ローマ裁判所、管轄権を理由にGaranteによるOpenAIへの1500万ユーロの制裁金を取り消し

2026年3月18日、ローマ裁判所は、イタリアのデータ保護監督機関がOpenAIに対して下した決定を全面的に取り消した。すなわち1500万ユーロの制裁金と、ChatGPTが個人データでどのように訓練されるかについて6か月間の公共情報キャンペーンを実施するよう同社に命じた命令である。裁判所は、OpenAIがGDPRを遵守していたとは認定しなかった。裁判所が認定したのは、Garante — Autorità Garante per la Protezione dei Dati Personali — がもはや決定を下す権限を有する機関ではないということだった。理由は管轄権であり、これは裁判所が当日に説明しなかった点で、2026年5月28日に判決理由の全文が公表されて初めて明らかになった。そしてそれはある日付に懸かっていた。アイルランドのデータ保護委員会がOpenAI Ireland Ltdを欧州経済領域における同社の単一の拠点として認めたのは2024年2月15日であり、これはGaranteの最終決定の8か月半前だった。そのため、GDPRのワンストップショップ制度の下では、その時点で当該案件ファイルはダブリンにあるべきだった。Reutersは2026年3月19日にこの判決を報じ、裁判所が当時説明を公表しなかったと指摘した。Garanteはコメントを拒否した。記録の重大度評価、信頼度評価、完全な情報源リストは、Orca AI Incident Archiveに収められており、その周辺に記録された他の欧州の規制関連項目と並んでいる。

何が取り消されたのか、そして裁判所が語らなかったこと

問題となっている決定は、Garanteの2024年11月2日付provvedimento n. 755（2024年12月20日公表）です。同決定は、OpenAIが2023年3月に発生した個人データ侵害を当局に通知しなかったこと、ChatGPTを訓練するために適切な法的根拠を事前に特定することなくユーザーの個人データを処理したこと、GDPRの透明性および情報提供義務に違反したこと、年齢確認の仕組みを一切導入しなかったことを認定しました。その結果、Garanteの言葉によれば、13歳未満の子どもが発達段階に不適切な応答にさらされるおそれがあるとされました。

1500万ユーロという金額は、Garante自身の説明によれば、「同社の協力的な姿勢も考慮に入れて」算定されたものだった。この決定のより異例な部分は、第2の命令だった。当局は、イタリアのプライバシー法典第166条(7)を初めて用いて、ラジオ、テレビ、新聞、インターネットを通じた6か月間の啓発キャンペーンを義務付けた。その内容は当局と合意するものとし、ChatGPTの利用者と非利用者の双方を対象に、学習のためにデータがどのように収集されたか、またそれに対して異議を述べ、訂正し、削除する方法を説明するものだった。

2026年3月18日、裁判所はその決定を全面的に取り消した。その日は理由を示さなかった。Garanteは3月19日に判決を受け取り、判決理由の全文が公に入手可能になったのは2026年5月28日になってからだった。Theodore ChristakisとGiulio MongaがEuropean Law Blogで記しているとおりである。Reutersに対して発表されたOpenAIの回答は、決定を歓迎し、「常にユーザーのプライバシーを尊重することに尽力してきた」と述べ、より多くのイタリアの人々、企業、社会がAIの恩恵を受けられるよう支援することを楽しみにしている、というものだった。Garanteはコメントを控えた。

3週間、それから8か月半

時系列が決め手だ。Garanteは2024年1月26日に制裁手続を開始した。2024年2月15日、つまり約3週間後、アイルランドデータ保護委員会はOpenAI Ireland LtdをEEAにおけるOpenAIの単一拠点として正式に認定した。Garanteは2024年11月2日、その認定から約8か月半後に最終決定を採択した。

設立と認定のこの区別は重要だ。OpenAI Ireland Ltdは2023年3月24日に設立されたが、「単一の拠点」はEUデータ保護法上の自律的概念であり、安定した取決めを通じて活動を効果的かつ現実的に行使しているかどうかにかかっている。両方の日付が一致する必要はない。2024年2月15日に変わったのは、アイルランド企業の存在ではなく、ワンストップショップ目的でのその認定だった。

GDPR第56条第1項は、管理者の主たる事業所または単一の事業所の監督機関に、主導監督機関として行動し、越境処理について独占的管轄権を付与する。ローマ裁判所は、欧州データ保護会議の意見8/2019、特に、行政手続がすでに係属している間に主たる事業所または単一の事業所が創設される場合、または第三国からEEA内へ移転される場合に関する第4.3.2節に依拠した。この解釈によれば、最終決定が採択されるまでのいずれかの時点で管轄権は新たな主導監督機関に移行し得るため、係属中の手続はそれに伴って移管されなければならない。

Garanteはその問題を予見しており、事件ファイルを分割していた。2024年12月のプレスリリースで同庁は、調査中にOpenAIがアイルランドに欧州本部を設置したため、当局は「手続書類をアイルランドのデータ保護当局（DPC）に送付した。同当局は、欧州本部の開設前に完了していなかった進行中のあらゆる違反を引き続き調査するため、GDPR上の主導監督機関となった」と述べている。この位置づけはGarante自身によるもので、同庁は終了したと考える部分を保持し、継続中と考える部分を送付した。裁判所は、そのような分割は同庁には認められないと判断した。

判決を左右した語

ほぼ争いの全体は、意見書8/2019の第16段落に帰着する。同段落は、意見書で検討された問題が「主に、継続的または連続的な性質の侵害に関係する」と述べている。ガランテはこれを限界と解した。すなわち、移転の論理は継続的侵害のために設計されたものであり、EEA域内の拠点が存在する前にすでに完了していた行為には及ばないというのである。OpenAIは「主に」を排他的ではなく記述的と読んだ。裁判所はOpenAIに同意し、「主に」は問題が最も頻繁に生じる類型の事件を特定するものであり、手続が依然として係属中で最終決定がまだ下されていない、完了済みの侵害にも同じ論理が適用されることを排除しない、と判示した。

ガランテが代替的に持ち出したのは、イタリア民法典のtempus regit actumという原則、すなわちその時点で施行されている法が適用されるという原則だった。裁判所は事実に照らしてこれを退けた。これは法の連続ではなく、事実の連続だった。判決の論理によれば、決定的な時点は違反の日でも調査開始の日でもなく、最終決定が採択された日である。その時点以降、管轄は固定される。

本案の判断には至らなかった

裁判所は上訴理由の第一である「権限の欠如」を認容し、その他のすべての理由は「吸収された」と宣言した。学習の法的根拠、透明性、年齢確認、あるいは遅延した侵害通知については、何ら判断を示していない。1,500万ユーロが均衡を欠くかどうかについても、一切触れていない。これらの問題は、形式上いまだ答えの出ていないままである。

それは報道で最も見落とされやすい点だ。イタリアの事務所Rödl & Partnerが2026年6月の書面で述べたように、この判決は「OpenAIの慣行に対する実質的な青信号と読むべきではない。それは適切な監督当局への管轄権の移転にすぎない」。アーカイブの項目には、この事案について現実世界での害は記録されていない。これは、特定された人々への立証済みの被害ではなく、誰が決定できるかが争点となった事案と整合している。

ファイルがダブリンに置き場所を持っているかどうか

判決に対する最も実質的な異議は、移管先もまた当該事件を判断できない可能性があるという点である。Christakis と Monga は、2026年6月4日に European Law Blog で「Establish, Then Escape?」という表題の記事を執筆し、裁判所の解釈は管轄変更ではなく執行の空白を生み出すと論じている。彼らの具体的な例は侵害通知である。侵害は2023年3月20日に発生し、Garante への通知義務は72時間後に到来したが、その時点で OpenAI には EU 拠点がなく、OpenAI Ireland Ltd はまだ設立されていなかった。Garante はこの違反を既遂として分類し、自らの所管に留めた。裁判所の論理によれば、その訴因を含む決定全体が失われる。著者らは、アイルランド当局の権限は義務発生時には存在しなかった拠点に後から生じ、そこから導かれるものである以上、イタリアのデータ主体に関して Garante に負う通知をアイルランド当局が裁くことは困難であると論じる。

彼らはその論拠の限界に慎重であり、読者もそうすべきである。彼らは反対の立場——GDPRは連合全域にわたる単一の法的文書であり、したがってどの当局が主導当局となっても、事実がいつ生じたとしてもそれを執行し得るという立場——を記載し、この問題には議論の余地があると述べている。彼らは、Opinion 8/2019の4.3.2節を適用したこれ以前の国内裁判所の判決を把握していないこと、本件が単独裁判官による第一審判決であること、および拠点設置前の行為に対する第56条の及ぶ範囲は明確ではなく未解決であると思われることを指摘している。彼らの勧告は、TFEU第267条に基づく欧州司法裁判所への先決的付託である。

執行の空白は、単なる学説上の予測ではない。判決の翌日にCross-Border Data Forumへ寄稿したTheodore Christakisは、2022年11月から2023年3月のChatGPT公開期間中のGDPR違反について、他の欧州のデータ保護当局が最終的な執行決定を公表していないこと、また2024年5月のEDPBのChatGPTタスクフォース報告書が予備的見解のみを含んでいたことを記している。その意味で、生成AIの公開期間に欧州が下した唯一の最終的なGDPR執行決定は、今や取り消された。

3月18日以降に何が変わりましたか

罰金はすでに執行停止となっていた。2025年3月21日、同一の裁判所は、判決までの間、制裁の効力の停止を命じ、その条件として保証金——カウツィオーネ、すなわち担保供託——を求めた（Altalexによる命令の説明）。この停止は本案には及ばず、1年後の取消しも同様であった。

Garanteはこの案件を記録から削除したというよりも、むしろ脇に置いたのだ。決定755のプレスリリースページには現在、判決n. 4153/2026を受けて、同決定が「Garanteのウェブサイトから一時的に削除された」との告知が掲載されている。「一時的」という言葉は当局自身によるものだ。

上訴の問題について、情報源は一致しているが不完全である。ChristakisとMongaは、GaranteがなおCorte di Cassazioneへ上訴する可能性があると指摘している。Cross-Border Data Forumは2026年3月19日、理由が公表されていなかったため、当局は当時、上訴するかどうかを明らかにできる立場になかったと記録している。本記事のために確認した情報源では、それ以降の上訴申立てに関する報道も、移管されたファイルについてIrish Data Protection Commissionによる最終決定も見つからなかった。どちらの不存在も何も起きなかったことの証拠ではなく、どちらも結果がまだ確定していないことを意味している。

確立済み、議論中、未解決

• 確認された事項：2026年3月18日の第4153/2026号判決が、2024年11月2日の第755号決定を全面的に取り消し、1500万ユーロの制裁金および6か月間のメディアキャンペーン命令を解除したこと、主文が同日、理由を示さずに読み上げられたこと、ならびに公表された理由がワンストップショップ、2024年2月15日のDPCによるOpenAI Ireland Ltdの認定、およびEDPB意見8/2019に依拠していること。

• 争点：係属中の案件を、問題となる行為より後に権限を取得した当局へ適法に移管できるか。裁判所は可能とした。Christakis と Monga は、その解釈では設立前の行為が執行不能になると述べ、欧州司法裁判所に判断を求めている。これに対し、Rödl & Partner と ICT Legal Consulting は、判決をむしろ、ワンストップショップが手続途中の設立変更にどのように適用されるかを明らかにしたものだと評している。

• 未解決:Garanteがこの件をCorte di Cassazioneに持ち込むかどうか、いずれかの裁判所がこれをルクセンブルクに付託するかどうか、アイルランド当局が受け取ったファイルの一部についていずれ決定に達するかどうか。

1500万ユーロは消えた。この事件が提起した問い——欧州で誰が、生成AIプロバイダーに対し、欧州拠点を持つ前の期間についてGDPRに基づく責任を問えるのか——は、ただ別の担当部署へ移っただけだ。