Con provvedimento del 2 novembre 2024, l’Autorità italiana della Privacy ha sanzionato la società OpenAI per gravi violazioni nel trattamento dei dati personali connesso all’utilizzo del servizio ChatGPT.

Le attività del Garante Privacy hanno avuto inizio nel marzo 2023, quando l’Autorità ha acquisito notizie di stampa relative a problematiche tecniche concernenti il servizio ChatGPT, gestito dalla società statunitense OpenAI. In ragione della gravità dell’evento, il Garante ha avviato un’istruttoria ex officio, nella quale ha evidenziato sin dall’inizio una serie di attività, ritenute incompatibili con le disposizioni normative in materia di protezione dei dati personali.

Il bug

L’Autorità ha rilevato che il bug tecnico verificatosi aveva comportato l’esposizione indebita di informazioni a soggetti non autorizzati, tra i dati accessibili figuravano la cronologia delle chat di altri utenti, il nome, il cognome, l’indirizzo e-mail e, in alcuni casi, le ultime quattro cifre e la data di scadenza delle carte di credito utilizzate per la sottoscrizione della versione a pagamento del servizio.

Le violazioni del GDPR

In tale fase, l’Autorità rilevava l’assenza di un’adeguata informativa rivolta agli utenti e agli interessati e segnalava come il trattamento dei dati p...