Cookie e AI: il diritto di esclusione nel training di ChatGPT

Da quando OpenAI ha introdotto la possibilità per gli utenti europei di richiedere l'esclusione dai dataset di addestramento di ChatGPT, si è aperto un dibattito fondamentale sul confine tra innovazione tecnologica e protezione dei dati personali. La questione non riguarda solo i giganti dell'IA, ma tocca ogni sito web che raccoglie dati tramite cookie per finalità di machine learning. Il Regolamento generale sulla protezione dei dati (GDPR) pone un principio chiaro: il trattamento deve basarsi su un consenso libero, specifico, informato e revocabile. Ma nella pratica, quanto è reale questa tutela?

Il Caso ChatGPT: Tra Opt-Out e Critiche

OpenAI ha implementato un sistema di opt-out che consente agli utenti dell'UE di richiedere la rimozione dei propri dati dai set di addestramento. La procedura prevede una dichiarazione firmata digitalmente, con la quale l'utente certifica di essere maggiorenne e titolare dei dati richiesti. Tuttavia, molti esperti di privacy hanno sollevato dubbi: il sistema opt-out, a differenza del consenso preventivo, sposta l'onere della protezione sull'utente, che deve attivarsi attivamente per tutelare i propri dati. Questo modello è stato definito "insufficiente" da diversas autorità europee, tra cui il Garante tedesco, che ha recentemente avviato procedimenti contro OpenAI per il trattamento illecito di dati personali.

La cronologia degli eventi è significativa: nel maggio 2025, il Garante per la protezione dei dati personali italiano ha irrogato a OpenAI una sanzione di 14 milioni di euro proprio per violazione del GDPR, evidenziando come il meccanismo di opt-out non soddisfi gli standard richiesti dalla normativa europea. Parallelamente, l'Agenzia francese aveva già comminato al colosso di San Francisco una multa di 10 milioni di euro per analoghe violazioni. Questi precedenti creano un quadro normativo sempre più stringente che le aziende di intelligenza artificiale dovranno necessariamente rispettare.

Cookie e Machine Learning: Il Nodo del Consenso

I cookie tecnici sono generalmente esclusi dal requisito del consenso preventivo, ma quando un sito utilizza i dati raccolti per alimentare algoritmi di machine learning o training di modelli IA, la situazione cambia radicalmente. L'Article 29 Working Party ha chiarito che il trattamento dei dati personali per finalità di profilazione e analisi automatizzata richiede una base giuridica specifica. Se un sito web utilizza i dati dei visitatori per migliorare un modello predittivo, questo trattamento non può essere coperto dal semplice consenso generico ai cookie — serve una informativa separata, trasparente e specifica.

La direttiva ePrivacy, in fase di aggiornamento con il nuovo Regolamento ePrivacy, sta cercando di colmare proprio queste lacune. Le proposte attuali prevedono che qualsiasi utilizzo secondario dei dati raccolti tramite cookie — inclusa la vendita a terze parti per finalità di training AI — debba essere oggetto di un consenso distinto e specifico. Questo significa che i banner cookie tradizionali, con la loro casellina unica "Accetta tutto", diventano gradualmente obsoleti e potenzialmente non compliant. Le aziende che gestiscono piattaforme con funzionalità AI devono ripensare completamente la loro strategia di consenso, implementando layer informativi multipli e granulari.

Cosa Dice il GDPR: Principi Chiave

Il Regolamento UE 2016/679 stabilisce principi fermi che si applicano integralmente anche al contesto IA. Ecco i punti fondamentali che ogni organizzatore di trattamenti deve considerare:

• Base giuridica del trattamento — Il consenso deve essere una delle sei basi previste dall'Article 6. Per il training AI, il consenso esplicito è generalmente la base più sicura, soprattutto quando i dati riguardano categorie particolari o minori.
• Informativa chiara e accessibile — L'Article 13 e 14 richiedono che gli interessati siano informati in modo comprensibile sulle finalità del trattamento, inclusi i sistemi automatizzati di decisione e i profili développés à partire des données collectées.
• Diritto di opposizione — L'Article 21 garantisce il diritto di opporsi al trattamento dei propri dati, compreso quello finalizzato al profilo e all'analisi automatizzata. Questo diritto deve essere exercised in modo semplice e gratuito.
• Data minimisation — L'Article 5(1)(c) impone di raccogliere solo i dati strettamente necessari. I dataset di training massivi, che spesso raccolgono tutto ciò che è disponibile, sono sotto forte scrutinio regolatorio.
• Accountability — Il principio di responsabilità (Article 5(2)) richiede che il titolare del trattamento sia in grado di dimostrare la conformità in ogni momento, tenendo registri delle attività di trattamento e valutazioni d'impatto.

Takeaway: Cosa Fare Oggi

Per gli operatori web che utilizzano cookie e dati per finalità di machine learning, il consiglio pratico è triplice. In primo luogo, rivedere immediatamente le informative cookie esistenti per verificare che distinguano chiaramente tra finalità tecniche, analitiche e di training AI — ogni categoria richiede una base giuridica separata. In secondo luogo, implementare meccanismi di consenso granulare che permettano all'utente di accettare o rifiutare specifiche finalità, non un "tutto o niente". Infine, preparare una valuations d'impatto sulla protezione dei dati (DPIA) qualora il trattamento dei dati per training AI costituisca un rischio elevato per i diritti degli interessati, come previsto dall'Article 35 del GDPR.