ChatGPT in versione chatbot (quale interfaccia del modello detto “GPT-3”) sta già cambiando, e di molto, la comune realtà e prospettiva, persino il modo di lavorare, in vari ambiti. Nondimeno il suo utilizzo non può essere troppo disinvolto: i risvolti giuridici negativi o rischiosi del suo utilizzo possono essere numerosi, a volte non del tutto chiari persino tra addetti ai lavori.
Qui ci concentriamo soprattutto sulle attuali condizioni di contratto (dette anche “Terms of Service” – TOS) e relativa informativa privacy, resi pubblici online sul sito della società produttrice, per avere un punto di partenza condiviso su cui ragionare.
Si faccia attenzione che eventuali utilizzi tramite accordi particolari (come gli Enterprise Agreement) possono ben differire da quanto qui indicato: si ponga dunque attenzione a quanto pertiene al proprio caso.
Indice degli argomenti
Cos’è ChatGPT, in due parole
Rimandiamo ad altri contributi per una descrizione generale, ad ampio spettro di ChatGPT. Qui basti ricordare che si tratta di un software di IA, disponibile in varie modalità sul mercato (non solo come servizio online al pubblico, viene licenziato a sviluppatori e soggetti professionali come API – Application Programming Interface, un software che consente a due applicazioni di comunicare tra loro). E che sfrutta il citato GPT-3, un avanzato modello di previsione linguistica (parliamo di computazione statistica, ecco perché finora è deludente su operazioni matematiche), addestrato in deep learning su ampissimi dataset, per generare a richiesta testi di (pare) qualsiasi tipologia.
In input abbiamo dunque la richiesta dell’utente di sfornare un certo tipo di testo quale risultato. In output il testo stesso, redatto da ChatGPT sfruttando il suo “motore” interno (dalla risposta a una domanda a documenti come schemi, contratti, elenchi, così come testi letterari e poetici, pubblicità, righe di codice software, ecc.). Si badi a questa distinzione perché ci aiuterà in seguito a comprendere alcune conseguenze.
È da notare che vi è una registrazione evidente, da parte del sistema, di quanto inserito in input. Considerato che possiamo approfondire risposte già ricevute, precisando e riprendendo testi e concetti di scambi precedenti. Il software lo ricollega alla nuova domanda e lo utilizza per affinare la sua successiva risposta.
La produttrice e titolare di ChatGPT è OpenAI, società americana capitanata da Sam Altman che sta tuttora sviluppando nuovi prodotti (come il più avanzato modello GPT-4) e sinergie (citiamo l’inclusione in prodotti come Azure di Microsoft, da tempo corposa finanziatrice della società).
I rischi e cautele d’uso non mancano, segnalati, per citarne uno, in ambito di sicurezza informatica. Qui, invece, affronteremo le possibili ripercussioni legali nell’utilizzo di dati e contenuti, letti tramite l’ottica dei relativi TOS.
Termini d’uso: si applica la legge privacy californiana
Esaminiamo ora i documenti messi online e accettati dagli utenti utilizzatori nell’ultima versione disponibile, cioè i termini e condizioni d’uso (TOS) del 13 dicembre scorso (con annesse FAQ)[1]. Ricordiamo che violarli può comportare una responsabilità contrattuale dell’utente verso OpenAI.
Attenzione va prestata alla presenza online di TOS particolari (e laconici), applicabili solo ai c.d. Beta Services (ovvero “alpha, preview, early access, or beta basis”), a DALL-E (per le immagini) e a OpenAI Codex (per il coding).
Prima considerazione a premessa: a tali contratti si applica il diritto statunitense, per la precisione della California. Non possiamo qui addentrarci su quella giurisdizione, ragioniamo sul nostro diritto locale che non è detto non possa applicarsi, nonostante questa pattuizione di scelta della normativa (ad es. se l’utente fosse un consumatore). Oltretutto la stessa modalità di accettazione dei TOS (tramite registrazione online o sfruttando il proprio account Google o Microsoft) può essere dubbia, quanto a effettiva vincolatività – almeno in parte, sempre ragionando secondo le norme locali.
Altra considerazione a premessa: come si nota dalle seguenti schermate, la procedura di registrazione attuale, dopo la registrazione dell’account, include l’accettazione di condizioni di contratto, cioè quelle sopra riportate.
Ciò dovrebbe pacificare correnti polemiche sul fatto che se interrogata sul tema, ChatGPT replica in maniera difforme rispetto ai suoi stessi termini d’uso[2]. Quasi sicuramente lo fa per essere stata addestrata su documenti e contenuti pregressi, facenti pare del dataset usato e dichiarato arrivare fino al 2021. Un ulteriore punto di attenzione per gli utilizzatori.
Servizio vietato ai minori, ma senza procedura di verifica
Ciononostante si noti che solo nell’ultima fase (dopo aver avviato la registrazione dell’account e confermato l’email) si scopre essere un servizio “vietato ai minori”, senza una procedura di verifica dell’età.
Nessun rimando alla privacy policy
Altrettanto rilevante (in negativo) è l’assenza completa di rimandi alla privacy policy in fase di registrazione, solo richiamata nei TOS. Anzi, i TOS rimandano ad ulteriori diversi documenti integrativi che costituiscono il contratto: policy per la condivisione e pubblicazione di contenuti, policy d’utilizzo, nonché “altra documentazione, linee guida o politiche che potremmo fornire per iscritto” – con relativa incertezza su quali possano essere, cosa possano prevedere e quanto possano vincolare l’utente.
Il contratto non sembra fare alcuna distinzione tra utenti professionali, aziendali o meri privati, applicando a tutti la medesima disciplina.
Privacy policy: che riservatezza e controllo aspettarsi
L’informativa privacy (detta “policy”, in stile USA) disponibile sul sito aziendale è del 19 settembre scorso. Anche qui la società titolare pare fare riferimento esclusivamente alla normativa californiana sulla privacy (CCPA e annessi).
Certo, è la normativa statunitense più avanzata e simile al GDPR attualmente vigente – tuttavia è ben lontana quanto a copertura, diritti, tutele, rispetto al nostro GDPR. Quindi gli utenti devono essere consapevoli delle lacuna di tutela, almeno per quanto dichiarato in policy, rispetto a quanto richiesto dalla normativa europea. Se pensiamo infatti al GDPR:
- sulla sua applicazione a ChatGPT non v’è dubbio, ce lo dice l’art. 3.2 GDPR dato che viene offerto un servizio “ai interessati nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato”;
- circa il ruolo di OpenAI LLC, la società produttrice, è certamente quello di titolare del trattamento dei dati personali coinvolti, almeno nella versione chatbot; peraltro il testo fa riferimento a non precisati “affiliati” che potrebbero configurare una contitolarità nei trattamenti, e che ai sensi del GDPR dovrebbero essere perlomeno esplicitati, oltre a segnalare un proprio accordo di contitolarità ex art. 26 GDPR ecc.; tra questi, forse dovrebbero figurare Microsoft e Google che, come visto, possono essere sfruttati con i relativi account per la registrazione;
- per l’API è messo però a disposizione un Data Processing Agreement – un po’ generico, ai sensi del GDPR e del CCPA – che ne palesa il ruolo ulteriore da responsabile del trattamento ex art. 28 GDPR;
- tra i dati dichiarati oggetto del trattamento, troviamo anche quelli relativi alle interazioni con i servizi di chatbot: da quelli volontariamente inseriti a dati e metadati di utilizzo, log vari, informazioni sul dispositivo e browser, cookie ecc.;
- tra le finalità, oltre a quelle prevedibili (resa dei servizi, comunicazione, ecc.), troviamo anche fini di ricerca, che potrà rimanere interna o potrà essere condivisa con terze parti, o persino essere pubblicata e diffusa senza altre precisazioni;
- quanto alla security, nei TOS (art. 5) si afferma che “l’utente deve implementare misure ragionevoli e appropriate progettate per proteggere l’accesso e l’utilizzo dei servizi” e che se si scoprono vulnerabilità o violazioni (ad es. data breach) relative al proprio utilizzo dei servizi, si deve contattare tempestivamente OpenAI e fornire i dettagli di quanto accaduto; invece la privacy policy (art. 8) afferma proprio che “l’utente utilizza il servizio a proprio rischio”, pur dichiarando OpenAI l’implementazione di varie misure di sicurezza (generiche);
- sempre i TOS affermano che “se l’utilizzo dei servizi comporta il trattamento di dati personali, è necessario [per l’utente] fornire informative sulla privacy giuridicamente adeguate e ottenere i consensi necessari [o altra base giuridica lecita, ai sensi del GDPR] per il trattamento di tali dati”, dichiarando che si stanno trattando tali dati in conformità con la legge applicabile; si rimarca, in definitiva, la realtà sempre valida di un utente (titolare) che deve valutare in accountability la liceità del trattamento di dati personali tramite servizi come questi;
- non è nemmeno chiaro quanto vengano conservati i dati personali né esattamente per quali fini.
Insomma, un’eventuale DPIA da redigere sull’utilizzo di ChatGPT a uso aziendale/professionale non potrà che affrontare diverse criticità rispetto ai requisiti del GDPR: non abbiamo nemmeno menzionato, tra i tanti, il ricorrente tema del trasferimento extra-UE dei dati, su cui la policy non offre chiarimenti.
Quindi ogni valutazione di rischio e liceità nell’uso di dati personali connessi alla fruizione di ChatGPT rappresenta una sfida non da poco, allo stato attuale.
Dati e contenuti: diritti, doveri e rischi
Accenniamo infine al tema dei dati. Difatti una questione delicata attiene sia a quanto ai dati non personali che quelli che possono costituire proprietà intellettuale (quale contenuto in sé o costituendo un database) o ancora quelli comunque regolamentati dai TOS.
Partiamo da questi ultimi: anzitutto i TOS (art. 2.c) affrontano il tema licenze e diritti, ponendo diverse restrizioni d’uso, come di prassi. In particolare vietando:
- l’uso dei servizi in modo da violare, appropriarsi indebitamente o violare i diritti di qualsiasi terzo;
- l’uso per sviluppare modelli di base o altri modelli su larga scala che competono con OpenAI (a evidente scopo anticoncorrenziale);
- l’estrazione di dati – incluso il web scraping, web harvesting o altri metodi di estrazione di dati web – diversi da quelli consentiti tramite l’API (se è questo il caso d’uso, forse va inteso come esteso alla versione pubblica chatbot di ChatGPT); ricordiamo che in Europa la prassi del web scraping di contenuti e dati è quantomeno discutibile, se non spesso illecita.
Quanto ai contenuti generati come output da ChatGPT, ne tratta l’art. 3 seguente:
- si prescrive che l’utilizzatore debba avere tutti i diritti necessari per utilizzare i dati di input, al contempo OpenAI “assegna tutti i suoi diritti, titoli e interessi in e verso l’output” all’utilizzatore;
- però avvisa che – a causa della natura del machine learning – l’output potrebbe essere identico o simile a quello generato per altri utenti o di terzi, ragion per cui il contratto in tal caso afferma che non si possono considerare “contenuti” su cui poter accampare diritti come sopra stabilito; è tutto da stabilire se e come ci si potrà rendere conto di ciò (ex post, mancando finora avvisi o indicazioni sui risultati); presunti diritti di privativa potrebbero sciogliersi come neve al sole nel caso si scopra la similarità con altri, magari alla luce di lunghi percorsi giudiziari; segnaliamo però che sono già diffuse alcune app e plugin che dichiarano di poter rilevare se un contenuto è stato creato da ChatGPT, ad es. GPTZero;
- altrettanto delicato è il tema dell’utilizzo dei dati (input e output) da parte della stessa OpenAI per affinare il modello di ChatGPT; ecco perché si può dare il caso di contenuti generati da un utente che, come visto sopra, sarebbero soggetti a privativa ma che finiscono “licenziati” a OpeanAI e, chissà, magari a costituire parte o replica degli output di altri utenti (e si ritorna al punto precedente); così come si potrebbero utilizzare dati riservati (pensiamo a segreti commerciali o industriali, come quelli tutelati dal nostro Codice della Proprietà Industriale) in input e così metterne a repentaglio la segretezza (sia per avere e mantenere le tutele di legge che per il valore di mercato in sé);
- è però possibile limitare questo uso dei contenuti forniti in input da parte di OpenAI: come? Scrivendo a un’email di supporto (!) di OpenAI, identificando con un ID la propria azienda (parrebbe pertanto limitato all’uso professionale a pagamento, non del chatbot gratuito); tenuto conto che l’opt-out “potrebbe limitare la capacità dei nostri servizi di affrontare meglio il tuo caso d’uso specifico”;
- è vietato dichiarare che l’output dei servizi è stato generato dall’uomo quando non lo è; in tal senso si veda la “Content co-authored with the OpenAI API policy”, secondo cui non vanno violati diversi limiti: il ruolo dell’AI deve essere dichiarato in maniera comprensibile ed evidente al lettore; i contenuti finali di un certo tipo sono vietati (ad es. “campagne politiche, contenuti per adulti, spam, contenuti che incitano all’odio, contenuti che incitano alla violenza o altri usi che possono causare danni sociali” – vedi anche quanto oggi prescritto dal Digital Services Act);
- inoltre “gentilmente” (!) si chiede di “non offendere nessuno” nell’utilizzo dei servizi e dei contenuti.
Viene fornito, persino, un template di avvertenze da apporre a eventuali contenuti ottenuti da ChatGPT e da pubblicare, del tipo: “l’autore ha generato questo testo in parte con GPT-3, il modello di generazione del linguaggio su larga scala di OpenAI. Dopo aver generato la bozza, l’autore l’ha rivista, modificata e integrata a proprio piacimento e si assume la responsabilità ultima per il contenuto di questa pubblicazione”.
ChatGPT, diritto d’autore e copyright
Sui profili di proprietà intellettuale (diritto d’autore e copyright) rimandiamo per approfondimenti ad altra sede, come i contributi di vari esperti (ad es. Simone Aliprandi che ne parla da tempo in varie occasioni). In particolare, per contenuti un minimo originali si può ragionare sulla possibile applicazione dell’eccezione alle privative di diritto d’autore sul text-and-data mining (per analizzare testi e dati a fini ad es. di machine learning): è stata introdotta dalla Direttiva 790/2019 (recepita nella nostra l. 633 del 1941) per favorire l’uso dei contenuti in contesti machine learning con ristrette possibilità.
Oppure alla tutela dei database, già prevista da tempo dalla nostra normativa. Anche in ragione del principio di applicazione territoriale d’uso (cioè locale) di queste normative.
In linea con quanto di prassi in questo tipo di contrattualistica, i TOS prevedono (all’art. 7) clausole molto lunghe di esonero di responsabilità da parte di OpenAI. Cosa che nel nostro ordinamento potrebbe valere, civilisticamente, solo per colpa lieve, mai per dolo o colpa grave. Ancora si potrebbe menzionare la limitazione ad eventuali danni pari alle somme pagate dall’utente per i servizi o limitate a “ben” 100 dollari di massimale, di dubbia applicazione nel nostro ordinamento (e non solo forse).
Conclusioni
Uno strumento così affascinante e performante (rispetto a quanto noto pubblicamente sul mercato, finora) non può che tentare tutti a sfruttarne ogni possibilità, anche a fini professionali o aziendali. Come però si è cercato di far capire, i rischi, i dubbi, i limiti di utilizzo di questi strumenti dovrebbero far riflettere.
Sia quanto al fornire dati e contenuti, sia nell’usare quelli ottenuti da ChatGPT, qui si è solo accennato ad alcuni profili. Il tema, se però vi si riflette, non dovrebbe però essere del tutto nuovo (lo afferma anche il citato Aliprandi): analoghe cautele dovrebbero già essere adottare per l’uso di strumenti come social media e messaggistica, adottando apposita policy aziendale d’uso. E sempre che si sia effettuato un preventivo vaglio della liceità d’uso, nel nostro Paese, di questo strumento, a fini lavorativi/professionali, con esito positivo.
La situazione è in evoluzione: lo stesso utilizzo sul mercato dei propri software da parte della società produttrice cambia di frequente. Così come la riflessione giuridica sull’uso e gli effetti di tali soluzioni. Fioccano persino cause giudiziarie, prevedibilmente in ascesa, intentate da vari soggetti che reputano violati i propri diritti – un esempio recente è quella intentata recentemente da Getty Images per l’uso non autorizzato del proprio portfolio fotografico e d’immagini per addestrare Stable Diffusion, soluzione AI simile a DALL-E di OpenAI.
Oppure la causa intentata negli USA a novembre, congiuntamente contro OpenAI, Microsoft e GitHub, per la riproduzione di coding in regime di open source senza rispettarne le condizioni di licenza. Dovrebbe bastare per indurre alla cautela.
Per chiudere con un riferimento legislativo, a parte il sempre discusso Regolamento AI Act in gestazione da parte dell’UE, altrettanta rilevanza avrà la proposta di Direttiva (COM(2022) 496 final) sulla responsabilità civile dell’IA. Questa normativa potrebbe coprire i danni derivanti anche dall’uso di dati e contenuti coinvolti nell’uso di ChatGPT e soluzioni analoghe, però in solo ambito extra-contrattuale, vertendo sull’inversione dell’onere della prova.
Chiudiamo con un auspicio: che tutti si domandino e riflettano se i tempi siano davvero maturi per un uso sufficientemente “sicuro” – tanto più in ambito lavorativo – di queste soluzioni, legalmente parlando. Per quanto stupefacenti possano sembrare.
NOTE
Al momento i TOS sono disponibili online solo nella versione inglese, ogni citazione con traduzione che si troverà di seguito è del sottoscritto. ↑
A conferma ulteriore, menzioniamo altresì le risposte offerte nella community di supporto di OpenAI. ↑
