AI Safety Incidents

בית המשפט ברומא ביטל את הקנס בסך 15 מיליון אירו שהטילה Garante על OpenAI, בנימוקי סמכות שיפוט.

מחבר

Gideon Frost

תאריך פרסום

Nov 4, 2026

מודלים אחרונים · 20צפו בכל המודלים →

בנצ'מרקים: Artificial Analysis · מתעדכן יומית

חזרה לכל הפוסטים

ב-18 במרץ 2026 ביטל בית המשפט של רומא, במלואו, את החלטת רשות הגנת המידע האיטלקית נגד OpenAI: קנס של 15 מיליון אירו וצו שחייב את החברה לקיים קמפיין הסברה ציבורי בן שישה חודשים בנוגע לאופן שבו ChatGPT מאומן על נתונים אישיים. בית המשפט לא קבע כי OpenAI עמדה בדרישות ה-GDPR. הוא קבע שהגראנטה — Autorità Garante per la Protezione dei Dati Personali — כבר אינה הרשות המוסמכת להחליט. הנימוק היה שאלת סמכות — נקודה שבית המשפט לא הסביר ביום מתן ההחלטה, ושהובהרה רק כשפורסמו הנימוקים המלאים ב-28 במאי 2026 — והיא הייתה תלויה בתאריך: נציבות הגנת המידע האירית הכירה ב-OpenAI Ireland Ltd כממסד היחיד של החברה באזור הכלכלי האירופי ב-15 בפברואר 2024, שמונה וחצי חודשים לפני החלטתה הסופית של הגראנטה, ולפי מנגנון ה-one-stop-shop של ה-GDPR התיק היה אמור להיות עד אז בדבלין. רויטרס דיווחה על פסק הדין ב-19 במרץ 2026 וציינה כי בית המשפט לא מסר הסבר באותה עת; הגראנטה סירבה להגיב. דירוג החומרה, דירוג הביטחון ורשימת המקורות המלאה של הרשומה נמצאים בOrca AI Incident Archive, לצד שאר הרשומות הרגולטוריות האירופיות שהוגשו סביבו.

מה בוטל, ומה בית המשפט לא אמר

ההחלטה הנדונה היא החלטת ה-Garante — provvedimento n. 755 מיום 2 בנובמבר 2024, שפורסמה ב-20 בדצמבר 2024. היא קבעה כי OpenAI לא דיווחה לרשות על הפרת נתונים אישיים שאירעה במרץ 2023, כי עיבדה נתונים אישיים של משתמשים לצורך אימון ChatGPT בלי שזיהתה תחילה בסיס חוקי הולם, כי הפרה את חובות השקיפות ומסירת המידע של ה-GDPR, וכי לא הציבה מנגנון אימות גיל, וכתוצאה מכך — בלשונו של ה-Garante — ילדים מתחת לגיל 13 היו עלולים להיחשף לתגובות שאינן הולמות את שלב ההתפתחות שלהם.

סכום של 15 מיליון אירו היה, לפי הסברו של הגראנטה עצמו, מחושב "תוך התחשבות גם בגישה המשתפת פעולה של החברה". החלק הפחות שגרתי בהחלטה היה הצו השני. תוך שימוש לראשונה בסעיף 166(7) של קוד הפרטיות האיטלקי, דרשה הרשות קמפיין מוסדי בן שישה חודשים ברדיו, בטלוויזיה, בעיתונים ובאינטרנט, שתכניו יוסכמו עם הרשות, שיופנה הן למשתמשים והן למי שאינם משתמשים ב-ChatGPT ויסביר כיצד נאספו הנתונים שלהם לצורך אימון וכיצד להתנגד, לתקן או למחוק אותם.

ב-18 במרץ 2026 ביטל בית המשפט את אותה החלטה במלואה. באותו יום הוא לא נימק את החלטתו. ה-Garante קיבל את פסק הדין ב-19 במרץ, והנימוקים המלאים הפכו זמינים לציבור רק ב-28 במאי 2026, כפי שמתעדים Theodore Christakis ו-Giulio Monga בבלוג European Law Blog. תגובתה של OpenAI, שנמסרה ל-Reuters, הייתה שהיא מברכת על ההחלטה, ש"תמיד הייתה מחויבת לכבד את פרטיות המשתמשים", ושהיא קיוותה לעזור ליותר אנשים איטלקיים, עסקים וחברה להפיק תועלת מ-AI. ל-Garante לא הייתה תגובה.

שלושה שבועות, ואז שמונה וחצי חודשים

הכרונולוגיה היא לב העניין. הגראנטה פתחה את הליך הסנקציה שלה ב־26 בינואר 2024. ב־15 בפברואר 2024 — כשלושה שבועות לאחר מכן — נציבות הגנת הנתונים האירית הכירה רשמית ב-OpenAI Ireland Ltd כיחידת ההתבססות היחידה של OpenAI באזור הכלכלי האירופי (EEA). הגראנטה אימצה את החלטתה הסופית ב־2 בנובמבר 2024, כשמונה וחצי חודשים לאחר אותה הכרה.

ההבחנה הזו בין התאגדות לבין הכרה חשובה. OpenAI Ireland Ltd התאגדה ב-24 במרץ 2023, אך "מוסד יחיד" הוא מושג אוטונומי של דיני הגנת הנתונים של האיחוד האירופי, שנבחן לפי מימוש אפקטיבי וממשי של פעילות באמצעות הסדרים יציבים; אין הכרח ששני התאריכים יחופפו. מה שהשתנה ב-15 בפברואר 2024 לא היה קיומה של חברה אירית אלא ההכרה בה לצורכי one-stop-shop.

A dark timeline card titled 'Establishment first, decision later'. Ten dated rows: 30 Nov 2022 ChatGPT launched publicly; 20 Mar 2023 the data breach the Garante later faulted OpenAI for not notifying; 24 Mar 2023 OpenAI Ireland Ltd incorporated; 26 Jan 2024 the Garante opens its sanctioning proceeding; 15 Feb 2024 the Irish DPC recognises OpenAI Ireland as the single EEA establishment; 2 Nov 2024 the Garante adopts decision n. 755 with a €15m fine and a six-month campaign; 20 Dec 2024 the decision is published and the file partly forwarded to the Irish DPC; 21 Mar 2025 the Rome court suspends the fine subject to a guarantee; 18 Mar 2026 the court annuls decision n. 755 in its entirety; 28 May 2026 the full grounds become publicly available. The two highlighted dates are 15 February 2024 and 18 March 2026.

סעיף 56(1) ל-GDPR מעניק לרשות הפיקוח של המפעל הראשי או היחיד של בעל השליטה סמכות בלעדית לגבי עיבוד חוצה גבולות, כשהיא פועלת כרשות מובילה. בית המשפט של רומא הסתמך על חוות הדעת 8/2019 של המועצה האירופית להגנת נתונים, ובפרט על סעיף 4.3.2 שבה, העוסק בהקמת מפעל ראשי או יחיד, או בהעברתו ממדינה שלישית אל ה-EEA, בשעה שכבר מתנהלים הליכים מנהליים. לפי פרשנות זו, הסמכות עשויה לעבור לרשות המובילה החדשה בכל שלב עד לקבלת החלטה סופית, וכל הליך תלוי ועומד חייב לעבור יחד עמה.

רשות ה-Garante צפתה את הבעיה מראש ופיצלה את התיק. בהודעה לעיתונות שלה מדצמבר 2024 נמסר כי מכיוון ש-OpenAI הקימה את המטה האירופי שלה באירלנד במהלך החקירה, הרשות "העבירה את מסמכי ההליך לרשות האירית להגנת הנתונים (DPC), שהפכה לרשות הפיקוח המובילה לפי ה-GDPR כדי להמשיך לחקור כל הפרות מתמשכות שלא מוצו לפני פתיחת המטה האירופי". הסיווג הזה הוא של ה-Garante עצמה: היא שמרה אצלה את מה שראתה כמוגמר, והעבירה הלאה את מה שראתה כמתמשך. בית המשפט קבע שהפיצול לא עמד לרשותה.

המילה שפסק הדין נסב עליה

כמעט כל המחלוקת מצטמצמת לפסקה 16 של חוות הדעת 8/2019, הקובעת שהשאלות הנבחנות בחוות הדעת "נוגעות בעיקרן להפרות בעלות אופי מתמשך או רציף". הגארנטה פירש זאת כמגבלה: ההיגיון של ההעברה נועד להפרות מתמשכות, ולא יכול היה לחול על התנהגות שכבר הושלמה לפני שקם כל מיזם באזור הכלכלי האירופי. OpenAI פירשה את "בעיקרן" כתיאור ולא כהחרגה. בית המשפט הסכים עם OpenAI, בקובעו כי "בעיקרן" מזהיר את סוג המקרה שבו השאלה עולה לרוב, ואינו שולל את החלת אותו היגיון על הפרות שהושלמו, כאשר ההליך עדיין תלוי ועומד ולא ניתן פסק דין סופי.

A dark card titled 'The case turned on one adverb', citing EDPB Opinion 8/2019, paragraph 16: 'The questions examined in this Opinion mainly relate to infringements of a continuing or continuous nature...'. Two panels compare readings. Left, headed 'The Garante's reading': 'Mainly is a limit' - transfer to a new lead authority reaches continuing infringements only; conduct already finished before any EEA establishment existed stays with the authority that charged it; marked Rejected. Right, headed 'The court's reading': 'Mainly describes, it does not exclude' - the criterion is the final decision, and until one is adopted competence can move to the new lead authority whatever the nature of the infringement; marked Upheld, 18 March 2026.

אפשרות הגיבוי של Garante הייתה עקרון הקוד האזרחי האיטלקי של tempus regit actum — שלפיו הדין החל באותה העת הוא הקובע. בית המשפט דחה אותה על בסיס העובדות: מדובר היה ברצף של עובדות, לא ברצף של חוקים. הרגע המכריע, לפי ההיגיון של פסק הדין, אינו מועד ההפרה ואינו מועד פתיחת החקירה, אלא מועד אימוץ ההחלטה הסופית. לאחר נקודה זו הסמכות קבועה.

מעולם לא נדון לגופו של עניין.

בית המשפט קיבל את עילת הערעור הראשונה, חוסר סמכות, והכריז כי כל יתר העילות "נבלעו". הוא לא קבע ממצא לגבי הבסיס החוקי לאימון, לגבי שקיפות, לגבי אימות גיל או לגבי הדיווח המאוחר על הפרה. הוא לא אמר דבר בשאלה האם 15 מיליון אירו היה מידתי. שאלות אלו נותרו ללא מענה רשמי.

זו הנקודה שהכי קל לאבד בסיקור. כפי שניסח זאת המשרד האיטלקי Rödl & Partner בהערה מיוני 2026, אין לקרוא את פסק הדין "כאור ירוק מהותי לפרקטיקות של OpenAI: מדובר רק בהעברת סמכות לרשות הפיקוח המתאימה". הרשומה בארכיון אינה מתעדת נזק בעולם הממשי במקרה זה, וזה עולה בקנה אחד עם מקרה שנשען על השאלה מי רשאי להחליט ולא על פגיעה מוכחת באנשים מזוהים.

A dark two-column card. Left column headed 'Annulled': the whole of decision n. 755 of 2 November 2024, listing the €15 million administrative fine, the order to run a six-month institutional campaign on radio, television, newspapers and the internet, and every finding the decision rested on. Right column headed 'Never decided': no finding that OpenAI complied with the GDPR, listing whether training ChatGPT had an adequate legal basis, transparency and information obligations, age verification for users under 13, the late notification of the March 2023 breach, and whether €15 million was proportionate. A footer line reads: the ruling leaves the merits formally unanswered.

האם לקובץ יש בית בדבלין

ההתנגדות המהותית ביותר לפסק הדין היא שייתכן שגם הגורם שאליו מועבר התיק לא יוכל להכריע בו. כריסטיאקיס ומונגה, בכתיבתם ב-European Law Blog ב-4 ביוני 2026 תחת הכותרת "Establish, Then Escape?", טוענים שפרשנותו של בית המשפט יוצרת פער אכיפה ולא שינוי פורום. הדוגמה הקונקרטית שלהם היא הודעת ההפרה. ההפרה אירעה ב-20 במרץ 2023, וחובת הדיווח ל-Garante נעשתה חייבה 72 שעות לאחר מכן, כאשר ל-OpenAI לא היה מוסד באיחוד האירופי ו-OpenAI Ireland Ltd טרם התאגדה. ה-Garante סיווג את ההפרה כמוצתה ושמר אותה לעצמו; לפי ההיגיון של בית המשפט, ההחלטה כולה, כולל אישום זה, מתבטלת. המחברים טוענים כי קשה לראות כיצד הרשות האירית, שסמכותה נוצרה לאחר מכן ונובעת ממוסד שלא היה קיים כאשר נוצרה החובה, תוכל להכריע בהודעה החייבת ל-Garante ביחס לנושאי נתונים איטלקיים.

הם נזהרים מגבולותיו של אותו טיעון, וכך ראוי גם לקורא לנהוג. הם מתעדים את העמדה ההפוכה — שה־GDPR הוא מכשיר יחיד החל בכל רחבי האיחוד, ולכן כל רשות שתהפוך לרשות המובילה רשאית לאכוף אותו בכל מועד שבו התרחשו העובדות — ומכנים את השאלה שנויה במחלוקת. הם מציינים כי אינם מודעים לפסק דין קודם של בית משפט לאומי שיישם את סעיף 4.3.2 של חוות הדעת 8/2019, כי מדובר בפסק דין בערכאה ראשונה מפי שופט יחיד, וכי תחולתו של סעיף 56 על התנהלות שקדמה לשלב ההתבססות נראית בעיניהם בלתי מוכרעת ולא בהירה. המלצתם היא הפניה מקדמית לבית המשפט לצדק לפי סעיף 267 ל־TFEU.

פער האכיפה אינו רק תחזית דוקטרינרית. תאודור כריסטאקיס, בכותבו ב-Cross-Border Data Forum יום לאחר פסק הדין, ציין כי אף רשות הגנת נתונים אירופית אחרת לא פרסמה החלטת אכיפה סופית בנוגע להפרות GDPR מתקופת ההשקה של ChatGPT, מנובמבר 2022 ועד מרץ 2023, וכי דוח כוח המשימה של EDPB בנושא ChatGPT ממאי 2024 הכיל רק עמדות ראשוניות. משום כך, החלטת האכיפה הסופית היחידה של GDPR שאירופה הפיקה בתקופת השקת הבינה המלאכותית הגנרטיבית בוטלה כעת.

מה השתנה אחרי 18 במרץ

הקנס כבר הושעה. ב-21 במרץ 2025 אותו בית משפט השעה את תוקפה של הסנקציה עד לפסק הדין, בכפוף לערבות — cauzione, או פיקדון ערובה, לפי תיאור הצו ב-Altalex. השעיה זו לא נגעה לגופו של עניין, וגם הביטול כעבור שנה לא נגע.

ה-Garante לא הסיר את המקרה מהרשומה שלו אלא בעיקר הניח אותו בצד. עמוד הודעות העיתונות שלו עבור החלטה 755 נושא כעת הודעה שלפיה ההחלטה "הוסרה באופן זמני מאתר האינטרנט של ה-Garante" בעקבות פסק דין מס׳ 4153/2026. המילה היא של הרשות: באופן זמני.

בשאלת הערעור, המקורות עקביים אך אינם שלמים. כריסטאקיס ומונגה מציינים כי ה-Garante עשוי עדיין לערער ל-Corte di Cassazione. ה-Cross-Border Data Forum תיעד ב-19 במרץ 2026 כי, משום שהנימוקים טרם פורסמו, הרשות לא הייתה אז בעמדה לומר אם תעשה זאת. במקורות שנסקרו עבור מאמר זה לא מצאנו דיווח על הגשת ערעור מאז, ולא החלטה סופית של ה-Irish Data Protection Commission על התיק שהועבר. אף אחד מן ההיעדרים אינו הוכחה לכך שדבר לא קרה; שניהם משמעם שהתוצאה טרם נסגרה.

מבוסס, שנוי במחלוקת ופתוח

• נקבע: כי פסק הדין מס׳ 4153/2026 מיום 18 במרץ 2026 ביטל את החלטה מס׳ 755 מיום 2 בנובמבר 2024 במלואה, תוך הסרת קנס בסך 15 מיליון אירו וצו לקמפיין תקשורתי בן שישה חודשים; כי החלק האופרטיבי הוקרא באותו יום ללא נימוקים; וכי הנימוקים שפורסמו נשענים על מסלול ה-one-stop-shop, על הכרת ה-DPC ב-OpenAI Ireland Ltd ב-15 בפברואר 2024, ועל חוות הדעת 8/2019 של EDPB.

• נטען: האם ניתן להעביר כדין תיק תלוי ועומד לרשות שסמכותה נוצרה לאחר מועד ההתנהגות הנדונה. בית המשפט השיב בחיוב; כריסטאקיס ומונגה אומרים שפרשנות זו מותירה את ההתנהגות שקדמה להתבססות ללא אפשרות אכיפה ומבקשים שבית המשפט לצדק יכריע; רודל ופרטנר ו-ICT Legal Consulting מתארים את פסק הדין במקום זאת כמבהיר כיצד חל מנגנון ה-one-stop-shop על שינוי מקום התבססות במהלך ההליך.

• פתוח: האם ה-Garante תביא את המקרה ל-Corte di Cassazione, האם בית משפט כלשהו יפנה אותו ללוקסמבורג, והאם הרשות האירית תגיע אי פעם להחלטה בנוגע לחלק מהתיק שקיבלה.

15 מיליון האירו נעלמו. השאלה שהמקרה העלה — מי באירופה רשאי לחייב ספק בינה מלאכותית גנרטיבית לעמוד ב-GDPR בתקופה שבה עוד לא היה לו מוסד אירופי — פשוט עברה לשולחן אחר.

בית המשפט ברומא ביטל את הקנס בסך 15 מיליון אירו שהטילה Garante על OpenAI, בנימוקי סמכות שיפוט.

מה בוטל, ומה בית המשפט לא אמר

שלושה שבועות, ואז שמונה וחצי חודשים

המילה שפסק הדין נסב עליה

מעולם לא נדון לגופו של עניין.

האם לקובץ יש בית בדבלין

מה השתנה אחרי 18 במרץ

מבוסס, שנוי במחלוקת ופתוח

מוצר

משאבים

שותפים

לספקים

הצטרפו לקהילה שלנו

מהבלוג

ספקי מודלים