Cookie e AI: il dibattito su ChatGPT e l'opt-out che cambia tutto

Il caso ChatGPT e la multa da 8 milioni

Nel luglio 2025 l'Autorità garante della privacy italiana ha inflitto a OpenAI una sanzione di oltre 8 milioni di euro per il mancato rispetto del GDPR durante la raccolta dei dati destinati al training di ChatGPT. Il provvedimento ha colpito nello specifico la mancanza di un meccanismo chiaro e accessibile di opt-out per gli utenti i cui contenuti erano stati utilizzati senza una base giuridica inequivocabile.

La decisione non è isolata: l'Agenzia europea per la sicurezza digitale (ENISA) e il European Data Protection Board hanno avviato approfondimenti paralleli, segnando un cambio di rotta netto verso un approccio più rigoroso nella gestione del consenso finalizzato all'addestramento dei modelli di intelligenza artificiale.

Come funziona il consenso per l'AI training

Secondo il GDPR, il trattamento dei dati personali per finalità di ricerca e sviluppo, incluso l'addestramento di modelli IA, richiede una base giuridica valida. L'articolo 6 prevede che il consenso dell'interessato sia una delle possibilità, ma deve essere libero, specifico, informato e revocabile in qualsiasi momento.

Per gli utenti europei, questo si traduce in un diritto concreto: poter decidere se i propri dati — Posts, email, immagini, commenti — possano alimentare i dataset su cui vengono addestrati i sistemi di intelligenza artificiale. Il principio dell'opt-in non è ancora imposto dalla normativa vigente, ma l'opzione dell'opt-out rimane un requisito fondamentale e, quando disatteso, costituisce violazione.

Le critiche all'attuale modello di ChatGPT

OpenAI ha storicamente offerto un link in fondo alla pagina delle impostazioni per richiedere l'esclusione dei propri dati dai futuri set di training. Tuttavia, l'Autorità italiana ha ritenuto che tale soluzione non fosse sufficiente perché:

• Il meccanismo di opt-out era nascosto e poco visibile
• Mancava una informativa chiara e preventiva prima della raccolta
• Non era prevista una facoltà di revoca semplice ed immediata
• L'azienda non aveva dimostrato misure tecniche efficaci per garantire la rimozione dei dati già utilizzati

Questi elementi hanno spinto il garante a considerare il trattamento illegittimo e a irrogare la sanzione, creando un precedente che potrebbe influenzare的决定di altre autorità europee.

Prospettive future: dall'AI Act al consenso esplicito

Con l'entrata in vigore parziale dell'AI Act e il progressivo rafforzamento del quadro normativo europeo, si prospetta un ulteriore inasprimento delle regole sul consenso. Gli esperti prevedono che le aziende saranno chiamate a implementare soluzioni di opt-in per determinate categorie di dati, soprattutto se sensibili o relativi a minori.

La tendenza indica verso un modello in cui il consenso non sarà più un'eccezione gestita in modo opaco, ma un diritto attivo e strutturato, con interfacce dedicate che permettano all'utente di controllare in tempo reale come i propri dati contribuiscono allo sviluppo dei modelli IA.

Cosa fare per tutelarsi oggi

Per gli utenti italiani, è importante prendere consapevolezza dei propri diritti e agire concretamente. Di seguito alcuni passi pratici:

• Verificare le impostazioni privacy di ogni servizio IA che si utilizza quotidianamente
• Inviare richieste formali di cancellazione e opt-out ai provider che raccolgono dati per training
• Documentare ogni comunicazione inviata, conservando copia per eventuali reclami
• Segnalare violazioni all'Autorità garante contattando il sito istituzionale o tramite pec

La tutela della privacy nell'era dell'intelligenza artificiale non è più solo una questione tecnica: è un diritto fondamentale che richiede attenzione e azione consapevole da parte di ciascun cittadino digitale.

Takeaway pratico

Il caso ChatGPT rappresenta un punto di svolta. Ora più che mai, i cittadini europei hanno gli strumenti per esigere trasparenza e controllo sui propri dati. La prossima volta che utilizzi un servizio di AI, dedica due minuti alle impostazioni privacy: il tuo consenso vale più di qualsiasi algoritmo.