Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
«Il diritto non è un insieme di regole, ma un sistema vivente di relazioni tra soggetti e poteri». Questa osservazione di Luigi Ferrajoli, cara alla teoria garantista, non ha mai trovato terreno più fertile di quello della sentenza che si discute nelle ultime settimane in ogni ufficio compliance italiano.
Sentenza Tribunale Roma OpenAI Garante Privacy: con questi termini è diventata virale, tra marzo e giugno 2026, la pronuncia del Tribunale di Roma, Sezione per i Diritti Umani e l'Immigrazione, del 18 marzo 2026 (R.G. n. 4785/2025, n. 4153/2026, giudice Damiana Colla), che ha annullato il provvedimento n. 755 del 2 novembre 2024 con cui il Garante per la protezione dei dati personali aveva irrogato a OpenAI una sanzione amministrativa pecuniaria di 15 milioni di euro — oltre a una campagna di comunicazione istituzionale come sanzione accessoria — per una serie di violazioni del GDPR connesse al funzionamento di ChatGPT. Il provvedimento del Garante è stato rimosso dal sito istituzionale a seguito della sentenza. La reazione di molte imprese? Un sospiro di sollievo. Spesso ingiustificato.
Perché il Tribunale di Roma ha annullato la multa da 15 milioni a OpenAI?
Il Tribunale ha annullato la sanzione senza affrontare nel merito le contestazioni del Garante — relative alla base giuridica del trattamento, alla trasparenza informativa, alla verifica dell'età degli utenti e alla notifica di un data breach — accogliendo il primo motivo di ricorso di OpenAI, ossia le censure sulla competenza dell'autorità italiana.
Il cardine della decisione è il meccanismo del cosiddetto one-stop-shop, o sportello unico. Il cuore della decisione risiede nell'interpretazione degli articoli 55, 56 e 60 del GDPR, che disciplinano il sistema introdotto dal legislatore europeo per evitare frammentazioni e sovrapposizioni tra autorità nazionali: nei trattamenti transfrontalieri la competenza principale spetta all'autorità di controllo dello Stato membro in cui si trova lo stabilimento principale del titolare del trattamento.
Il cambio di scenario era avvenuto nelle more del procedimento: OpenAI aveva costituito la propria controllata irlandese il 24 marzo 2023 e aveva ricevuto il 15 febbraio 2024 la comunicazione formale dall'Irish Data Protection Commission di riconoscimento di OpenAI Ireland quale stabilimento UE ai fini del GDPR. Il provvedimento sanzionatorio era però arrivato soltanto in novembre 2024 — nove mesi dopo.
In altri termini: il Garante italiano aveva avviato legittimamente l'istruttoria quando OpenAI non aveva ancora una sede europea riconosciuta, ma aveva irrogato la sanzione quando quella competenza era già migrata formalmente in Irlanda. La sentenza, dunque, non considera lo sportello unico come un mero strumento organizzativo, ma come una regola sostanziale di riparto della funzione di controllo, strettamente connessa agli obiettivi del Regolamento.
Qui si annida il profilo più delicato e controverso dell'intera vicenda: la difesa del Garante aveva sostenuto che lo sportello unico opererebbe solo per le violazioni in corso o continuate, e non per quelle già concluse prima del riconoscimento della sede irlandese. Il Tribunale ha respinto questa lettura, con un'interpretazione che non è unanimemente condivisa in dottrina e che, in assenza delle motivazioni complete, lascia ancora aperte domande importanti. Tempus regit actum: il momento rilevante, secondo il giudice, è quello della adozione del provvedimento sanzionatorio, non quello in cui la condotta è iniziata. Una scelta interpretativa con conseguenze sistemiche di cui non si è ancora misurata appieno la portata.
Cosa cambia per le aziende italiane che usano ChatGPT dopo la sentenza?
Meno di quanto si pensi. Ed è questo il punto che molti commentatori hanno omesso.
La sentenza riguarda esclusivamente il provvedimento sanzionatorio del Garante italiano. Non modifica il GDPR né gli obblighi delle aziende che usano strumenti di AI generativa. I rilievi tecnici GDPR, che il Garante aveva sollevato nel merito, restano validi come guida operativa.
Le violazioni contestate a OpenAI — mancanza di base giuridica per l'addestramento dei modelli, assenza di trasparenza verso utenti e non-utenti, insufficienza dei sistemi di verifica dell'età — non sono state dichiarate inesistenti. Sono semplicemente rimaste senza esame. L'istruttoria prosegue ora davanti alla Data Protection Commission irlandese. E i principi che quelle contestazioni incarnano continuano ad applicarsi alle imprese italiane nella loro veste di titolari del trattamento quando usano sistemi di AI generativa per elaborare dati personali dei propri clienti, dipendenti o fornitori.
A rendere lo scenario ancora più denso è l'attività del legislatore europeo. Durante la plenaria dell'8 luglio 2026, il Comitato europeo per la protezione dei dati ha adottato due nuove serie di linee guida destinate ad assumere un ruolo centrale nell'applicazione del GDPR ai sistemi di intelligenza artificiale: le Linee guida 02/2026 sull'anonimizzazione e le Linee guida 03/2026 sul web scraping nel contesto dell'intelligenza artificiale generativa. L'EDPB ribadisce che il fatto che le informazioni siano pubblicamente accessibili non esclude l'applicazione del GDPR quando vengono trattati dati personali; di conseguenza, le attività di raccolta, conservazione e utilizzo dei dati devono rispettare i principi del Regolamento, tra cui la limitazione delle finalità, la minimizzazione dei dati, la trasparenza e l'individuazione di un'idonea base giuridica del trattamento.
Le nuove linee guida toccano il nucleo stesso della questione relativa a quando un dato esce dall'ambito di applicazione del GDPR e quando, invece, vi rimane soggetto; il precedente punto di riferimento era rappresentato dal Parere 05/2014 del Gruppo di lavoro ex Articolo 29 — un documento ormai datato, in un contesto tecnologico radicalmente mutato.
Per un'impresa italiana, questo si traduce in obblighi concreti che non dipendono dall'esito del contenzioso tra Garante e OpenAI: deve valutare la base giuridica del proprio trattamento ogni volta che immette dati personali in un sistema di AI generativa; deve verificare che l'eventuale Data Processing Agreement stipulato con il fornitore sia aggiornato e contempli i nuovi requisiti; deve condurre una DPIA quando il trattamento presenta rischi elevati per i diritti degli interessati; deve formare il personale.
Qual è la differenza tra Garante italiano e autorità capofila nel GDPR?
Il cuore del meccanismo è disciplinato dagli artt. 55, 56 e 60 del GDPR: per i trattamenti transfrontalieri l'unica autorità «competente ad agire» è quella dello stabilimento principale o unico del titolare nell'Unione, che opera come autorità di controllo capofila e unico punto di contatto, in cooperazione con le autorità interessate.
L'Irlanda è la sede europea di quasi tutti i grandi gruppi tecnologici americani: Meta, Google, Apple, Microsoft, LinkedIn. Il GDPR prevede che l'autorità del Paese in cui si trova la sede principale sia competente per i trattamenti transfrontalieri. Questo ha reso la DPC irlandese il regolatore di fatto dell'intero ecosistema Big Tech in Europa.
Il Garante italiano conserva tuttavia poteri propri, non azzerati dal meccanismo dello sportello unico: può ricevere reclami di interessati residenti in Italia, può avviare procedimenti per violazioni che abbiano effetti esclusivamente locali, e può partecipare al procedimento di cooperazione con l'autorità capofila come «autorità interessata» ai sensi dell'art. 60 GDPR. Il Garante italiano ha cercato di posizionarsi come un'autorità attiva in un panorama europeo in cui altre autorità si sono mostrate più conservative; tuttavia, l'annullamento della sanzione potrebbe indebolirne l'autorevolezza e la capacità di enforcement.
Qui si apre la criticità più seria, e più trascurata nel dibattito pubblico: la sentenza del Tribunale di Roma crea un precedente che potrebbe essere invocato da qualsiasi operatore extraeuropeo che abbia costituito, anche tardivamente, una sede nell'Unione, per contestare la competenza di autorità nazionali diverse da quella capofila. Se letto in modo espansivo, il ragionamento del giudice Colla potrebbe ridurre significativamente la capacità di enforcement dei Garanti nazionali nei confronti dei grandi fornitori di AI. Il messaggio che emerge dalla sentenza è chiaro: nei procedimenti transfrontalieri il rispetto delle regole sulla competenza non costituisce un profilo meramente formale, ma rappresenta una garanzia essenziale per l'uniformità applicativa del GDPR e per la certezza del diritto nell'ecosistema digitale europeo. Ma garanzia per chi? La risposta non è neutra.
Cosa deve fare concretamente un'impresa che usa AI generativa
Il rischio sottovalutato, che questo articolo vuole segnalare con chiarezza, è il seguente: molte imprese italiane stanno interpretando la sentenza Roma-OpenAI come un segnale di minore pressione regolatoria. È una lettura sbagliata, e potenzialmente costosa.
Il Garante italiano, proprio per compensare la perdita di terreno nel controllo diretto sui grandi fornitori, sta intensificando l'attenzione sui titolari del trattamento locali, cioè sulle imprese italiane che quei servizi usano. Controllare il DPA con il fornitore di AI, documentare la DPIA, verificare la base giuridica del trattamento e aggiornare il Registro delle attività di trattamento non sono adempimenti bypassabili per effetto della sentenza di marzo. Sono obblighi che gravano sull'azienda in quanto titolare, indipendentemente da chi produce il modello.
In particolare, l'impresa deve: verificare che il proprio DPA con OpenAI — o con qualsiasi altro fornitore di AI generativa — sia stipulato con la controllata irlandese e includa le garanzie aggiornate; valutare se il trattamento effettuato tramite strumenti di AI rientra nelle fattispecie che richiedono una DPIA ai sensi dell'art. 35 GDPR; assicurarsi che i dipendenti siano informati e che l'uso degli strumenti AI sia disciplinato da una policy interna aggiornata; tenere monitorati gli sviluppi dell'istruttoria DPC irlandese, i cui esiti potranno tradursi in prescrizioni applicabili in tutta l'Unione.
Le Linee Guida dell'EDPS del 28 ottobre 2025 hanno introdotto un principio dirompente: le categorie tecniche dell'AI Act — provider, developer, deployer — non trovano corrispondenza automatica nelle figure giuridiche del GDPR. Questo disallineamento impone una riflessione profonda sulla distribuzione delle responsabilità nel trattamento dei dati personali. Per l'impresa che usa ChatGPT in azienda, questo significa che il confine tra semplice utilizzatore e co-titolare del trattamento può spostarsi in modo imprevisto, a seconda di come vengono configurati i parametri d'uso, di quali dati vengono immessi e di quali finalità vengono perseguite.
La sentenza Trib. Roma n. 4153/2026 non chiude la questione GDPR per l'AI generativa. La riapre — su un piano più ampio, europeo, e in definitiva più impegnativo per tutti. La partita si è spostata a Dublino, ma le conseguenze si giocano in ogni ufficio italiano che oggi usa un modello linguistico.
Redazione - Staff Studio Legale MP
