ChatGpt raccoglie illecitamente i dati: è quanto stabilito dal Garante Privacy, che ha avviato un’istruttoria e ha limitato in via provvisoria il trattamento dei dati degli utenti italiani fin quando il sistema di AI non si adeguerà alla normativa sulla data protection.
Il Garante ha infatti individuato violazioni come la raccolta di dati personali senza una base giuridica che ne giustifichi il trattamento, la mancanza dell’informativa agli interessati e nessun filtro per verificare l’età degli utenti.
Aggiornamento ore 23: di fatto ora il gestore di Chatgpt, OpenAI, ha bloccato di conseguenza l’uso del servizio dall’Italia. Così cerca di evitare la sanzione (che però può sempre esserci per eventuali violazioni pregresse) e al tempo stesso cerca una soluzione per tornare rispettando le indicazioni del Garante.
La società del sistema, OpenAI, rischierebbe sanzioni fino a 20 milioni di euro o al 4 per cento del fatturato mondiale annuo, come previsto dal GDPR, se non si adeguasse alle richieste contenute nel provvedimento di ieri, comunicato oggi.
OpenAI potrebbe di conseguenza bloccare ChatGpt agli italiani nell’attesa di un adeguamento, se non vuole essere sanzionata (come avvenuto, vedi aggiornamento, ndr.).
ChatGPT, il rischio di discriminazione e l’intervento del diritto
Il provvedimento dell’autorità è stato preso in seguito alle verifiche effettuate dopo il data breach subito da ChatGPT il 20 marzo. Come spiega Anna Cataleta di P4I, la decisione “offre uno spunto di riflessione poiché, seppur le funzionalità e le potenzialità dei sistemi di intelligenza artificiale possano portare dei miglioramenti in diversi ambiti, l’addestramento dei sistemi richiede il trattamento un’ingente quantità di dati”.
Il provvedimento arriva in un momento in cui è vivace il dibattito sugli sviluppi futuri dell’AI relazionale, anche per la lettera sottoscritta da un gruppo di scienziati, tra cui Steve Wozniak fondatore con Steve Jobs di Apple, sull’opportunità di fermare la ricerca per sei mesi: “Si tratta di un caso dalla portata eccezionale. Mentre nel mondo monta il dibattito sui limiti all’AI e l’Europa sta per adottare un Regolamento sull’Intelligenza Artificiale, il Garante Italiano alza il tiro e lo fa a ragion veduta”, commenta l’avvocato Rocco Panetta.
Indice degli argomenti
ChatGPT e GDPR, tutti i problemi privacy denunciati dal Garante
Nello specifico, il provvedimento del Garante privacy con effetto immediato dispone la “limitazione provvisoria del trattamento dei dati degli utenti italiani nei confronti di OpenAI, la società statunitense che ha sviluppato e gestisce la piattaforma. L’Autorità ha contestualmente aperto un’istruttoria”, viene spiegato in una nota.
“È comprensibile e condivisibile la scelta del Garante – commenta Cataleta -. Il Garante, infatti, in linea con la decisione presa nei confronti del Chatbot Replika nel mese di febbraio, evidenzia, da una parte, il mancato rispetto dei principi posti dal Regolamento (tra cui: liceità, trasparenza, esattezza) e, dall’altra, l’assenza di filtri di verifica dell’età degli utenti che può comportare dei rischi per i minori”.
Le violazioni
Il Garante in particolare ha individuato:
- l’assenza di una base giuridica in grado di giustificare la raccolta e la conservazione dei dati personali, attività svolta spiega il Garante al fine di addestrare gli algoritmi che consentono il funzionamento della piattaforma;
- la mancanza di una informativa agli utenti e agli interessati del trattamento dei dati personali raccolti dalla società OpenAI;
- Trattamento dei dati inesatto, in quanto è emerso che “le informazioni fornite da ChatGPT non sempre corrispondono al dato reale”
- Assenza di un filtro di verifica dell’età degli utenti.
“ChatGpt usa le nostre conversazioni per affinare l’intelligenza artificiale ma non spiega come ne protegge la privacy, come e se anonimizza questi dati che sono pieni delle nostre vite e anche di altri soggetti di cui parliamo al bot”, spiega l’avvocato Elio Franco.
Il contesto normativo
Si impone dunque una riflessione: “L’entusiasmo non deve far dimenticare che le società che mettono sul mercato europeo prodotti di questo tipo – spiega Cataleta – non possono prescindere dal raccogliere e trattare i dati nel rispetto della normativa europea sulla protezione dei dati personali”.
Panetta ricorda che “le norme esistenti, in particolare il GDPR, sebbene non semplici non sono una novità e chi intende operare in Europa deve tenerne conto. Questo il ragionamento in controluce dell’Autorità”. Inoltre, sottolinea che “quello dell’AI è un tema scivoloso perché questi sistemi non funzionano nel modo classico e, avendo difficoltà a controllare l’output, è difficile anche per l’azienda immaginare certi risultati”.
Il data breach di ChatGPT
L’iter che ha portato al provvedimento è sorto in seguito al data breach del 20 marzo subito da ChatGPT, violazione che ha riguardato le conversazioni e le informazioni riguardanti gli abbonati al servizio a pagamento.
Il data breach sarebbe stato provocato da un bug in una libreria open source e ha portato all’esposizione dei dati di pagamento degli abbonati e informazioni personali di circa l’1,2 per cento degli utenti del sistema.
Intelligenza artificiale, stop al “rompere e correre veloci”
Il blocco del Garante a Chatgpt ci ricorda che l’avanzata dell’innovazione non può prescindere dalla tutela dei diritti fondamentali (civili, privacy, sociali, lavorativi). Una certa cultura dell’innovazione, “liberista”, tende a dimenticarselo. Quel corri veloci e rompi cose del primo Facebook-Meta.
Meno male che ci sono i Garanti Privacy si potrebbe dire. Ma non basta. L’attenzione, ad esempio anche a questioni enormi come l’impatto sul lavoro, dovrebbe essere esteso a tutte le istituzioni, di tutti i Paesi coinvolti. Non si può lasciare il futuro della società – di questo stiamo parlando, con l’intelligenza artificiale – a poche autorità volenterose che mettono paletti di volta in volta. Né è sufficiente un approccio come “poliziotti della privacy o dei diritti” che intervengono per limitare i danni, vedi anche AI Act europeo.
L’innovazione va guidata con uno spirito diverso, proattivo e non solo reattivo; votato all’interesse pubblico e con una regia anche istituzionale, non solo privata. L’Europa l’ha detto chiaro e tondo, si aspetta che lo faccia. Idem il precedente Governo italiano e ci si augura che ora il nuovo prosegue l’azione; finora non l’ha fatto.
Alessandro Longo
Chatbot, perché serve un filtro di verifica dell’età
Il Garante privacy ha evidenziato che “secondo i termini pubblicati da OpenAI” il servizio è rivolto agli utenti con età maggiore di tredici anni. Nonostante ciò però, il Garante privacy ha individuato “l’assenza di qualsivoglia filtro per la verifica dell’età degli utenti”.
Una situazione potenzialmente dannosa per i ragazzi, in quanto per l’Autorità sussiste il rischio di esposizione dei minori “a risposte assolutamente inidonee rispetto al loro grado di sviluppo e autoconsapevolezza”.
A febbraio il Garante privacy aveva bloccato il chatbot Replika proprio per l’assenza di un filtro per la verifica dell’età degli utenti e per le preoccupazioni suscitate da messaggi molesti e sessualmente espliciti: “Una battaglia che il Garante porta avanti da anni e che ha lo scopo di sensibilizzare le imprese nella tutela dei loro utenti più giovani, con un linguaggio chiaro delle informative e con la richiesta di un consenso dei genitori, il tutto anticipato da un sistema appropriato di riconoscimento dell’età degli utenti”, spiega Panetta.
Chatbot Replika fermato dal Garante privacy: troppi rischi per ragazzi e persone fragili
Le conseguenze per OpenAI, si ferma ChatGpt? Sanzione?
Ora la società OpenAI ha venti giorni di tempo per comunicare le misure adottate per adeguarsi alle richieste del Garante privacy e dunque alla normativa sulla privacy. Il rischio per la società è di incappare nelle sanzioni previste dal GDPR, cioè fino a 20 milioni di euro o al 4 per cento del fatturato globale annuo. OpenAI non ha una sede in UE, ma dispone di un rappresentate nello Spazio economico europeo.
Al momento, a una nostra prova, ChatGpt ancora funziona in Italia (aggiornamento: non è più così dalla tarda serata). Come spiegato da Guido Scorza, del Garante, OpenAI potrà continuare a farlo da subito senza rischiare la sanzione se troverà un modo di escludere i nostri dati personali dall’allenamento dell’IA. Per continuare a usarli invece dovrà rassicurare il Garante sul fatto che in questa pratica rispetta le norme privacy, con tutte le previsioni che ora a un’analisi del Garante mancano.
