Cookie e AI: il caso ChatGPT e la battaglia per l'opt-out

Il nodo irrisolto del consenso nei cookie

La normativa europea sulla privacy, in particolare il Regolamento Generale sulla Protezione dei Dati (GDPR) e la Direttiva ePrivacy, pone regole severe sul consenso degli utenti per l'utilizzo dei cookie e per le tecnologie di tracciamento. Tuttavia, questi testi legislativi non sono stati scritti pensando all'intelligenza artificiale generativa: un vuoto normativo che sta diventando sempre più pericoloso da colmare.

Quando un visitatore clicca "Accetta tutto" su un banner cookie, non si aspetta che i suoi dati possano finire nel set di addestramento di un modello linguistico. Eppure, molte piattaforme AI raccolgono, memorizzano e riutilizzano informazioni personali senza un consenso specifico e informato. È qui che nasce il conflitto.

Il caso ChatGPT in Italia

Il Garante per la Protezione dei Dati italiano ha aperto un'indagine approfondita contro OpenAI, la società behind ChatGPT, accusandola di aver violato il GDPR raccogliendo dati personali di milioni di utenti europei — tra cui minori — senza un valido fondamento giuridico e senza garantire il diritto all'oblio. La mossa arriva in un momento in cui l'Italia ha già inflitto nel 2025 multe storiche a diverse aziende tech per violazioni simili.

Il nucleo della contestazione riguarda in particolare la mancata possibilità per gli utenti europei di opporsi effettivamente al trattamento dei propri dati a scopo di addestramento. Sebbene OpenAI abbia introdotto un sistema di opt-out, il Garante ritiene che tale meccanismo sia troppo complesso, poco visibile e di fatto inefficace per garantire un reale controllo agli interessati.

Perché l'opt-out non basta

Il principio fondamentale del GDPR è che il trattamento dei dati richiede un consenso esplicito, libero, specifico e informato. L'opt-out, cioè la possibilità di optare per non essere inclusi successivamente al rac-coletta, non soddisfa questo standard quando viene applicato a categorie di dati particolarmente sensibili o quando l'utente finale non è stato adeguatamente informato delle finalità del trattamento.

Ecco perché gli esperti sottolineano che:

• L'opt-out post-raccolta viola lo spirito della normativa se l'utente non sapeva che i suoi dati sarebbero stati utilizzati per addestrare un modello AI
• La complessità delle procedure di opt-out costituisce di per sé una violazione del principio di trasparenza
• I minori sono una categoria particolarmente vulnerabile e godono di tutele rafforzate dal GDPR
• Il diritto all'oblio (articolo 17) diventa inutile se non esiste un canale chiaro per esercitarlo prima della raccolta

Cosa cambia per utenti e aziende

La sentenza che uscirà dall'indagine italiana potrebbe diventare un precedente fondamentale per tutta l'Europa. Se il Garante irrogasse una multa significativa a OpenAI — si parla di cifre che potrebbero superare i 500 milioni di euro — sarebbe la sanzione più elevata mai comminata per violazioni legate all'intelligenza artificiale.

Per gli utenti, la buona notizia è che la consapevolezza sta crescendo. Per le aziende che sviluppano o utilizzano modelli AI, il messaggio è chiaro: il consenso informato non è un optional. Il prossimo passo sarà probabilmente quello di estendere a livello europeo principi simili a quelli già affermati in materia di cookie banner.

Takeaway pratico

Se sei un utente europeo, puoi esercitare il tuo diritto di opposizione inviando una richiesta specifica a OpenAI attraverso il canale dedicato. Se sei un'azienda che utilizza soluzioni AI, verifica subito come gestisci il consenso e assicurati di implementare meccanismi di opt-in trasparente prima di utilizzare qualsiasi dato per finalità di addestramento. Il futuro della compliance AI passa dalla chiarezza, non dalla complessità.