Pengadilan Roma Membatalkan Denda €15 Juta Garante terhadap OpenAI dengan Alasan Yurisdiksi

Pada 18 Maret 2026, Pengadilan Roma membatalkan seluruhnya keputusan otoritas perlindungan data Italia terhadap OpenAI: sebuah denda €15 juta dan perintah yang mewajibkan perusahaan menjalankan kampanye informasi publik selama enam bulan tentang bagaimana ChatGPT dilatih menggunakan data pribadi. Pengadilan tidak menemukan bahwa OpenAI telah mematuhi GDPR. Pengadilan menemukan bahwa Garante — Autorità Garante per la Protezione dei Dati Personali — bukan lagi otoritas yang berwenang untuk memutuskan. Dasarnya adalah yurisdiksi — poin yang tidak dijelaskan pengadilan pada hari itu, dan baru menjadi jelas ketika pertimbangan lengkapnya diterbitkan pada 28 Mei 2026 — dan hal itu bergantung pada satu tanggal: Komisi Perlindungan Data Irlandia telah mengakui OpenAI Ireland Ltd sebagai satu-satunya pendirian perusahaan di Wilayah Ekonomi Eropa pada 15 Februari 2024, delapan setengah bulan sebelum keputusan akhir Garante, dan berdasarkan mekanisme one-stop-shop GDPR, berkas itu seharusnya pada saat itu sudah berada di Dublin. Reuters melaporkan putusan tersebut pada 19 Maret 2026 dan mencatat bahwa pengadilan tidak merilis penjelasan pada saat itu; Garante menolak berkomentar. Tingkat keparahan, peringkat keyakinan, dan daftar sumber lengkap catatan tersebut berada di Orca AI Incident Archive, bersama entri regulasi Eropa lain yang diajukan di sekitarnya.

Apa yang dibatalkan, dan apa yang tidak dikatakan pengadilan

Keputusan yang dimaksud adalah keputusan Garante, yaitu provvedimento n. 755 tanggal 2 November 2024, yang diterbitkan pada 20 Desember 2024. Dalam keputusan itu, Garante menemukan bahwa OpenAI telah gagal memberitahukan kepada otoritas tentang pelanggaran data pribadi yang dialami pada Maret 2023, telah memproses data pribadi pengguna untuk melatih ChatGPT tanpa terlebih dahulu mengidentifikasi dasar hukum yang memadai, telah melanggar kewajiban transparansi dan informasi GDPR, dan tidak menerapkan mekanisme verifikasi usia, sehingga — menurut Garante — anak-anak di bawah 13 tahun berisiko terpapar respons yang tidak sesuai dengan tahap perkembangan mereka.

Angka €15 juta itu, menurut keterangan Garante sendiri, dihitung "dengan juga mempertimbangkan sikap kooperatif perusahaan". Bagian yang lebih tidak biasa dari keputusan tersebut adalah perintah kedua. Dengan menggunakan Pasal 166(7) Kode Privasi Italia untuk pertama kalinya, otoritas tersebut mewajibkan kampanye institusional selama enam bulan di radio, televisi, surat kabar, dan internet, yang isinya harus disepakati dengan otoritas, ditujukan baik kepada pengguna maupun nonpengguna ChatGPT dan menjelaskan bagaimana data mereka dikumpulkan untuk pelatihan serta cara mengajukan keberatan, memperbaiki, atau menghapusnya.

Pada 18 Maret 2026, pengadilan membatalkan keputusan itu secara keseluruhan. Pada hari itu, pengadilan tidak memberikan alasan apa pun. Garante menerima putusan tersebut pada 19 Maret, dan alasan lengkapnya baru tersedia untuk publik pada 28 Mei 2026, sebagaimana dicatat oleh Theodore Christakis dan Giulio Monga di European Law Blog. Tanggapan OpenAI, yang disampaikan kepada Reuters, adalah bahwa mereka menyambut baik keputusan tersebut, telah "selalu berkomitmen untuk menghormati privasi pengguna", dan berharap dapat membantu lebih banyak orang, bisnis, dan masyarakat Italia memperoleh manfaat dari AI. Garante tidak memberikan komentar.

Tiga minggu, lalu delapan setengah bulan

Kronologinya adalah inti persoalan. Garante membuka proses sanksinya pada 26 Januari 2024. Pada 15 Februari 2024 — sekitar tiga minggu kemudian — Irish Data Protection Commission secara resmi mengakui OpenAI Ireland Ltd sebagai satu-satunya establishment OpenAI di EEA. Garante mengadopsi keputusan finalnya pada 2 November 2024, sekitar delapan setengah bulan setelah pengakuan itu.

Pembedaan antara pendirian dan pengakuan itu penting. OpenAI Ireland Ltd didirikan pada 24 Maret 2023, tetapi "pendirian tunggal" adalah konsep otonom dalam hukum perlindungan data UE, yang bergantung pada pelaksanaan kegiatan secara efektif dan nyata melalui pengaturan yang stabil; kedua tanggal tersebut tidak harus bertepatan. Yang berubah pada 15 Februari 2024 bukanlah keberadaan perusahaan Irlandia, melainkan pengakuannya untuk tujuan one-stop-shop.

Pasal 56(1) GDPR memberikan kepada otoritas pengawas dari pendirian utama atau tunggal pengendali kompetensi eksklusif atas pemrosesan lintas batas, dengan bertindak sebagai otoritas utama. Pengadilan Roma bersandar pada Pendapat 8/2019 Dewan Perlindungan Data Eropa, dan khususnya bagian 4.3.2 tentang pembentukan pendirian utama atau tunggal, atau relokasinya dari negara ketiga ke EEA, sementara proses administrasi sudah berlangsung. Berdasarkan pembacaan tersebut, kompetensi dapat beralih kepada otoritas utama baru pada titik mana pun hingga keputusan final diadopsi, dan setiap proses yang tertunda harus dialihkan bersamanya.

Garante telah mengantisipasi masalah tersebut dan membagi berkasnya. Siaran persnya pada Desember 2024 menyatakan bahwa, karena OpenAI telah mendirikan kantor pusat Eropanya di Irlandia selama penyelidikan, otoritas tersebut "meneruskan dokumen prosedural kepada Otoritas Perlindungan Data Irlandia (DPC), yang menjadi otoritas pengawas utama berdasarkan GDPR untuk melanjutkan penyelidikan atas pelanggaran yang masih berlangsung yang belum dituntaskan sebelum pembukaan kantor pusat Eropa tersebut". Penentuan kualifikasi itu merupakan penilaian Garante sendiri: ia menyimpan apa yang dianggapnya telah selesai, dan meneruskan apa yang dianggapnya masih berlanjut. Pengadilan berpendapat bahwa pembagian tersebut tidak dapat dilakukan olehnya.

Kata yang menjadi dasar putusan

Hampir seluruh sengketa bermuara pada paragraf 16 Opini 8/2019, yang menyatakan bahwa pertanyaan-pertanyaan yang dikaji dalam Opini tersebut "terutama berkaitan dengan pelanggaran yang bersifat berlanjut atau terus-menerus". Garante menafsirkan hal itu sebagai batasan: logika transfer dirancang untuk pelanggaran yang berlanjut, dan tidak dapat menjangkau perbuatan yang sudah selesai sebelum adanya pendirian di EEA. OpenAI menafsirkan "terutama" sebagai deskriptif, bukan eksklusif. Pengadilan sepakat dengan OpenAI, dengan menyatakan bahwa "terutama" mengidentifikasi jenis perkara yang paling sering memunculkan pertanyaan tersebut dan tidak mengecualikan penerapan logika yang sama pada pelanggaran yang telah selesai ketika prosesnya masih berlangsung dan belum ada keputusan akhir yang diambil.

Langkah cadangan Garante adalah prinsip hukum perdata Italia mengenai tempus regit actum — bahwa hukum yang berlaku pada saat itu yang mengatur. Pengadilan menolaknya berdasarkan fakta: ini adalah rangkaian fakta, bukan rangkaian hukum. Momen yang menentukan, menurut logika putusan, bukanlah tanggal pelanggaran maupun tanggal dimulainya penyelidikan, melainkan tanggal diadopsinya putusan akhir. Setelah titik itu, kewenangan menjadi tetap.

Pokok perkara tidak pernah dipertimbangkan

Pengadilan menguatkan alasan banding pertama, yaitu kurangnya kewenangan, dan menyatakan setiap alasan lainnya "terserap". Pengadilan tidak membuat temuan mengenai dasar hukum untuk pelatihan, transparansi, verifikasi usia, atau pemberitahuan pelanggaran yang terlambat. Pengadilan tidak mengatakan apa pun tentang apakah €15 juta proporsional. Pertanyaan-pertanyaan tersebut secara formal tetap belum terjawab.

Itulah poin yang paling mudah luput dalam pemberitaan. Seperti yang disampaikan firma Italia Rödl & Partner dalam catatan Juni 2026, putusan tersebut “tidak boleh dibaca sebagai lampu hijau substantif bagi praktik-praktik OpenAI: itu hanyalah pelimpahan kewenangan kepada otoritas pengawas yang berwenang”. Entri arsip tidak mencatat kerugian di dunia nyata untuk insiden ini, yang konsisten dengan kasus yang bergantung pada siapa yang boleh memutuskan, bukan pada cedera yang terbukti pada orang-orang yang teridentifikasi.

Apakah berkas itu memiliki tempat di Dublin

Keberatan paling substansial terhadap putusan tersebut adalah bahwa penerima pengalihan mungkin juga tidak dapat memutus perkara itu. Christakis dan Monga, dalam tulisan di European Law Blog pada 4 Juni 2026 berjudul "Establish, Then Escape?", berargumen bahwa tafsir pengadilan menghasilkan celah penegakan alih-alih perubahan forum. Contoh konkret mereka adalah pemberitahuan pelanggaran data. Pelanggaran terjadi pada 20 Maret 2023 dan kewajiban untuk memberitahukannya kepada Garante jatuh tempo tujuh puluh dua jam kemudian, ketika OpenAI belum memiliki pendirian di UE dan OpenAI Ireland Ltd belum didirikan. Garante menggolongkan pelanggaran itu sebagai telah selesai dan mempertahankannya untuk dirinya sendiri; menurut logika pengadilan, seluruh keputusan, termasuk tuduhan itu, gugur. Para penulis berargumen sulit melihat bagaimana otoritas Irlandia, yang kewenangannya muncul setelah dan bersumber dari suatu pendirian yang belum ada ketika kewajiban itu timbul, dapat mengadili pemberitahuan yang wajib disampaikan kepada Garante sehubungan dengan subjek data Italia.

Mereka berhati-hati terhadap batas-batas argumen itu, dan pembaca pun seharusnya demikian. Mereka mencatat posisi yang berlawanan — bahwa GDPR adalah instrumen tunggal di seluruh Uni, sehingga otoritas mana pun yang menjadi otoritas utama dapat menegakkannya kapan pun fakta-fakta itu terjadi — dan menyebut pertanyaan itu dapat diperdebatkan. Mereka mencatat bahwa mereka tidak mengetahui adanya putusan pengadilan nasional sebelumnya yang menerapkan bagian 4.3.2 dari Opini 8/2019, bahwa ini adalah putusan tingkat pertama oleh seorang hakim tunggal, dan bahwa jangkauan Pasal 56 terhadap perilaku sebelum pendirian tampaknya bagi mereka belum pasti, bukan jelas. Rekomendasi mereka adalah rujukan prejudisial kepada Mahkamah Kehakiman berdasarkan Pasal 267 TFEU.

Kesenjangan penegakan bukan hanya prediksi doktrinal. Theodore Christakis, dalam tulisannya di Cross-Border Data Forum sehari setelah putusan, mencatat bahwa tidak ada otoritas perlindungan data Eropa lain yang telah menerbitkan keputusan penegakan final terkait pelanggaran GDPR dari periode peluncuran ChatGPT November 2022 hingga Maret 2023, dan bahwa laporan gugus tugas ChatGPT EDPB pada Mei 2024 hanya memuat pandangan awal. Atas dasar itu, satu-satunya keputusan penegakan GDPR final yang dihasilkan Eropa selama periode peluncuran AI generatif kini telah dibatalkan.

Apa yang berubah setelah 18 Maret

Denda tersebut sudah ditangguhkan. Pada 21 Maret 2025 pengadilan yang sama menangguhkan efek sanksi itu sambil menunggu putusan, dengan syarat jaminan — cauzione, atau setoran jaminan, dalam laporan Altalex tentang perintah tersebut. Penangguhan itu tidak menyentuh pokok perkara, dan pembatalan setahun kemudian juga tidak.

Garante tidak menghapus perkara itu dari catatannya, melainkan menyisihkannya. Halaman siaran persnya untuk keputusan 755 kini memuat pemberitahuan bahwa keputusan tersebut "untuk sementara dihapus dari situs web Garante" menyusul putusan n. 4153/2026. Kata itu berasal dari otoritas: untuk sementara.

Tentang pertanyaan banding, sumber-sumbernya konsisten tetapi tidak lengkap. Christakis dan Monga mencatat bahwa Garante mungkin masih akan mengajukan banding ke Corte di Cassazione. Cross-Border Data Forum mencatat pada 19 Maret 2026 bahwa, karena pertimbangannya belum dirilis, otoritas tersebut pada saat itu belum dapat mengatakan apakah akan melakukannya. Dalam sumber-sumber yang ditinjau untuk artikel ini, kami tidak menemukan laporan mengenai pengajuan sejak itu, dan tidak ada keputusan akhir dari Irish Data Protection Commission mengenai berkas yang dialihkan. Ketiadaan keduanya bukanlah bukti bahwa tidak terjadi apa-apa; keduanya berarti hasilnya belum final.

Mapan, diperdebatkan, dan terbuka

• Ditetapkan: bahwa putusan No. 4153/2026 tanggal 18 Maret 2026 membatalkan keputusan No. 755 tanggal 2 November 2024 secara keseluruhan, dengan menghapus denda €15 juta dan perintah kampanye media selama enam bulan; bahwa amar putusan dibacakan pada hari itu tanpa pertimbangan; dan bahwa pertimbangan yang dipublikasikan bertumpu pada one-stop-shop, pengakuan DPC terhadap OpenAI Ireland Ltd pada 15 Februari 2024, dan Pendapat EDPB 8/2019.

• Diperdebatkan: apakah berkas yang masih tertunda dapat secara sah dialihkan kepada otoritas yang kewenangannya baru muncul setelah perbuatan yang menjadi pokok perkara. Pengadilan menjawab ya; Christakis dan Monga menilai pembacaan itu membuat perbuatan sebelum pendirian tidak dapat ditegakkan dan ingin Mahkamah Eropa memutuskan; Rödl & Partner dan ICT Legal Consulting justru menggambarkan putusan tersebut sebagai klarifikasi bagaimana one-stop-shop berlaku terhadap perubahan pendirian di tengah prosedur.

• Terbuka: apakah Garante membawa perkara ini ke Corte di Cassazione, apakah ada pengadilan yang merujuknya ke Luksemburg, dan apakah otoritas Irlandia pernah mencapai keputusan atas bagian berkas yang diterimanya.

€15 juta itu telah lenyap. Pertanyaan yang muncul dari kasus tersebut — siapa di Eropa yang dapat menuntut penyedia AI generatif untuk mematuhi GDPR selama periode sebelum penyedia itu memiliki pendirian di Eropa — hanya berpindah ke meja lain.