Quali articoli del GDPR potrebbe violare l’accordo Gedi-OpenAI

Può arrivare fino a cinque il numero degli articoli del GDPR che l’accordo siglato a settembre tra il Gruppo Gedi e OpenAI violerebbe. Questo è il punto di vista del Garante Privacy che ha indicato, nel suo avviso formale, le principali contestazioni a questa intesa che porterà gli articoli giornalisti delle edizioni online dei quotidiani come La Repubblica e La Stampa (ma anche altri) a sbarcare direttamente sul chatbot ChatGPT, anche per addestrare i modelli di intelligenza artificiale sviluppati dall’azienda di Sam Altman.

LEGGI ANCHE > Il Garante Privacy vuole bloccare l’accordo Gedi-OpenAI?

La stessa Autorità italiana per la Protezione dei Dati Personali, ha messo in evidenza alcuni dettagli dell’accordo Gedi-OpenAI che – finora – le due aziende non avevano diffuso. E proprio basandosi su quegli aspetti, il Garante Privacy ha prodotto le sue contestazioni – sotto forma di avviso formale, una procedura che renderà più snello il percorso in caso di eventuali sanzioni da comminare -, individuando gli articoli che potrebbero essere violati da questa intesa commerciale.

L’accordo Gedi-OpenAI viola il GDPR?

Partiamo dalla prima contestazione che va a toccare gli articoli 9 e 10 del Regolamento Generale sulla Protezione dei Dati Personali (il GDPR europeo):

«Considerato che la base giuridica relativa alla comunicazione ad OpenAI di contenuti editoriali che includono dati di natura particolare ai sensi degli artt. 9 e 10 Regolamento, attività di trattamento dalla Società ricondotta all’esercizio dell’attività giornalistica ai sensi degli artt. 136 e 137 del Codice, non risulta, allo stato, sufficientemente analizzata nella DPIA, in particolare alla luce del disposto dell’art. 137, comma 3, del, Codice il quale prevede che “in caso di diffusione o di comunicazione dei dati per le finalità di cui all’articolo 136 restano fermi i limiti del diritto di cronaca a tutela dei diritti di cui all’articolo 1, paragrafo 2, del Regolamento e all’articolo 1 del presente codice e, in particolare, quello dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico». 

Questo è uno degli aspetti fondamentali della questione. Un vaso di Pandora scoperchiato da questo accordo, ma che in realtà rappresenta l’esatta criticità che può scaturire da qualsiasi altra intesa tra un fornitore di servizi chatbot AI e le testate editoriali. L’articolo 9 del GPDR, infatti, si occupa del trattamento delle cosiddette “categorie particolari di dati personali”, ovvero quelli in grado di rivelare:

«L’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona».

Sulla stessa falsariga, troviamo l’articolo 10 del GDPR, quello che si occupa del “trattamento dei dati personali relativi a condanne penali e reati. Nello specifico, il Regolamento UE recita:

«Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell’articolo 6, paragrafo 1, deve avvenire soltanto sotto il controllo dell’autorità pubblica o se il trattamento è autorizzato dal diritto dell’Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell’autorità pubblica». 

Rispettando alcuni limiti (deontologici e relativi al diritto di cronaca) alcuni di questi dati citati negli articolo 9 e 10 del GDPR possono essere trattati da un giornalista all’interno di uno o più articoli che raccontano una determinata vicenda. Se tutto questo lavoro – compresa questa manica un po’ più larga – venisse demandato anche all’intelligenza artificiale, si potrebbe rilevare una violazione di quanto previsto dal Regolamento. Di fatto, come raccontammo nell’agosto scorso, c’è il rischio di far decadere un diritto fondamentale come quello all’oblio utilizzando articoli giornalisti per addestrare un’intelligenza artificiale che, attualmente, non sottostà a regole di questo tipo.

Non solo diritto di cronaca

Sono altri due gli articoli del GDPR che vengono contestati (siamo ancora a livello di presunzione) all’accordo Gedi-OpenAI. Si tratta del numero 13 (“Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato”) e del 14 (“Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato”):

«Considerato che gli individui i cui dati personali, comuni e particolari, contenuti negli archivi e negli articoli che saranno oggetto di comunicazione ad OpenAI, non possono ragionevolmente aspettarsi siffatta comunicazione e che il paragrafo integrativo delle informative privacy pubblicate sui siti internet delle testate coinvolte, prodotto da GEDI, non appare sufficiente a considerare adempiuto l’obbligo di trasparenza di cui agli artt. 13 e 14 del Regolamento, atteso che alla data odierna tale paragrafo non risulta ancora pubblicato (ad es. l’informativa privacy de La Repubblica risulta aggiornata al dicembre 2023) e che lo stesso è rivolto agli utenti registrati alle predette testate e non agli interessati i cui dati siano oggetto di comunicazione ad OpenAI». 

A questa contestazione il Gruppo Gedi ha risposto spiegando che l’accordo siglato non sia ancora entrato in vigore. Dunque, secondo l’editore de La Repubblica e La Stampa (tra i tanti), ci sarà ancora tempo per aggiornare l’informativa privacy relativamente al trattamento dei dati. Questo, però, potrebbe non bastare. Infatti, eccoci arrivare alla quinta contestazione:

«Sia con riferimento agli archivi giornalistici che verranno comunicati in blocco in data 30 novembre 2024, sia nei casi in cui la comunicazione ad OpenAI avverrà contestualmente alla pubblicazione dei singoli articoli, l’esercizio del diritto di opposizione nei confronti delle testate del gruppo GEDI coinvolte non risulta essere effettivo atteso che, in tali ipotesi, l’esercizio dei diritti di cui al Capo III del Regolamento potrà avvenire esclusivamente nei confronti di OpenAI IE».

Dunque, c’è un problema non da poco per quel che riguarda l’opposizione a trattamento dei dati. Dunque, se la punta dell’iceberg può sembrare la remunerazione per la “vendita” di articoli anche per addestrare l’intelligenza artificiale, nel sottobosco ci sono una miriade ti possibili contestazioni a tutela dei cittadini e dei loro diritti.