Quali sono i principi di protezione dei dati personali applicabili a ChatGPT? Questa è la domanda che viene esaminata nel Report sul lavoro della task force del Comitato europeo (EDPB), istituita nel 2023 per favorire la cooperazione tra le Autorità di protezione dei dati personali che investigano a livello nazionale sul chatbot di OpenAI.
Nel valutare la legalità del processo, il Report suggerisce di suddividere le varie fasi del trattamento: la raccolta dei dati per l’addestramento, inclusi il web scraping o il riutilizzo di set di dati; la pre-elaborazione, che include il filtraggio; l’addestramento; i prompt e gli output di ChatGPT; e l’addestramento di ChatGPT con prompt. Una particolare attenzione è riservata al web scraping.
Per la raccolta dei dati, OpenAI ha individuato come base giuridica il legittimo interesse del titolare. Tuttavia, l’EDPB ricorda che questa condizione deve essere bilanciata con i diritti e le libertà fondamentali degli interessati. Anche se le indagini sono ancora in corso, il Comitato europeo suggerisce alcune garanzie che potrebbero rendere lecito il legittimo interesse, come la definizione di criteri di raccolta e l’esclusione di determinate categorie di dati e fonti (ad esempio, profili pubblici sui social). Ulteriori misure potrebbero includere la cancellazione o l’anonimizzazione dei dati personali prima della fase di addestramento.
Per quanto riguarda le categorie particolari di dati, che necessitano un consenso specifico, le misure potrebbero prevedere un filtraggio, da applicare sia alla raccolta dei dati, selezionando ad esempio i criteri, sia immediatamente dopo, eliminandoli.
Oltre alla legalità della raccolta dei dati per l’addestramento di ChatGPT, il Report analizza il principio di correttezza, secondo il quale spetta a OpenAI garantire la conformità al GDPR; inoltre prende in consideraizone il principio di trasparenza e quello di esattezza, che richiedono al titolare del trattamento di fornire informazioni adeguate sulla natura probabilistica dell’output chatbot e di fare esplicito riferimento al fatto che il testo generato potrebbe essere parziale o inventato.
Sempre in base al principio di trasparenza, OpenAI dovrebbe informare gli interessati che il contenuto prodotto dall’utente, vale a dire l’input fornito al sistema, viene utilizzato per addestrare il chatbot.
Infine, il Comitato europeo sottolinea l’obbligo che gli interessati possano esercitare i loro diritti in modo efficace. Il Report rappresenta il risultato di valutazioni preliminari che non pregiudicano l’analisi che verrà effettuata da ciascuna Autorità nazionale nell’ambito delle indagini in corso, avviate prima del 15 febbraio 2024, quando OpenAI ha stabilito una sede in Europa. Da quella data, le attività di trattamento transfrontaliero della società statunitense rientrano nell’ambito di applicazione dello Sportello unico (One-stop shop).
LG