محكمة روما تلغي غرامة قدرها 15 مليون يورو فرضتها Garante على OpenAI لأسباب تتعلق بالاختصاص القضائي

في 18 مارس 2026، ألغت محكمة روما كليًا قرار هيئة حماية البيانات الإيطالية ضد OpenAI: غرامة قدرها 15 مليون يورووأمرًا يلزم الشركة بتنفيذ حملة إعلامية عامة لمدة ستة أشهر حول كيفية تدريب ChatGPT على البيانات الشخصية. لم تخلص المحكمة إلى أن OpenAI امتثلت للائحة GDPR، بل وجدت أن الغارانتي — Autorità Garante per la Protezione dei Dati Personali — لم يعد هو الهيئة المخولة باتخاذ القرار. وكان الأساس هو الاختصاص — وهي نقطة لم تشرحها المحكمة في ذلك اليوم، ولم تتضح إلا عند نشر الحيثيات الكاملة للحكم في 28 مايو 2026 — وقد ارتكزت على تاريخ: كانت اللجنة الأيرلندية لحماية البيانات قد اعترفت بـ OpenAI Ireland Ltd باعتبارها المنشأة الوحيدة للشركة في المنطقة الاقتصادية الأوروبية في 15 فبراير 2024، أي قبل ثمانية أشهر ونصف من القرار النهائي للغارانتي، وبموجب آلية النافذة الواحدة في GDPR كان ينبغي أن يكون الملف قد أصبح في دبلن بحلول ذلك الحين. أفادت Reuters بالحكم في 19 مارس 2026، وأشارت إلى أن المحكمة لم تنشر أي توضيح في ذلك الوقت؛ وامتنع الغارانتي عن التعليق. وتوجد درجة الخطورة الخاصة بهذا السجل وتقييم الثقة وقائمة المصادر الكاملة في Orca AI Incident Archive، إلى جانب المدخلات التنظيمية الأوروبية الأخرى المسجلة حوله.

ما الذي أُبطل، وما لم تقله المحكمة

القرار المعني هو قرار Garante provvedimento n. 755 الصادر في 2 نوفمبر 2024، المنشور في 20 ديسمبر 2024. وقد خلص إلى أن OpenAI لم تُخطر السلطة بخرق للبيانات الشخصية تعرضت له في مارس 2023، وكانت قد عالجت البيانات الشخصية للمستخدمين لتدريب ChatGPT دون أن تحدد أولاً أساساً قانونياً مناسباً، وانتهكت التزامات الشفافية والإعلام المنصوص عليها في GDPR، ولم تضع أي آلية للتحقق من العمر، مما أدى — على حد تعبير Garante — إلى أن الأطفال دون سن 13 كانوا معرضين لخطر التعرض لردود غير مناسبة لمرحلة نموهم.

كان مبلغ 15 مليون يورو، بحسب ما أفادت به Garante نفسها، محسوبًا "مع الأخذ في الاعتبار أيضًا الموقف التعاوني للشركة". أما الجزء الأكثر غرابة في القرار فكان الأمر الثاني. ولأول مرة، وباستخدام المادة 166(7) من قانون الخصوصية الإيطالي، طلبت السلطة حملة مؤسسية لمدة ستة أشهر عبر الإذاعة والتلفزيون والصحف والإنترنت، تُتفق محتوياتها مع السلطة، وتستهدف مستخدمي ChatGPT وغير المستخدمين على حد سواء، وتشرح كيف جُمعت بياناتهم للتدريب وكيف يمكنهم الاعتراض عليها أو تصحيحها أو محوها.

في 18 مارس 2026، ألغت المحكمة ذلك القرار بكامله. ولم تُبدِ أي أسباب في ذلك اليوم. وتلقّت Garante الحكم في 19 مارس، ولم تصبح حيثيات الحكم الكاملة متاحة للعموم إلا في 28 مايو 2026، وفقًا لما يسجّله Theodore Christakis وGiulio Monga في European Law Blog. وكان رد OpenAI، الذي صدر إلى Reuters، أنها رحّبت بالقرار، وأنها "ظلّت ملتزمة دائمًا باحترام خصوصية المستخدمين"، وتتطلع إلى مساعدة المزيد من الإيطاليين والشركات والمجتمع على الاستفادة من الذكاء الاصطناعي. ولم يصدر عن Garante أي تعليق.

ثلاثة أسابيع، ثم ثمانية أشهر ونصف

التسلسل الزمني هو الفيصل في القضية. باشرت Garante إجراءاتها الخاصة بفرض الجزاء في 26 يناير 2024. وفي 15 فبراير 2024 — بعد نحو ثلاثة أسابيع — اعترفت المفوضية الأيرلندية لحماية البيانات رسميًا بشركة OpenAI Ireland Ltd باعتبارها المنشأة الوحيدة لـ OpenAI في المنطقة الاقتصادية الأوروبية. واعتمدت Garante قرارها النهائي في 2 نوفمبر 2024، بعد نحو ثمانية أشهر ونصف من ذلك الاعتراف.

هذا التمييز بين التأسيس والاعتراف مهم. تأسست OpenAI Ireland Ltd في 24 مارس 2023، لكن "المنشأة الواحدة" مفهوم مستقل في قانون حماية البيانات في الاتحاد الأوروبي، ويقوم على الممارسة الفعلية والحقيقية للنشاط من خلال ترتيبات مستقرة؛ ولا يلزم أن يتطابق التاريخان. ما تغير في 15 فبراير 2024 لم يكن وجود شركة أيرلندية، بل الاعتراف بها لأغراض الشباك الواحد.

تمنح المادة 56(1) من GDPR السلطة الإشرافية التابعة للمنشأة الرئيسية أو الوحيدة للمتحكم اختصاصاً حصرياً على المعالجة العابرة للحدود، بوصفها السلطة الرائدة. واستندت محكمة روما إلى الرأي 8/2019 الصادر عن المجلس الأوروبي لحماية البيانات، ولا سيما القسم 4.3.2 منه بشأن إنشاء منشأة رئيسية أو وحيدة، أو نقلها من بلد ثالث إلى المنطقة الاقتصادية الأوروبية، في حين تكون الإجراءات الإدارية قيد النظر بالفعل. ووفقاً لهذا التفسير، يجوز أن ينتقل الاختصاص إلى السلطة الرائدة الجديدة في أي وقت إلى حين اعتماد قرار نهائي، ويتعين نقل أي إجراء قيد النظر معها.

كانت هيئة "Garante" قد توقّعت المشكلة وقسّمت الملف. ويُفيد بيانها الصحفي الصادر في ديسمبر 2024 بأنه، لأن OpenAI أنشأت مقرها الأوروبي في أيرلندا أثناء التحقيق، فإن الهيئة "أحالت الوثائق الإجرائية إلى هيئة حماية البيانات الأيرلندية (DPC)، التي أصبحت السلطة الإشرافية الرئيسية بموجب اللائحة العامة لحماية البيانات (GDPR) لمواصلة التحقيق في أي انتهاكات مستمرة لم تكن قد استُنفدت قبل افتتاح المقر الأوروبي". والتوصيف هو توصيف "Garante" نفسها: فقد أبقَت ما اعتبرته منتهيًا، وأحالت ما اعتبرته مستمرًا. ورأت المحكمة أن هذا التقسيم لم يكن متاحًا لها.

الكلمة التي دار عليها الحكم

يكاد النزاع بأكمله يختزل إلى الفقرة 16 من الرأي 8/2019، التي تقول إن المسائل التي جرى فحصها في الرأي "تتعلق بالأساس بمخالفات ذات طبيعة مستمرة أو متواصلة". وقد قرأ Garante ذلك على أنه قيد: فمنطق النقل صُمم للمخالفات المستمرة، ولم يكن ليمتد إلى سلوك اكتمل بالفعل قبل وجود أي منشأة في المنطقة الاقتصادية الأوروبية. أما OpenAI فقد قرأت "بالأساس" على أنها وصفية لا حصرية. وقد وافقت المحكمة OpenAI، وقضت بأن "بالأساس" تحدد نوع القضية التي تثار فيها المسألة في أغلب الأحيان، ولا تستبعد انطباق المنطق نفسه على المخالفات المكتملة حيث لا يزال الإجراء معلقًا ولم يُتخذ قرار نهائي.

كان خيار Garante الاحتياطي هو مبدأ القانون المدني الإيطالي المتمثل فيtempus regit actum — أي أن القانون الساري في ذلك الوقت هو الذي يحكم. ورفضت المحكمة ذلك استنادًا إلى الوقائع: فقد كان هذا تعاقبًا للوقائع، لا تعاقبًا للقوانين. واللحظة الحاسمة، وفقًا لمنطق الحكم، ليست تاريخ المخالفة ولا تاريخ فتح التحقيق، بل تاريخ اعتماد القرار النهائي. وبعد تلك النقطة يصبح الاختصاص ثابتًا.

لم يتم التطرق إلى موضوع الدعوى قط

أيّدت المحكمة وجه الاستئناف الأول، وهو انعدام الاختصاص، واعتبرت كل وجه آخر "مستوعبًا". ولم تبتّ في الأساس القانوني للتدريب، ولا في الشفافية، ولا في التحقق من العمر، ولا في الإخطار المتأخر بالانتهاك. ولم تقل شيئًا عمّا إذا كان مبلغ 15 مليون يورو متناسبًا. وتظل هذه الأسئلة رسميًا دون إجابة.

هذه هي النقطة التي يسهل أكثر من غيرها أن تضيع في التغطية. وكما صاغتها الشركة الإيطالية Rödl & Partner في مذكرة بتاريخ يونيو 2026، فإن الحكم «لا ينبغي قراءته على أنه ضوء أخضر موضوعي لممارسات OpenAI: فهو مجرد نقل للاختصاص إلى السلطة الإشرافية المختصة». ولا يسجّل مدخل الأرشيف أي ضرر واقعي لهذه الحادثة، وهو ما يتسق مع قضية دارت حول من يحق له أن يقرر لا حول ضرر مثبت لأشخاص محددين الهوية.

ما إذا كان للملف موطن في دبلن

إن الاعتراض الأكثر جوهرية على الحكم هو أن الجهة المحال إليها قد لا تكون قادرة هي الأخرى على الفصل في القضية. يرى كريستاكيس ومونغا، في مقال لهما في European Law Blog بتاريخ 4 يونيو 2026 بعنوان "التأسيس أولًا، ثم الهروب؟"، أن قراءة المحكمة تفضي إلى فراغ في الإنفاذ لا إلى تغيير في مكان التقاضي. ومثالهما الملموس هو الإخطار بالانتهاك. فقد وقع الانتهاك في 20 مارس 2023، واستحق واجب إخطار Garante بعد اثنتين وسبعين ساعة، حين لم يكن لدى OpenAI أي منشأة في الاتحاد الأوروبي ولم تكن OpenAI Ireland Ltd قد تأسست بعد. وقد صنّفت Garante ذلك الانتهاك بوصفه مستنفدًا واحتفظت به لنفسها؛ وعلى منطق المحكمة، يسقط القرار بأكمله، بما في ذلك تلك التهمة. ويرى المؤلفان أنه من الصعب تصور كيف يمكن للسلطة الأيرلندية، التي جاء اختصاصها لاحقًا ومستمدًا من منشأة لم تكن موجودة عندما نشأ الواجب، أن تبت في إخطار مستحق لـ Garante بشأن أصحاب بيانات إيطاليين.

يحرصون على مراعاة حدود تلك الحجة، وينبغي للقارئ أن يفعل المثل. ويسجّلون الموقف المخالف — بأن اللائحة العامة لحماية البيانات (GDPR) أداة واحدة على مستوى الاتحاد، وبالتالي فإن أي سلطة تصبح سلطة رئيسية يجوز لها إنفاذها أيًّا كان وقت نشوء الوقائع — ويصفون المسألة بأنها قابلة للجدال. ويلاحظون أنهم لا يعلمون بأي حكم سابق لمحكمة وطنية يطبّق القسم 4.3.2 من الرأي 8/2019، وأن هذا حكم من الدرجة الأولى صادر عن قاضٍ منفرد، وأن نطاق المادة 56 على السلوك السابق للتأسيس يبدو لهم غير محسوم بدلًا من أن يكون واضحًا. وتوصيتهم هي إحالة تمهيدية إلى محكمة العدل بموجب المادة 267 من معاهدة عمل الاتحاد الأوروبي.

ليست فجوة الإنفاذ مجرد تنبؤ فقهي. فقد سجّل Theodore Christakis، في مقال له على Cross-Border Data Forum بعد يوم من الحكم، أنه لم تنشر أي سلطة أوروبية أخرى لحماية البيانات قرار إنفاذ نهائيًا بشأن انتهاكات GDPR خلال فترة إطلاق ChatGPT من نوفمبر 2022 إلى مارس 2023، وأن تقرير فريق عمل EDPB المعني بـ ChatGPT الصادر في مايو 2024 لم يتضمن سوى آراء أولية. وعلى هذا الأساس، فإن قرار الإنفاذ النهائي الوحيد بشأن GDPR الذي أنتجته أوروبا خلال فترة إطلاق الذكاء الاصطناعي التوليدي قد أُبطل الآن.

ما الذي تغيّر بعد 18 مارس

كانت الغرامة قد عُلّقت بالفعل. وفي 21 مارس 2025، علّقت المحكمة نفسها نفاذ الجزاء ريثما يصدر الحكم، رهناً بتقديم ضمان — وهو cauzione، أي وديعة ضمان، في رواية ألتالكس للأمر. ولم يمسّ ذلك التعليق الأسس الموضوعية، ولا الإلغاء بعد عام كذلك.

لم تحذف Garante القضية من سجلها، وإنما وضعتها جانبًا. فصفحة البيان الصحفي الخاصة بالقرار 755 تحمل الآن إشعارًا بأن القرار «أُزيل مؤقتًا من الموقع الإلكتروني لهيئة Garante» عقب الحكم رقم 4153/2026. والكلمة كلمة السلطة نفسها: مؤقتًا.

في ما يتعلق بمسألة الاستئناف، فإن المصادر متسقة لكنها غير مكتملة. يشير كريستاكيس ومونغا إلى أن Garante قد يستأنف بعد ذلك أمام Corte di Cassazione. سجّل Cross-Border Data Forum في 19 مارس 2026 أنه، نظرًا لأن حيثيات القرار لم تكن قد نُشرت، لم تكن السلطة آنذاك في وضع يسمح لها بالقول ما إذا كانت ستستأنف. وفي المصادر التي راجعناها لهذه المقالة، لم نعثر على أي تقرير عن إيداع طعن منذ ذلك الحين، ولا على أي قرار نهائي من Irish Data Protection Commission بشأن الملف المحوّل. ولا يُعد غياب أي منهما دليلًا على أن شيئًا لم يحدث؛ بل يعني كلاهما أن النتيجة لم تُحسم بعد.

ثابت، ومُجادَل فيه، ومفتوح

• المقرر: أن الحكم رقم 4153/2026 الصادر في 18 مارس 2026 ألغى القرار رقم 755 الصادر في 2 نوفمبر 2024 بالكامل، وأزال غرامة قدرها 15 مليون يورو وأمرًا بحملة إعلامية لمدة ستة أشهر؛ وأن منطوق الحكم تُلي ذلك اليوم دون تعليل؛ وأن الأسباب المنشورة تستند إلى آلية الشباك الواحد، واعتراف DPC بـ OpenAI Ireland Ltd في 15 فبراير 2024، ورأي EDPB رقم 8/2019.

• موضع الجدل: حول ما إذا كان يجوز على نحو سليم نقل ملف معلّق إلى سلطة يأتي اختصاصها بعد السلوك محل النزاع. قالت المحكمة نعم؛ ويقول كريستاكيس ومونغا إن هذا التفسير يجعل السلوك السابق للتأسيس غير قابل للإنفاذ، ويريدان أن تبت محكمة العدل فيه؛ في المقابل، تصف Rödl & Partner وICT Legal Consulting الحكم بأنه يوضح كيفية انطباق نظام النافذة الواحدة على تغيير التأسيس في منتصف الإجراء.

• مفتوح: ما إذا كان الغارانتي يرفع القضية إلى Corte di Cassazione، وما إذا كانت أي محكمة تحيلها إلى لوكسمبورغ، وما إذا كانت السلطة الأيرلندية تتوصل يومًا إلى قرار بشأن الجزء من الملف الذي تلقتته.

لقد ذهب مبلغ 15 مليون يورو. أما السؤال الذي أثارته القضية — من يحق له في أوروبا محاسبة مزوّد ذكاء اصطناعي توليدي بموجب GDPR عن الفترة التي سبقت وجود كيان أوروبي له — فقد انتقل ببساطة إلى مكتب آخر.