Il Tribunale di Roma annulla la multa da 15 milioni di euro del Garante a OpenAI per motivi di giurisdizione

Il 18 marzo 2026 il Tribunale di Roma ha annullato integralmente la decisione dell'autorità italiana per la protezione dei dati nei confronti di OpenAI: una multa da 15 milioni di euro e un'ingiunzione che obbligava la società a condurre una campagna di informazione pubblica di sei mesi su come ChatGPT viene addestrato sui dati personali. Il tribunale non ha accertato che OpenAI avesse rispettato il GDPR. Ha stabilito che il Garante — l'Autorità Garante per la Protezione dei Dati Personali — non fosse più l'autorità competente a decidere. Il motivo era la giurisdizione — un punto che il tribunale non ha spiegato quel giorno, e che è diventato chiaro solo quando le motivazioni complete sono state pubblicate il 28 maggio 2026 — e dipendeva da una data: la Commissione irlandese per la protezione dei dati aveva riconosciuto OpenAI Ireland Ltd come stabilimento unico della società nello Spazio economico europeo il 15 febbraio 2024, otto mesi e mezzo prima della decisione finale del Garante, e, in base al meccanismo dello sportello unico del GDPR, il fascicolo avrebbe dovuto essere già a Dublino a quel punto. Reuters ha riportato la sentenza il 19 marzo 2026 e ha osservato che all'epoca il tribunale non aveva diffuso alcuna spiegazione; il Garante ha rifiutato di commentare. Il grado di gravità, il livello di confidenza e l'elenco completo delle fonti della scheda si trovano in Orca AI Incident Archive, insieme alle altre voci di regolamentazione europea archiviate accanto ad essa.

Cosa è stato annullato e cosa la corte non ha detto

La decisione in questione è il provvedimento n. 755 del 2 novembre 2024 del Garante, pubblicato il 20 dicembre 2024. Nel provvedimento si rileva che OpenAI non aveva notificato all'autorità una violazione di dati personali subita nel marzo 2023, aveva trattato i dati personali degli utenti per addestrare ChatGPT senza aver prima individuato un'adeguata base giuridica, aveva violato gli obblighi di trasparenza e informazione previsti dal GDPR e non aveva predisposto alcun meccanismo di verifica dell'età, con il risultato — secondo le parole del Garante — che i minori di 13 anni rischiavano di essere esposti a risposte inadeguate alla loro fase di sviluppo.

La cifra di 15 milioni di euro era, per ammissione dello stesso Garante, calcolata «tenendo conto anche dell'atteggiamento collaborativo della società». La parte più inusuale del provvedimento era la seconda disposizione. Utilizzando per la prima volta l'articolo 166, comma 7, del Codice italiano in materia di protezione dei dati personali, l'autorità ha imposto una campagna istituzionale di sei mesi su radio, televisione, giornali e internet, con contenuti da concordare con l'autorità, rivolta sia agli utenti sia ai non utenti di ChatGPT e volta a spiegare come i loro dati venivano raccolti per l'addestramento e come opporsi, rettificarli o cancellarli.

Il 18 marzo 2026 il tribunale ha annullato integralmente tale decisione. Quel giorno non ha fornito alcuna motivazione. Il Garante ha ricevuto la sentenza il 19 marzo, e le motivazioni complete sono diventate disponibili al pubblico solo il 28 maggio 2026, come riportano Theodore Christakis e Giulio Monga nell'European Law Blog. La risposta di OpenAI, rilasciata a Reuters, è stata che accoglieva con favore la decisione, si era "sempre impegnata a rispettare la privacy degli utenti" e auspicava di poter aiutare più persone, imprese e società italiane a trarre beneficio dall'IA. Il Garante non ha rilasciato commenti.

Tre settimane, poi otto mesi e mezzo

La cronologia è decisiva. Il Garante ha avviato il proprio procedimento sanzionatorio il 26 gennaio 2024. Il 15 febbraio 2024 — circa tre settimane dopo — la Commissione irlandese per la protezione dei dati ha formalmente riconosciuto OpenAI Ireland Ltd come unico stabilimento di OpenAI nel SEE. Il Garante ha adottato la propria decisione finale il 2 novembre 2024, circa otto mesi e mezzo dopo tale riconoscimento.

Quella distinzione tra costituzione e riconoscimento è importante. OpenAI Ireland Ltd è stata costituita il 24 marzo 2023, ma «stabilimento unico» è un concetto autonomo del diritto UE in materia di protezione dei dati, che dipende dall'esercizio effettivo e reale dell'attività attraverso assetti stabili; le due date non devono coincidere. Ciò che è cambiato il 15 febbraio 2024 non è stata l'esistenza di una società irlandese, bensì il suo riconoscimento ai fini dello sportello unico.

L'articolo 56, paragrafo 1, del GDPR conferisce all'autorità di controllo dello stabilimento principale o unico del titolare del trattamento competenza esclusiva sul trattamento transfrontaliero, agendo in qualità di autorità capofila. Il Tribunale di Roma si è basato sul parere 8/2019 del Comitato europeo per la protezione dei dati, e in particolare sulla sua sezione 4.3.2 relativa alla creazione di uno stabilimento principale o unico, o al suo trasferimento da un paese terzo nello SEE, mentre sono già pendenti procedimenti amministrativi. Secondo tale interpretazione, la competenza può passare alla nuova autorità capofila in qualsiasi momento fino all'adozione di una decisione definitiva, e ogni procedimento pendente deve essere trasferito con essa.

Il Garante aveva previsto il problema e suddiviso il fascicolo. Il suo comunicato stampa del dicembre 2024 afferma che, poiché OpenAI aveva stabilito la propria sede europea in Irlanda durante l'indagine, l'autorità "ha trasmesso i documenti procedurali all'Autorità irlandese per la protezione dei dati (DPC), che è diventata autorità di controllo capofila ai sensi del GDPR al fine di continuare a indagare su eventuali violazioni in corso che non erano state esaurite prima dell'apertura della sede europea". La qualificazione è del Garante stesso: ha trattenuto ciò che riteneva concluso e ha trasmesso ciò che riteneva ancora in corso. Il giudice ha ritenuto che tale scissione non gli fosse consentita.

La parola da cui dipendeva la sentenza

Quasi tutta la controversia si riduce al paragrafo 16 del parere 8/2019, secondo cui le questioni esaminate nel parere "riguardano principalmente violazioni di natura continuativa o continua". Il Garante l'ha interpretato come un limite: la logica del trasferimento era pensata per violazioni continuative e non poteva riguardare condotte già esaurite prima che esistesse un qualsiasi stabilimento nel SEE. OpenAI ha interpretato "principalmente" come descrittivo e non esclusivo. Il giudice ha dato ragione a OpenAI, ritenendo che "principalmente" individui il tipo di caso in cui la questione sorge più spesso e non escluda che la stessa logica si applichi a violazioni già consumate quando il procedimento è ancora pendente e non è stata adottata alcuna decisione definitiva.

La soluzione di ripiego del Garante era il principio del codice civile italiano del tempus regit actum — secondo cui la legge in vigore al momento disciplina. Il giudice lo ha respinto sulla base dei fatti: si trattava di una successione di fatti, non di una successione di leggi. Il momento decisivo, secondo la logica della sentenza, non è né la data della violazione né la data di apertura dell'indagine, ma la data di adozione della decisione finale. Dopo tale momento la competenza è fissata.

Non si è mai giunti al merito

La corte ha accolto il primo motivo di appello, relativo al difetto di competenza, e ha dichiarato «assorbiti» tutti gli altri motivi. Non si è pronunciata sulla base giuridica dell’addestramento, sulla trasparenza, sulla verifica dell’età né sulla notifica tardiva della violazione. Non ha detto nulla sulla proporzionalità di 15 milioni di euro. Tali questioni restano formalmente senza risposta.

Questo è il punto che più facilmente sfugge nella copertura giornalistica. Come ha scritto la società italiana Rödl & Partner in una nota del giugno 2026, la sentenza «non dovrebbe essere letta come un via libera sostanziale alle pratiche di OpenAI: è solo un trasferimento di competenza all'autorità di vigilanza competente». La voce dell'archivio non registra alcun danno reale per questo incidente, il che è coerente con un caso che verteva su chi possa decidere, anziché su una lesione accertata a persone identificate.

Se il file ha una sede a Dublino

L'obiezione più sostanziale alla sentenza è che il destinatario del trasferimento potrebbe non essere in grado di decidere il caso neanche lui. Christakis e Monga, scrivendo sull'European Law Blog il 4 giugno 2026 con il titolo "Establish, Then Escape?", sostengono che l'interpretazione della corte produce una lacuna nell'esecuzione anziché un cambio di foro. Il loro esempio concreto è la notifica della violazione. La violazione si è verificata il 20 marzo 2023 e l'obbligo di notificare al Garante è scaduto settantadue ore dopo, quando OpenAI non aveva alcuno stabilimento nell'UE e OpenAI Ireland Ltd non era ancora stata costituita. Il Garante ha classificato tale violazione come consumata e l'ha trattenuta per sé; secondo la logica della corte, l'intera decisione, compresa tale contestazione, viene meno. Gli autori sostengono che è difficile vedere come l'autorità irlandese, la cui competenza è successiva e deriva da uno stabilimento che non esisteva quando è sorto l'obbligo, potrebbe decidere su una notifica dovuta al Garante riguardo a interessati italiani.

Sono attenti ai limiti di tale argomentazione, e altrettanto dovrebbe esserlo il lettore. Registrano la posizione contraria — ossia che il GDPR è un unico strumento valido in tutta l'Unione, cosicché qualunque autorità diventi capofila può applicarlo indipendentemente dal momento in cui i fatti si sono verificati — e ritengono la questione discutibile. Osservano di non essere a conoscenza di alcuna precedente pronuncia di un giudice nazionale che abbia applicato la sezione 4.3.2 del parere 8/2019, che si tratta di una sentenza di primo grado emessa da un giudice monocratico, e che la portata dell'articolo 56 sulle condotte anteriori alla costituzione dello stabilimento appare ai loro occhi incerta anziché chiara. La loro raccomandazione è un rinvio pregiudiziale alla Corte di giustizia ai sensi dell'articolo 267 TFUE.

Il divario nell'applicazione non è solo una previsione dottrinale. Theodore Christakis, scrivendo sul Cross-Border Data Forum il giorno dopo la sentenza, ha rilevato che nessun'altra autorità europea per la protezione dei dati ha pubblicato una decisione definitiva di applicazione riguardante violazioni del GDPR nel periodo di lancio di ChatGPT da novembre 2022 a marzo 2023, e che il rapporto della task force ChatGPT dell'EDPB del maggio 2024 conteneva solo opinioni preliminari. Su questa base, l'unica decisione definitiva di applicazione del GDPR che l'Europa abbia prodotto nel periodo di lancio dell'IA generativa è ora stata annullata.

Cosa è cambiato dopo il 18 marzo

La multa era già stata sospesa. Il 21 marzo 2025 lo stesso tribunale ha sospeso l'efficacia della sanzione in attesa di giudizio, subordinatamente a una garanzia — una cauzione, ovvero un deposito di garanzia, nel resoconto dell'ordinanza di Altalex. Tale sospensione non ha inciso sul merito, e neppure l'annullamento un anno dopo.

Il Garante non ha tanto rimosso il caso dai propri atti quanto piuttosto messo da parte. La sua pagina dei comunicati stampa relativa alla decisione 755 ora riporta un avviso secondo cui la decisione «è stata temporaneamente rimossa dal sito web del Garante» in seguito alla sentenza n. 4153/2026. La parola è dell’Autorità: temporaneamente.

Sulla questione dell'appello, le fonti sono coerenti ma incomplete. Christakis e Monga osservano che il Garante potrebbe ancora ricorrere alla Corte di Cassazione. Il Cross-Border Data Forum ha registrato il 19 marzo 2026 che, poiché la motivazione non era stata resa pubblica, l'autorità non era allora in grado di dire se lo avrebbe fatto. Nelle fonti esaminate per questo articolo non abbiamo trovato alcuna notizia di un ricorso presentato successivamente, né alcuna decisione finale della Irish Data Protection Commission sul fascicolo trasferito. Nessuna delle due assenze è prova che non sia successo nulla; entrambe significano che l'esito non è ancora chiuso.

Consolidato, dibattuto e aperto

• Accertato: che la sentenza n. 4153/2026 del 18 marzo 2026 ha annullato integralmente la decisione n. 755 del 2 novembre 2024, eliminando una sanzione di 15 milioni di euro e un ordine di campagna mediatica di sei mesi; che il dispositivo è stato letto quel giorno senza motivazione; e che le motivazioni pubblicate si fondano sullo sportello unico, sul riconoscimento di OpenAI Ireland Ltd da parte del DPC il 15 febbraio 2024 e sul parere 8/2019 dell'EDPB.

• Dibattuto:se un fascicolo pendente possa essere legittimamente trasferito a un'autorità la cui competenza è successiva rispetto alla condotta contestata. La corte ha risposto di sì; Christakis e Monga sostengono che tale lettura renda non perseguibile la condotta anteriore allo stabilimento e chiedono che sia la Corte di giustizia a decidere; Rödl & Partner e ICT Legal Consulting descrivono invece la sentenza come un chiarimento su come lo sportello unico si applichi a un cambio di stabilimento nel corso del procedimento.

• Aperti: se il Garante porterà il caso in Corte di Cassazione, se qualche tribunale lo rinvierà a Lussemburgo e se l'autorità irlandese arriverà mai a una decisione sulla parte del fascicolo che ha ricevuto.

I 15 milioni di euro sono spariti. La questione sollevata dal caso — chi in Europa può chiamare un fornitore di IA generativa a rispondere del GDPR per il periodo precedente alla presenza di uno stabilimento europeo — si è semplicemente trasferita su un’altra scrivania.