Cookie e AI: quando ChatGPT usa i tuoi dati senza consenso

Le grandi aziende di intelligenza artificiale si sono rifornite di dati su una scala senza precedenti, scaricando terabyte di informazioni personali dai siti web più popolari del mondo. Tra queste, OpenAI ha ammesso di aver raccolto circa 8 miliardi di conversazioni di ChatGPT gratuitamente accessibili, oltre a enormi volumi di contenuti presi da piattaforme come YouTube e altri siti web. Questa pratica ha sollevato forti preoccupazioni in tutta Europa, con autorità garanti della privacy che investigano se il consenso degli utenti sia stato effettivamente richiesto secondo il GDPR.

Il caso ChatGPT: miliardi di dati, zero consenso esplicito

OpenAI ha riconosciuto di aver raccolto fino a 8 miliardi di conversazioni di ChatGPT free tier, disponibili pubblicamente online e utilizzate per addestrare i suoi modelli. Le conversazioni includevano dati sensibili come informazioni mediche, opinioni politiche e dettagli finanziari, come evidenziato da una causa collettiva negli Stati Uniti presentata nel 2023. Non è stato chiesto alcun consenso esplicito agli utenti per l'uso dei loro dati nella formazione dei modelli AI.

La situazione è ulteriormente complicata dal fatto che ChatGPT ha raccolto contenuti da interi siti web senza notifiche chiare o meccanismi di opt-out accessibili. YouTube, ad esempio, ha affermato che ChatGPT ha scaricato circa 18 milioni di video nei primi nove mesi del 2024, inclusi video in cui persone apparivano e parlavano, spesso riproducendoli integralmente senza autorizzazione.

Le risposte delle autorità europee

Il Garante italiano per la protezione dei dati personali ha avviato un'indagine formale contro OpenAI a luglio 2023, contestando principalmente la mancanza di un quadro legale solido per il trattamento dei dati e l'assenza di meccanismi trasparenti di opt-out. Le indagini hanno portato a una sentenza nel gennaio 2025 che ha multato OpenAI di 12 milioni di euro, stabilendo che il trattamento di dati personali per l'addestramento di ChatGPT violava il GDPR.

Parallelamente, la Commissione Europea ha pubblicato le prime linee guida sul GDPR nel marzo 2025, chiarificando che i provider di IA generativa devono implementare strumenti tecnici per consentire agli utenti di opporsi al trattamento dei propri dati. Queste linee guida definiscono anche come il sistema di opt-out debba essere integrato nelle pratiche di scraping dei dati.

Cosa significa opt-out per gli utenti

L'opt-out per l'IA generativa richiede che gli utenti abbiano la possibilità di scegliere consapevolmente se partecipare o meno al trattamento dei loro dati personali per scopi di addestramento AI. La direttiva sull'IA dell'UE (Art. 10) impone ai provider di IA di istituire una struttura organizzata di processi e misure tecniche per implementare il diritto all'opt-out.

Per essere conforme al GDPR, un sistema di opt-out deve includere:

• Meccanismi tecnici per riconoscere e rispettare le preferenze degli utenti e i segnali come i protocolli di esclusione dagli robot
• Privacy by design, con sistemi che tengano conto della riservatezza e dell'autodeterminazione informativa fin dalla progettazione
• Diritto all'oblio, permettendo agli individui di rimuovere i propri dati e richiedere la rimozione delle relative influenze nei modelli
• Trasparenza, con notice chiare e tempestive che spiegano come vengono utilizzati i dati personali

Lo stato attuale e cosa fare

Nonostante le multe e le linee guida, il panorama normativo rimane in evoluzione. OpenAI ha risposto alla multa italiana aumentando la capacità della sua funzione di opt-out e introducendo il "ChatGPT Data Control Center" nell'ottobre 2024. Tuttavia, molti esperti sottolineano che l'onere ricade ancora sugli utenti per gestire manualmente le proprie impostazioni di privacy.

Takeaway pratico

Se desideri proteggere i tuoi dati personali dall'uso nell'addestramento dell'IA, verifica regolarmente le impostazioni di privacy su ChatGPT e altri servizi AI. Controlla anche le impostazioni di opt-out sul tuo sito web personale se condividi contenuti online. Tieni traccia delle linee guida europee in evoluzione e consulta un professionista legale se gestisci un sito con dati sensibili degli utenti.