El Tribunal de Roma anula por motivos de jurisdicción la multa de 15 millones de euros impuesta por el Garante a OpenAI

El 18 de marzo de 2026, el Tribunal de Roma anuló, en su totalidad, la decisión de la autoridad italiana de protección de datos contra OpenAI: una multa de 15 millones de euros y una orden que obligaba a la empresa a llevar a cabo una campaña de información pública de seis meses sobre cómo se entrena ChatGPT con datos personales. El tribunal no determinó que OpenAI hubiera cumplido el RGPD. Concluyó que el Garante —la Autorità Garante per la Protezione dei Dati Personali— ya no era la autoridad competente para decidir. El motivo fue la jurisdicción —un punto que el tribunal no explicó ese día y que solo quedó claro cuando se publicaron los fundamentos completos el 28 de mayo de 2026—, y dependió de una fecha: la Comisión de Protección de Datos de Irlanda había reconocido a OpenAI Ireland Ltd como el establecimiento único de la empresa en el Espacio Económico Europeo el 15 de febrero de 2024, ocho meses y medio antes de la decisión final del Garante, y, según el mecanismo de ventanilla única del RGPD, para entonces el expediente ya debería haber estado en Dublín. Reuters informó de la sentencia el 19 de marzo de 2026 y señaló que el tribunal no dio ninguna explicación en ese momento; el Garante declinó hacer comentarios. La calificación de gravedad, el nivel de confianza y la lista completa de fuentes del registro se encuentran en el Orca AI Incident Archive, junto con las demás entradas regulatorias europeas registradas en torno a él.

Qué se anuló y qué no dijo el tribunal

La decisión en cuestión es el provvedimento n. 755 del Garante, de 2 de noviembre de 2024, publicado el 20 de diciembre de 2024. En ella se concluyó que OpenAI no había notificado a la autoridad una violación de datos personales sufrida en marzo de 2023, que había tratado datos personales de los usuarios para entrenar ChatGPT sin haber identificado previamente una base jurídica adecuada, que había incumplido las obligaciones de transparencia e información del RGPD y que no había implantado ningún mecanismo de verificación de edad, con el resultado —en palabras del Garante— de que los menores de 13 años corrían el riesgo de quedar expuestos a respuestas inapropiadas para su etapa de desarrollo.

La cifra de 15 millones de euros fue, según el propio Garante, calculada "teniendo en cuenta también la actitud cooperativa de la empresa". La parte más inusual de la decisión fue la segunda orden. Utilizando por primera vez el artículo 166(7) del Código de Privacidad italiano, la autoridad exigió una campaña institucional de seis meses en radio, televisión, periódicos e internet, cuyos contenidos debían acordarse con la autoridad, dirigida tanto a usuarios como a no usuarios de ChatGPT y que explicara cómo se recopilaban sus datos para el entrenamiento y cómo oponerse, rectificarlos o suprimirlos.

El 18 de marzo de 2026, el tribunal anuló esa decisión en su totalidad. Ese día no expuso ningún razonamiento. El Garante recibió la sentencia el 19 de marzo, y los fundamentos completos solo se hicieron públicos el 28 de mayo de 2026, según recogen Theodore Christakis y Giulio Monga en el European Law Blog. La respuesta de OpenAI, enviada a Reuters, fue que acogía favorablemente la decisión, que «siempre se ha comprometido a respetar la privacidad de los usuarios» y que esperaba ayudar a que más personas, empresas y la sociedad italiana se beneficien de la IA. El Garante no hizo comentarios.

Tres semanas, luego ocho meses y medio

La cronología es la clave. El Garante abrió su procedimiento sancionador el 26 de enero de 2024. El 15 de febrero de 2024 —aproximadamente tres semanas después— la Comisión Irlandesa de Protección de Datos reconoció formalmente a OpenAI Ireland Ltd como el único establecimiento de OpenAI en el EEE. El Garante adoptó su decisión final el 2 de noviembre de 2024, unos ocho meses y medio después de ese reconocimiento.

Esa distinción entre constitución y reconocimiento es importante. OpenAI Ireland Ltd se constituyó el 24 de marzo de 2023, pero el "establecimiento único" es un concepto autónomo del Derecho de protección de datos de la UE, que depende del ejercicio efectivo y real de la actividad mediante acuerdos estables; no es necesario que ambas fechas coincidan. Lo que cambió el 15 de febrero de 2024 no fue la existencia de una sociedad irlandesa, sino su reconocimiento a efectos de la ventanilla única.

El artículo 56, apartado 1, del RGPD confiere a la autoridad de control del establecimiento principal o único del responsable una competencia exclusiva sobre el tratamiento transfronterizo, actuando como autoridad principal. El Tribunal de Roma se basó en el Dictamen 8/2019 del Comité Europeo de Protección de Datos y, en particular, en su sección 4.3.2, relativa a la creación de un establecimiento principal o único, o a su traslado desde un tercer país al EEE, mientras ya está en curso un procedimiento administrativo. Según esa interpretación, la competencia puede pasar a la nueva autoridad principal en cualquier momento hasta que se haya adoptado una decisión final, y todo procedimiento pendiente debe transferirse con ella.

El Garante había previsto el problema y dividió el expediente. Su comunicado de prensa de diciembre de 2024 afirma que, dado que OpenAI había establecido su sede europea en Irlanda durante la investigación, la autoridad "remitió los documentos procedimentales a la Autoridad de Protección de Datos de Irlanda (DPC), que pasó a ser la autoridad de control principal en virtud del RGPD a fin de seguir investigando cualquier infracción en curso que no se hubiera agotado antes de la apertura de la sede europea". La calificación es del propio Garante: se quedó con lo que consideró terminado y remitió lo que consideró en curso. El tribunal sostuvo que esa división no estaba a su disposición.

La palabra de la que dependía la sentencia

Casi toda la controversia se reduce al párrafo 16 del Dictamen 8/2019, que afirma que las cuestiones examinadas en el Dictamen «se refieren principalmente a infracciones de naturaleza continuada o continua». El Garante interpretó eso como un límite: la lógica de la transferencia se concibió para infracciones continuadas y no podía alcanzar conductas ya finalizadas antes de que existiera cualquier establecimiento en el EEE. OpenAI interpretó «principalmente» como descriptivo y no exclusivo. El tribunal dio la razón a OpenAI y sostuvo que «principalmente» identifica el tipo de caso en el que la cuestión surge con más frecuencia y no excluye que la misma lógica se aplique a infracciones consumadas cuando el procedimiento sigue pendiente y no se ha adoptado una decisión definitiva.

El argumento subsidiario del Garante era el principio del Código Civil italiano de tempus regit actum — que la ley vigente en el momento rige. El tribunal lo desestimó atendiendo a los hechos: se trataba de una sucesión de hechos, no de una sucesión de leyes. El momento decisivo, según la lógica de la sentencia, no es ni la fecha de la infracción ni la fecha de apertura de la investigación, sino la fecha de adopción de la decisión final. A partir de ese momento, la competencia queda fijada.

Nunca se llegó a examinar el fondo.

El tribunal estimó el primer motivo de apelación, la falta de competencia, y declaró «absorbidos» todos los demás motivos. No se pronunció sobre la base jurídica del entrenamiento, sobre la transparencia, sobre la verificación de edad ni sobre la notificación tardía de la brecha. No dijo nada sobre si 15 millones de euros era proporcionado. Esas cuestiones siguen sin respuesta formal.

Ese es el punto que más fácilmente se pierde en la cobertura. Como lo expresó la empresa italiana Rödl & Partner en una nota de junio de 2026, la sentencia "no debe interpretarse como una luz verde sustantiva para las prácticas de OpenAI: solo es una transferencia de competencia a la autoridad supervisora correspondiente". La entrada del archivo no registra ningún daño real para este incidente, lo que concuerda con un caso que giró en torno a quién puede decidir y no a un perjuicio establecido a personas identificadas.

Si el archivo tiene cabida en Dublín

La objeción más sustancial a la sentencia es que el cesionario tal vez tampoco pueda decidir el caso. Christakis y Monga, en el European Law Blog el 4 de junio de 2026, con el título «¿Establecerse y luego escapar?», sostienen que la interpretación del tribunal produce una laguna de ejecución en lugar de un cambio de foro. Su ejemplo concreto es la notificación de la violación. La violación se produjo el 20 de marzo de 2023 y el deber de notificar al Garante vencía setenta y dos horas después, cuando OpenAI no tenía ningún establecimiento en la UE y OpenAI Ireland Ltd aún no se había constituido. El Garante clasificó esa infracción como consumada y se la reservó para sí; según la lógica del tribunal, toda la decisión, incluido ese cargo, decae. Los autores sostienen que resulta difícil ver cómo la autoridad irlandesa, cuya competencia es posterior y deriva de un establecimiento que no existía cuando surgió el deber, podría resolver una notificación debida al Garante respecto de interesados italianos.

Son conscientes de los límites de ese argumento, y el lector también debería serlo. Dejan constancia de la posición contraria —que el RGPD es un instrumento único de toda la Unión, por lo que cualquier autoridad que pase a ser principal podrá aplicarlo siempre que los hechos hayan acaecido— y consideran que la cuestión es discutible. Señalan que no tienen conocimiento de ninguna resolución anterior de un tribunal nacional que aplique la sección 4.3.2 del Dictamen 8/2019, que se trata de una sentencia de primera instancia dictada por un único juez, y que el alcance del artículo 56 sobre la conducta anterior al establecimiento les parece más incierto que claro. Su recomendación es plantear una remisión prejudicial al Tribunal de Justicia con arreglo al artículo 267 del TFUE.

La brecha de aplicación no es solo una predicción doctrinal. Theodore Christakis, escribiendo en el Cross-Border Data Forum al día siguiente del fallo, señaló que ninguna otra autoridad europea de protección de datos ha publicado una decisión final de aplicación relativa a infracciones del RGPD del período de lanzamiento de ChatGPT de noviembre de 2022 a marzo de 2023, y que el informe del grupo de trabajo sobre ChatGPT del EDPB de mayo de 2024 contenía solo opiniones preliminares. Por esa razón, la única decisión final de aplicación del RGPD que Europa produjo durante el período de lanzamiento de la IA generativa ahora ha sido anulada.

¿Qué cambió después del 18 de marzo?

La multa ya había sido suspendida. El 21 de marzo de 2025, el mismo tribunal suspendió los efectos de la sanción a la espera de la sentencia, con sujeción a una garantía —una caución, o depósito de garantía, según la versión de Altalex del auto. Esa suspensión no afectó al fondo del asunto, y la anulación un año después tampoco.

El Garante no ha eliminado tanto el caso de su registro como lo ha dejado de lado. Su página de comunicados de prensa para la decisión 755 ahora incluye un aviso de que la decisión «fue retirada temporalmente del sitio web del Garante» tras la sentencia n. 4153/2026. La palabra es de la autoridad: temporalmente.

En cuanto a la cuestión de la apelación, las fuentes son coherentes pero incompletas. Christakis y Monga señalan que el Garante aún podría recurrir ante la Corte di Cassazione. El Cross-Border Data Forum registró el 19 de marzo de 2026 que, como no se había publicado la motivación, la autoridad no estaba entonces en condiciones de decir si lo haría. En las fuentes revisadas para este artículo no encontramos ningún informe de una interposición posterior, ni una decisión final de la Comisión de Protección de Datos de Irlanda sobre el expediente transferido. Ninguna de las dos ausencias prueba que no haya ocurrido nada; ambas significan que el resultado aún no está cerrado.

Establecido, debatido y abierto

• Establecido:que la sentencia n.º 4153/2026, de 18 de marzo de 2026, anuló íntegramente la decisión n.º 755, de 2 de noviembre de 2024, dejando sin efecto una multa de 15 millones de euros y una orden de campaña mediática de seis meses; que la parte dispositiva se leyó ese día sin motivación; y que la motivación publicada se basa en la ventanilla única, el reconocimiento de OpenAI Ireland Ltd por parte de la DPC el 15 de febrero de 2024 y el Dictamen 8/2019 del EDPB.

• Se argumentó: si un expediente pendiente puede transferirse debidamente a una autoridad cuya competencia es posterior a la conducta en cuestión. El tribunal dijo que sí; Christakis y Monga afirman que esa interpretación deja la conducta previa al establecimiento sin posibilidad de ejecución y quieren que lo decida el Tribunal de Justicia; Rödl & Partner e ICT Legal Consulting describen, en cambio, la sentencia como una aclaración de cómo se aplica la ventanilla única a un cambio de establecimiento en mitad del procedimiento.

• Pendiente: si el Garante lleva el caso ante la Corte di Cassazione, si algún tribunal lo remite a Luxemburgo y si la autoridad irlandesa llega alguna vez a una decisión sobre la parte del expediente que recibió.

Los 15 millones de euros ya no están. La cuestión que planteó el caso —quién en Europa puede exigir responsabilidades a un proveedor de IA generativa en virtud del RGPD por el período anterior a contar con un establecimiento europeo— simplemente ha pasado a otro escritorio.