Le tribunal de Rome annule l'amende de 15 millions d'euros infligée par le Garante à OpenAI pour des motifs de compétence

Le 18 mars 2026, le tribunal de Rome a annulé intégralement la décision de l'autorité italienne de protection des données à l'encontre d'OpenAI : une amende de 15 millions d'euros et une injonction obligeant l'entreprise à mener une campagne d'information publique de six mois sur la manière dont ChatGPT est entraîné à partir de données personnelles. Le tribunal n'a pas jugé qu'OpenAI avait respecté le RGPD. Il a jugé que le Garante — l'Autorità Garante per la Protezione dei Dati Personali — n'était plus l'autorité habilitée à statuer. Le motif retenu était la compétence — un point que le tribunal n'a pas explicité le jour même, et qui n'est devenu clair qu'à la publication des motifs complets, le 28 mai 2026 — et il reposait sur une date : la Commission irlandaise de protection des données avait reconnu OpenAI Ireland Ltd comme l'établissement unique de l'entreprise dans l'Espace économique européen le 15 février 2024, soit huit mois et demi avant la décision finale du Garante, et, selon le mécanisme du guichet unique du RGPD, le dossier aurait dû se trouver à Dublin à cette date. Reuters a rapporté la décision le 19 mars 2026 et a noté que le tribunal n'avait publié aucune explication à l'époque ; le Garante a refusé de commenter. La note de gravité du dossier, son indice de confiance et la liste complète des sources figurent dans Orca AI Incident Archive, aux côtés des autres entrées réglementaires européennes classées autour d'elle.

Ce qui a été annulé, et ce que la Cour n’a pas dit

La décision en question est celle du Garanteprovvedimento n° 755 du 2 novembre 2024, publié le 20 décembre 2024. Il a constaté qu'OpenAI n'avait pas notifié à l'autorité une violation de données à caractère personnel subie en mars 2023, avait traité les données personnelles des utilisateurs pour entraîner ChatGPT sans avoir au préalable identifié une base légale adéquate, avait enfreint les obligations de transparence et d'information du RGPD et n'avait mis en place aucun mécanisme de vérification de l'âge, de sorte — selon les termes du Garante — que les enfants de moins de 13 ans risquaient d'être exposés à des réponses inadaptées à leur stade de développement.

Le chiffre de 15 millions d'euros était, de l'aveu même du Garante, calculé « en tenant compte également de l'attitude coopérative de l'entreprise ». La partie la plus inhabituelle de la décision était la seconde injonction. Utilisant pour la première fois l'article 166(7) du Code italien de la protection des données personnelles, l'autorité a exigé une campagne institutionnelle de six mois sur la radio, la télévision, les journaux et l'internet, dont le contenu devait être convenu avec l'autorité, destinée à la fois aux utilisateurs et aux non-utilisateurs de ChatGPT et expliquant comment leurs données avaient été collectées pour l'entraînement et comment s'y opposer, les rectifier ou les effacer.

Le 18 mars 2026, le tribunal a annulé cette décision dans son intégralité. Il n’a pas motivé sa décision ce jour-là. Le Garante a reçu le jugement le 19 mars, et les motifs complets n’ont été rendus publics que le 28 mai 2026, comme le rapportent Theodore Christakis et Giulio Monga dans le European Law Blog. La réponse d’OpenAI, communiquée à Reuters, indiquait qu’elle se félicitait de la décision, qu’elle avait « toujours été attachée au respect de la vie privée des utilisateurs » et qu’elle espérait pouvoir aider davantage d’Italiens, d’entreprises et la société italienne à bénéficier de l’IA. Le Garante n’a pas fait de commentaire.

Trois semaines, puis huit mois et demi

La chronologie est déterminante. Le Garante a ouvert sa procédure de sanction le 26 janvier 2024. Le 15 février 2024 — environ trois semaines plus tard — la Commission irlandaise de protection des données a formellement reconnu OpenAI Ireland Ltd comme l’établissement unique d’OpenAI dans l’EEE. Le Garante a adopté sa décision finale le 2 novembre 2024, environ huit mois et demi après cette reconnaissance.

Cette distinction entre constitution et reconnaissance est importante. OpenAI Ireland Ltd a été constituée le 24 mars 2023, mais l’« établissement unique » est une notion autonome du droit de l’Union en matière de protection des données, qui dépend de l’exercice effectif et réel d’une activité au moyen d’installations stables ; les deux dates n’ont pas besoin de coïncider. Ce qui a changé le 15 février 2024, ce n’est pas l’existence d’une société irlandaise, mais sa reconnaissance aux fins du guichet unique.

L'article 56, paragraphe 1, du RGPD confère à l'autorité de contrôle de l'établissement principal ou unique du responsable du traitement une compétence exclusive sur le traitement transfrontalier, en qualité d'autorité chef de file. Le tribunal de Rome s'est appuyé sur l'avis 8/2019 du Comité européen de la protection des données, et en particulier sur sa section 4.3.2 relative à la création d'un établissement principal ou unique, ou à son transfert depuis un pays tiers vers l'EEE, alors que des procédures administratives sont déjà pendantes. Selon cette lecture, la compétence peut basculer vers la nouvelle autorité chef de file à tout moment jusqu'à l'adoption d'une décision définitive, et toute procédure pendante doit être transférée avec elle.

Le Garante avait anticipé le problème et divisé le dossier. Son communiqué de presse de décembre 2024 indique que, parce qu’OpenAI avait établi son siège européen en Irlande pendant l’enquête, l’autorité « a transmis les documents de procédure à l’Irish Data Protection Authority (DPC), devenue autorité de contrôle chef de file au titre du RGPD afin de continuer à enquêter sur les infractions en cours qui n’avaient pas été épuisées avant l’ouverture du siège européen ». Cette qualification est propre au Garante : il a conservé ce qu’il considérait comme terminé et transmis ce qu’il considérait comme en cours. Le tribunal a jugé que cette division ne lui était pas permise.

Le mot sur lequel le jugement s'est joué

Presque tout le litige se réduit au paragraphe 16 de l’avis 8/2019, qui indique que les questions examinées dans l’avis « concernent principalement des infractions de nature continue ou continuée ». Le Garante y a vu une limite : la logique du transfert avait été conçue pour les infractions continues et ne pouvait atteindre un comportement déjà accompli avant l’existence de tout établissement dans l’EEE. OpenAI a lu « principalement » comme descriptif plutôt qu’exclusif. La cour a donné raison à OpenAI, jugeant que « principalement » identifie le type d’affaire dans lequel la question se pose le plus souvent et n’exclut pas que la même logique s’applique à des infractions achevées lorsque la procédure est encore pendante et qu’aucune décision définitive n’a été prise.

La solution de repli du Garante était le principe du Code civil italien du tempus regit actum — selon lequel la loi en vigueur au moment des faits s’applique. La cour l’a écarté au vu des faits : il s’agissait d’une succession de faits, non d’une succession de lois. Le moment décisif, selon la logique de l’arrêt, n’est ni la date de l’infraction ni la date d’ouverture de l’enquête, mais la date d’adoption de la décision finale. Au-delà de ce point, la compétence est fixée.

Le fond n’a jamais été examiné

La cour a accueilli le premier moyen d’appel, l’incompétence, et a déclaré tous les autres moyens « absorbés ». Elle ne s’est prononcée ni sur la base juridique de l’entraînement, ni sur la transparence, ni sur la vérification de l’âge, ni sur la notification tardive de la violation. Elle n’a rien dit quant à savoir si 15 millions d’euros étaient proportionnés. Ces questions restent formellement sans réponse.

C’est le point qui se perd le plus facilement dans la couverture médiatique. Comme l’a formulé le cabinet italien Rödl & Partner dans une note de juin 2026, la décision « ne doit pas être interprétée comme un feu vert sur le fond aux pratiques d’OpenAI : il ne s’agit que d’un transfert de compétence à l’autorité de contrôle compétente ». L’entrée de l’archive ne consigne aucun dommage réel pour cet incident, ce qui est cohérent avec une affaire qui reposait sur la question de savoir qui peut décider plutôt que sur un préjudice établi à l’égard de personnes identifiées.

Si le dossier a sa place à Dublin

L’objection la plus substantielle à l’arrêt est que l’autorité destinataire pourrait elle aussi ne pas être en mesure de statuer sur l’affaire. Christakis et Monga, dans le European Law Blog, le 4 juin 2026, sous le titre « Establish, Then Escape? », soutiennent que la lecture de la Cour produit une lacune d’application plutôt qu’un changement de juridiction. Leur exemple concret est la notification de violation. La violation a eu lieu le 20 mars 2023 et l’obligation de notifier le Garante est devenue exigible soixante-douze heures plus tard, alors qu’OpenAI n’avait aucun établissement dans l’UE et qu’OpenAI Ireland Ltd n’avait pas encore été constituée. Le Garante a qualifié cette infraction de consommée et l’a retenue pour lui-même ; selon la logique de la Cour, la décision entière, y compris ce chef, tombe. Les auteurs soutiennent qu’il est difficile de voir comment l’autorité irlandaise, dont la compétence est postérieure à un établissement qui n’existait pas lorsque l’obligation a pris naissance et découle de cet établissement, pourrait statuer sur une notification due au Garante à l’égard de personnes concernées italiennes.

Ils sont prudents quant aux limites de cet argument, et le lecteur devrait l'être aussi. Ils consignent la position contraire — selon laquelle le RGPD est un instrument unique à l'échelle de l'Union, de sorte que l'autorité qui devient chef de file peut l'appliquer dès lors que les faits se sont produits — et qualifient la question de discutable. Ils notent qu'ils n'ont pas connaissance d'une décision antérieure d'une juridiction nationale appliquant la section 4.3.2 de l'avis 8/2019, qu'il s'agit d'un jugement de première instance rendu par un juge unique, et que la portée de l'article 56 sur les comportements antérieurs à l'établissement leur paraît incertaine plutôt que claire. Ils recommandent un renvoi préjudiciel à la Cour de justice au titre de l'article 267 TFUE.

L’écart de mise en œuvre n’est pas seulement une prédiction doctrinale. Theodore Christakis, écrivant sur le Cross-Border Data Forum le lendemain de la décision, a relevé qu’aucune autre autorité européenne de protection des données n’avait publié de décision finale de mise en œuvre concernant des violations du RGPD sur la période de lancement de ChatGPT de novembre 2022 à mars 2023, et que le rapport de mai 2024 du groupe de travail ChatGPT du CEPD ne contenait que des points de vue préliminaires. De ce fait, la seule décision finale de mise en œuvre du RGPD que l’Europe ait produite sur la période de lancement de l’IA générative a désormais été annulée.

Qu’est-ce qui a changé après le 18 mars

L'amende avait déjà été suspendue. Le 21 mars 2025, la même juridiction a suspendu l'effet de la sanction dans l'attente du jugement, sous réserve d'une garantie — une cauzione, soit un dépôt de garantie, d'après la relation que fait Altalex de l'ordonnance. Cette suspension ne touchait pas au fond, et l'annulation survenue un an plus tard non plus.

Le Garante n'a pas tant supprimé l'affaire de son registre qu'il ne l'a mise de côté. Sa page de communiqués relative à la décision 755 comporte désormais un avis indiquant que la décision « a été temporairement retirée du site internet du Garante » à la suite de l'arrêt n° 4153/2026. Le mot est celui de l'autorité : temporairement.

Sur la question du recours, les sources concordent mais sont incomplètes. Christakis et Monga notent que le Garante pourrait encore se pourvoir devant la Corte di Cassazione. Le Cross-Border Data Forum a consigné le 19 mars 2026 que, les motifs n’ayant pas été publiés, l’autorité n’était alors pas en mesure de dire si elle le ferait. Dans les sources examinées pour cet article, nous n’avons trouvé aucun signalement d’un dépôt depuis lors, ni aucune décision finale de l’Irish Data Protection Commission sur le dossier transféré. Aucune de ces absences ne prouve qu’il ne s’est rien passé ; toutes deux signifient que l’issue n’est pas encore close.

Établi, argumenté et ouvert

• Établi : que le jugement n° 4153/2026 du 18 mars 2026 a annulé la décision n° 755 du 2 novembre 2024 dans son intégralité, supprimant une amende de 15 millions d'euros et une injonction de campagne médiatique de six mois ; que le dispositif a été lu ce jour-là sans motivation ; et que les motifs publiés reposent sur le guichet unique, la reconnaissance d'OpenAI Ireland Ltd par la DPC le 15 février 2024, et l'avis 8/2019 du CEDP.

• Débat :la question de savoir si un dossier en cours peut valablement être transféré à une autorité dont la compétence est postérieure aux faits en cause. La Cour a répondu par l’affirmative ; Christakis et Monga estiment que cette lecture laisse les comportements antérieurs à l’établissement non sanctionnables et souhaitent que la Cour de justice tranche ; Rödl & Partner et ICT Legal Consulting considèrent quant à eux que l’arrêt précise plutôt la manière dont le guichet unique s’applique à un changement d’établissement en cours de procédure.

• En suspens : si le Garante porte l’affaire devant la Corte di Cassazione, si une juridiction quelconque la renvoie à Luxembourg, et si l’autorité irlandaise finit un jour par statuer sur la partie du dossier qu’elle a reçue.

Les 15 millions d’euros ont disparu. La question soulevée par l’affaire — qui, en Europe, peut tenir un fournisseur d’IA générative responsable au titre du RGPD pour la période précédant l’existence d’un établissement européen — a simplement été renvoyée à un autre bureau.