Garante italiano — la intervención de protección de datos de ChatGPT

El 30 de marzo de 2023, la autoridad italiana de protección de datos (Garante per la protezione dei dati personali) ordenó a OpenAI que dejara de tratar los datos personales de los ciudadanos italianos en ChatGPT. La orden citaba múltiples infracciones del RGPD, incluida la falta de base jurídica adecuada para los datos de entrenamiento, fallos de transparencia, una brecha de datos no notificada y —lo más relevante para la educación— la ausencia de un mecanismo de verificación de edad, que exponía a los menores a contenidos inadecuados.

La intervención buscaba garantizar el cumplimiento del RGPD por parte de ChatGPT en Italia, con especial énfasis en la protección de los menores mediante la verificación de edad y una mayor transparencia en el tratamiento de datos.

El Garante ordenó el cese inmediato del tratamiento de los datos de los usuarios italianos. Aproximadamente un mes después, OpenAI implementó un aviso de privacidad, una opción de exclusión (opt-out) de los datos de entrenamiento y un sistema de verificación de edad, tras lo cual se levantó el bloqueo.

El bloqueo de ChatGPT se levantó aproximadamente un mes después de su imposición, una vez implementadas las medidas de cumplimiento de OpenAI. La acción italiana motivó investigaciones posteriores sobre las prácticas de datos de ChatGPT en Alemania, Francia, Irlanda y España.

El caso muestra a un regulador nacional actuando como aplicador de facto de funciones de seguridad infantil en IA, como la verificación de edad, y parece haber influido en el escrutinio en otras partes de Europa; sin embargo, las fuentes no evalúan la eficacia ni la durabilidad a largo plazo de las medidas de cumplimiento.