Garante privacy e ChatGPT: cosa è successo e cosa insegna

Il Garante privacy è intervenuto su ChatGPT più volte dal 2023: prima con un blocco temporaneo in Italia, poi con un’istruttoria e un provvedimento sanzionatorio verso OpenAI per violazioni del GDPR. La lezione per chi usa l’AI in azienda è netta: immettere dati personali in un assistente AI è un trattamento, e la responsabilità di ridurre l’esposizione resta del titolare.

Questa guida fa parte del cluster su AI Act e GDPR per le aziende: qui ricostruiamo cosa è successo con il Garante e cosa se ne ricava in pratica, senza tecnicismi inutili.

Cronologia dei provvedimenti

La vicenda tra il Garante privacy e ChatGPT si è sviluppata in più tappe. In sintesi:

1. Marzo 2023 — limitazione provvisoria. Il Garante dispone la limitazione provvisoria del trattamento dei dati degli utenti italiani da parte di OpenAI. ChatGPT diventa temporaneamente non disponibile in Italia.
2. Aprile 2023 — riattivazione condizionata. OpenAI introduce alcune misure (informativa più chiara, strumenti per esercitare i diritti, verifica dell’età, possibilità di opporsi all’uso dei dati per l’addestramento) e il servizio torna accessibile.
3. 2024 — chiusura dell’istruttoria. Il Garante contesta a OpenAI diverse violazioni del GDPR emerse dagli accertamenti.
4. Provvedimento sanzionatorio. L’Autorità adotta una sanzione nei confronti di OpenAI e prescrive misure ulteriori, tra cui una campagna informativa.

I riferimenti puntuali e i comunicati sono pubblicati sul sito dell’Autorità: prima di citare importi o date esatte, conviene sempre verificarli alla fonte primaria del Garante.

I rilievi del Garante

Al di là delle date, contano i motivi. I nodi sollevati sul trattamento operato da ChatGPT sono quelli classici del GDPR applicato all’AI generativa:

• Base giuridica del trattamento. Su quale presupposto vengono raccolti e usati i dati (anche per addestrare i modelli)? Il consenso e il legittimo interesse hanno confini precisi.
• Informazione agli interessati. Gli utenti — e le persone i cui dati finivano nei set di addestramento — erano informati in modo adeguato e trasparente?
• Esattezza dei dati. Le risposte del modello possono attribuire a una persona informazioni inesatte, con impatti reali sulla sua reputazione.
• Tutela dei minori. Assenza, all’epoca, di verifiche dell’età efficaci.
• Esercizio dei diritti. Difficoltà per l’interessato a ottenere accesso, rettifica o cancellazione dei propri dati.

Il filo comune: ChatGPT tratta dati personali, e a quel trattamento si applica il GDPR come a qualsiasi altro. Lo stesso ragionamento vale, con le loro specificità, per gli altri assistenti AI come Claude o Gemini: non è una questione che riguarda un solo prodotto.

Le lezioni per le aziende

Attenzione a non leggere questi provvedimenti come “un problema di OpenAI”. Il provvedimento del Garante riguarda il fornitore, ma da esso discendono conseguenze dirette per chi usa l’AI in azienda. Ecco cosa insegna:

• Immettere dati in un’AI è un trattamento. Quando un dipendente incolla un contratto, un’anagrafica o una cartella in ChatGPT, l’azienda sta trattando dati personali. Con tutti gli obblighi che ne derivano.
• La conformità del fornitore non copre la tua. Anche se OpenAI si è adeguato, la liceità di quello che immetti tu dipende da te: base giuridica, informativa, minimizzazione. Il fornitore non risponde delle tue scelte.
• La minimizzazione non è opzionale. Il principio di minimizzazione — art. 5(1)(c) GDPR — impone di trattare solo i dati necessari. Inviare all’AI un intero documento con nomi, CF e IBAN quando bastava il testo mascherato è, di per sé, un rischio.
• La trasparenza vale anche verso i tuoi interessati. Se usi l’AI su dati di clienti o dipendenti, devono saperlo: l’informativa va aggiornata di conseguenza.

In altre parole: i provvedimenti su ChatGPT non ti dicono “non usare l’AI”, ti dicono usala trattando i dati come la legge richiede.

Come usare l’AI riducendo i rischi

La via d’uscita non è vietare l’AI — i divieti in azienda falliscono e spingono verso l’uso non tracciato — ma governare cosa esce dal dispositivo. In pratica, prima di usare un assistente AI su un documento reale:

1. Individua i dati identificativi: nome, codice fiscale, IBAN, indirizzo, email, telefono, dati sanitari o economici.
2. Mascherali con segnaposto coerenti ([NOME_1], [CF_1]), così il testo resta comprensibile per l’AI ma i dati reali non escono in chiaro.
3. Verifica che non resti nulla in intestazioni, tabelle, allegati e metadati.
4. Invia solo la versione mascherata e reintegra i dati reali, se serve, sul tuo dispositivo.

Questo riduce l’esposizione a monte ed è coerente con ciò che il Garante ha ricordato: chi tratta i dati ne è responsabile. Non è un timbro di conformità — la liceità del trattamento con l’AI dipende da valutazioni che restano tue — ma è una misura tecnica di minimizzazione concreta e documentabile.

Farlo a mano su ogni documento, però, è lento e fallace. È qui che uno strumento di supporto aiuta: PrivActa individua e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, sul dispositivo, prima che il testo raggiunga ChatGPT, Claude o Gemini. Il documento originale non esce mai dal tuo computer. È uno strumento di supporto all’anonimizzazione, non una garanzia di conformità: scopri come funziona PrivActa e come si inserisce nelle tue misure di conformità.

Domande frequenti

Il Garante privacy ha bloccato ChatGPT in Italia? Sì, nel marzo 2023 il Garante ha disposto una limitazione provvisoria del trattamento che ha reso ChatGPT non disponibile in Italia per alcune settimane. Il servizio è tornato attivo dopo che OpenAI ha introdotto alcune misure richieste, ma l’istruttoria è proseguita.

ChatGPT ha ricevuto una sanzione dal Garante? Sì. Al termine dell’istruttoria il Garante ha adottato un provvedimento sanzionatorio nei confronti di OpenAI per violazioni del GDPR, tra cui base giuridica del trattamento e informazioni agli utenti. Il provvedimento riguarda OpenAI come fornitore, non i singoli utilizzatori.

Usare ChatGPT dopo i provvedimenti del Garante è lecito? Usarlo è possibile, ma la liceità del tuo trattamento dipende da te in qualità di titolare: base giuridica, informativa e minimizzazione dei dati restano una tua responsabilità. I provvedimenti riguardano il fornitore, non ti esonerano dai tuoi obblighi.

Cosa devono imparare le aziende dai provvedimenti su ChatGPT? Che immettere dati personali in un assistente AI è un trattamento a tutti gli effetti. Serve una base giuridica, un’informativa adeguata e misure tecniche che riducano i dati identificativi esposti. Ridurre a monte ciò che si invia abbassa il rischio concreto.

Per il quadro normativo completo, leggi la guida pillar su AI Act e GDPR per le aziende. Se ti occupi di compliance e vuoi capire quando un uso dell’AI è lecito, parti da è lecito trattare dati personali con ChatGPT.