il caso riguarda OpenAI e il suo modello ChatGPT: la Corte ha stabilito che l'azienda è tenuta a offrire un meccanismo di opt-out chiaro e accessibile per gli interessati i cui contenuti sono stati utilizzati per addestrare i suoi modelli di intelligenza artificiale. Una decisione che potrebbe influenzare profondamente tutto il settore tech.

La sentenza che ha fatto notizia

La causa era stata initiata da sei soggetti spagnoli che avevano citato in giudizio OpenAI dinanzi all'Agenzia spagnola per la protezione dei dati (AEPD), sostenendo che la società non offriva alcun meccanismo per esercitare il diritto di opposizione al trattamento dei propri dati personali a fini di marketing diretto e di ricerca scientifica. La Corte ha dato ragione agli investitori, stabilendo che il GDPR si applica pienamente alle attività di training delle AI.

Il principio è fondamentale: il trattamento dei dati personali per finalità di training dei modelli di intelligenza artificiale non può avvenire senza che l'interessato abbia la possibilità di opporsi. Non basta più il consenso presunto o l'informativa incomprensibile: serve un meccanismo attivo, trasparente e facilmente utilizzabile dall'utente medio.

Cosa cambia per gli utenti

Per la prima volta, gli utenti europei avranno il diritto concreto di scegliere se i propri dati personali — articoli, post sui social, commenti, immagini — possano essere utilizzati per addestrare i modelli di intelligenza artificiale. Questo si inserisce nel quadro più ampio del regolamento europeo sull'intelligenza artificiale (AI Act), che rafforza la tutela dei diritti fondamentali nell'era digitale.

I punti chiave della sentenza includono:

• Obbligo di fornire un meccanismo di opt-out chiaro e accessibile
• Diritto di opposizione esercitabile in modo semplice e gratuito
• Necessità di informare gli utenti in forma trasparente sulle finalità del trattamento
• Applicazione piena del GDPR anche ai processi di machine learning

Questo significa che ogni servizio AI che opera nell'UE dovrà integrare opzioni di privacy by design, dando agli utenti il controllo effettivo sui propri dati fin dalla fase di sviluppo del prodotto.

L'impatto sul settore tech e sulla web privacy

Le ripercussioni della sentenza si estendono ben oltre OpenAI. Tutte le aziende che raccolgono dati personali per alimentare i propri modelli di AI — dai motori di ricerca alle piattaforme social, dalle startup AI emergenti ai colossi tech — dovranno rivedere le proprie politiche di raccolta e trattamento dati. Il modello attuale, basato su termini di servizio lunghi chilometri e consensi taciti, non regge più.

Per i proprietari di siti web e blog, la sentenza solleva questioni pratiche importanti. I cookie banner e le informative sulla privacy dovranno prevedere chiare opzioni di opt-out per l'utilizzo dei dati degli utenti nel training delle AI. Questo richiede non solo un adeguamento tecnico, ma anche un ripensamento della cultura della trasparenza verso gli utenti.

Come proteggersi: il takeaway pratico

Per gli utenti, la raccomandazione è semplice ma efficace: verificare periodicamente le impostazioni sulla privacy dei servizi che si utilizzano, attivando l'opzione di opt-out per il trattamento dei dati a fini di AI training. Per i gestori di siti web, è fondamentale aggiornare le informative privacy e i cookie banner, garantendo che l'opzione di opposizione sia visibile, comprensibile e immediatamente attuabile. La sentenza ChatGPT è solo l'inizio: il panorama normativo europeo in materia di privacy e AI è destinato a evolversi ulteriormente, e prepararsi ora significa restare avanti rispetto ai requisiti che arriveranno.