Lo scorso 31 marzo il Garante per la Protezione dei Dati Personali (GPDP) ha disposto con effetto immediato il blocco provvisorio di ChatGPT, una chatbot basato sull’Intelligenza Artificiale, o Artificial Intelligence (AI), capace di rispondere ai quesiti degli utenti con un linguaggio semplice e intuitivo. Il blocco sarebbe durato fintanto che OpenAI (organizzazione proprietaria di ChatGPT) non avrebbe rispettato i requisiti in termini di privacy degli utenti e gestione dei dati. Avendo adempiuto agli obblighi, il 28 Aprile il chatbot di OpenAI è tornata nuovamente disponibile in Italia.

Diverse sono le questioni che hanno portato il Garante ha bloccare ChatGPT, in primis, come si legge nel comunicato stampa del 31 marzo, “l'assenza di una base giuridica che giustifichi la raccolta e la conservazione massiccia di dati personali, allo scopo di “addestrare” gli algoritmi sottesi al funzionamento della piattaforma”, ma anche la “mancanza di una informativa agli utenti e a tutti gli interessati i cui dati vengono raccolti da OpenAI”. Inoltre, nel comunicato è stato evidenziato come “le informazioni fornite da ChatGPT non sempre corrispondono al dato reale, determinando quindi un trattamento di dati personali inesatto”. Infine, sebbene “il servizio sia rivolto ai maggiori di 13 anni, l’Autorità evidenzia come l’assenza di qualsivoglia filtro per la verifica dell’età degli utenti esponga i minori a risposte assolutamente inidonee rispetto al loro grado di sviluppo e autoconsapevolezza”. È stato così imposto alla società americana di “comunicare entro 20 giorni le misure intraprese in attuazione di quanto richiesto dal Garante, pena una sanzione fino a 20 milioni di euro o fino al 4% del fatturato globale annuo”.

Dialogo aperto tra il Garante della Privacy e OpenAI

Il 5 aprile si è svolto l’incontro in videoconferenza tra il Garante e OpenAI, a cui ha partecipato anche l’amministratore delegato Sam Altman. Nel comunicato stampa si legge che l’organizzazione ha detto “di essere convinta di rispettare le norme in tema di protezione dei dati personali, ha tuttavia confermato la volontà di collaborare con l’Autorità italiana con l’obiettivo di arrivare ad una positiva soluzione delle criticità rilevate dal Garante riguardo a ChatGPT” e ha manifestato la sua volontà “a rafforzare la trasparenza nell’uso dei dati personali degli interessati, i meccanismi esistenti per l'esercizio dei diritti e le garanzie per i minori e ad inviare al Garante […] un documento che indichi le misure che rispondano alle richieste dell’Autorità”.

Il Garante, invece, “ha sottolineato come non vi sia alcuna intenzione di porre un freno allo sviluppo dell’AI e dell’innovazione tecnologica ed ha ribadito l’importanza del rispetto delle norme poste a tutela dei dai personali dei cittadini italiani ed europei”. Il Garante, infine, “si riserva di valutare le misure proposte dalla società, anche riguardo al provvedimento adottato nei confronti di OpenAI”.

Sempre nella giornata di mercoledì 5 aprile OpenAI ha pubblicato un articolo sul proprio blog in cui ha ribadito come si impegni a mantenere la piattaforma “sicura e ampiamente vantaggiosa”, attraverso rigorosi test che hanno richiesto più di sei mesi di lavoro. Uno dei punti principali espressi nell’articolo ha riguardato la sicurezza dei minori con almeno tredici anni (che possono accedere alla piattaforma previa autorizzazione dei genitori). OpenAI, infatti, ha dichiarato di aver fatto numerosi sforzi per ridurre ulteriormente i rischi di generazione di contenuti capaci di danneggiare i più giovani. Inoltre, ha affermato di non utilizzare i dati ottenuti per fare pubblicità, vendere i propri servizi o creare profili, ma per implementare i propri modelli al fine di renderli più utili per le persone.

L’8 aprile si è tenuta una prima riunione per una valutazione iniziale dei documenti inviati dalla società americana, a cui è seguita un’ulteriore seduta in data 11 aprile. Il giorno seguente, il Garante ha concesso a OpenAI "fino al 30 aprile per adempiere alle prescrizioni imposte" riguardanti "la protezione dei dati personali riguardo a informativa, diritti degli interessati, utenti e non utenti, base giuridica del trattamento dei dati personali per l’addestramento degli algoritmi con i dati degli utenti”.

OpenAI ha avuto, quindi, fino a tale data per soddisfare i requisiti imposti dall’autorità per sbloccare la piattaforma. Inoltre, per quanto riguarda i minori, “oltre all’immediata implementazione di un sistema di richiesta dell’età ai fini della registrazione al servizio, l’Autorità ha ordinato a OpenAI di sottoporle entro il 31 maggio un piano di azione che preveda, al più tardi entro il 30 settembre 2023, l’implementazione di un sistema di age verification, in grado di escludere l’accesso agli utenti infra-tredicenni e ai minorenni per i quali manchi il consenso dei genitori”. Infine, entro il 15 maggio OpenAI deve “promuovere una campagna di informazione su radio, televisione, giornali e web per informare le persone sull’uso dei loro dati personali ai fini dell’addestramento degli algoritmi”.
Nel frattempo, per promuovere la sicurezza della piattaforma, l'organizzazione ha lanciato il progetto Bug Bounty che prevede una ricompensa da 200 a 20.000 dollari per chiunque scoprirà bug, difetti o vulnerabilità al suo interno.

ChatGPT, una tack force Europea per la protezione dei dati

Come si legge nel comunicato stampa del 13 aprile del GPDP, a seguito della sospensione temporanea di ChatGPT in Italia "i Garanti della privacy europei, riuniti nel Comitato europeo per la protezione dei dati (EDPB), hanno deciso di lanciare una task force su ChatGPT", con l'obiettivo di "promuovere la cooperazione e lo scambio di informazioni su eventuali iniziative per l'applicazione del Regolamento europeo condotte dalle Autorità di protezione dati".

ChatGPT è tornato disponibile in Italia

Il 28 aprile ChatGPT è tornato disponibile in Italia, due giorni prima del termine ultimo dato dal Garante a OpenAI. La notizia è circolata rapidamente ed è stato annunciato dal Garante in un suo comunicato che "OpenAI, la società statunitense che gestisce ChatGPT, ha fatto pervenire al Garante per la protezione dei dati personali una nota nella quale illustra le misure introdotte in ottemperanza alle richieste dell’Autorità contenute nel provvedimento dello scorso 11 aprile, spiegando di aver messo a disposizione degli utenti e non utenti europei e, in alcuni casi, anche extra-europei, una serie di informazioni aggiuntive, di aver modificato e chiarito alcuni punti e riconosciuto a utenti e non utenti soluzioni accessibili per l’esercizio dei loro diritti. Alla luce di questi miglioramenti OpenAI ha reso nuovamente accessibile ChatGPT agli utenti italiani." Inoltre, si legge che "l’Autorità esprime soddisfazione per le misure intraprese e auspica che OpenAI, nelle prossime settimane, ottemperi alle ulteriori richieste impartitele con lo stesso provvedimento dell’11 aprile con particolare riferimento all’implementazione di un sistema di verifica dell’età e alla pianificazione e realizzazione di una campagna di comunicazione finalizzata a informare tutti gli italiani di quanto accaduto e della possibilità di opporsi all’utilizzo dei propri dati personali ai fini dell’addestramento degli algoritmi".

Carlo Negri - Ricercatore Senior dell'Osservatorio Space Economy e dell'Osservatorio Artificial Intelligence