Roms domstol upphäver Garantes böter på 15 miljoner euro mot OpenAI på jurisdiktionella grunder

Den 18 mars 2026 upphävde domstolen i Rom i sin helhet den italienska dataskyddsmyndighetens beslut mot OpenAI: böter på 15 miljoner euro och ett föreläggande om att företaget skulle genomföra en sex månader lång offentlig informationskampanj om hur ChatGPT tränas på personuppgifter. Domstolen konstaterade inte att OpenAI hade följt GDPR. Den konstaterade att Garante – Autorità Garante per la Protezione dei Dati Personali – inte längre var den myndighet som hade rätt att besluta. Grunden var jurisdiktion – en punkt som domstolen inte förklarade samma dag och som blev klar först när de fullständiga skälen publicerades den 28 maj 2026 – och den hängde på ett datum: den irländska dataskyddsmyndigheten hade den 15 februari 2024 erkänt OpenAI Ireland Ltd som företagets enda etablering inom Europeiska ekonomiska samarbetsområdet, åtta och en halv månad före Garantes slutliga beslut, och enligt GDPR:s mekanism för en enda kontaktpunkt borde ärendet vid det laget ha funnits i Dublin. Reuters rapporterade om domen den 19 mars 2026 och noterade att domstolen inte lämnade någon förklaring då; Garante avböjde att kommentera. Ärendets allvarlighetsgrad, konfidensbedömning och fullständiga källförteckning finns i Orca AI Incident Archive, tillsammans med de övriga europeiska tillsynsärenden som registrerats runt det.

Vad som upphävdes, och vad domstolen inte sade

Det beslut som avses är Garantes provvedimento n. 755 av den 2 november 2024, offentliggjort den 20 december 2024. Det konstaterade att OpenAI hade underlåtit att anmäla en personuppgiftsincident som inträffat i mars 2023 till myndigheten, hade behandlat användarnas personuppgifter för att träna ChatGPT utan att först ha fastställt en lämplig rättslig grund, hade åsidosatt GDPR:s transparens- och informationsskyldigheter samt inte hade infört någon åldersverifieringsmekanism, med följden — enligt Garantes formulering — att barn under 13 riskerade att exponeras för svar som var olämpliga för deras utvecklingsstadium.

Siffran på 15 miljoner euro var, enligt Garantes egen redogörelse, beräknad "även med hänsyn tagen till företagets samarbetsvilliga inställning". Det mer ovanliga inslaget i beslutet var det andra föreläggandet. Genom att för första gången använda artikel 166(7) i den italienska integritetskoden krävde myndigheten en sex månader lång institutionell kampanj i radio, tv, tidningar och på internet, vars innehåll skulle överenskommas med myndigheten, riktad till både användare och icke-användare av ChatGPT och som förklarade hur deras data samlades in för träning och hur man invänder mot, rättar eller raderar den.

Den 18 mars 2026 upphävde domstolen det beslutet i sin helhet. Den lämnade inga skäl den dagen. Garante tog emot domen den 19 mars, och de fullständiga skälen blev offentligt tillgängliga först den 28 maj 2026, vilket Theodore Christakis och Giulio Monga rapporterar i European Law Blog. OpenAI:s svar, som gavs till Reuters, var att man välkomnade beslutet, att man "alltid hade varit angelägen om att respektera användarnas integritet" och att man såg fram emot att hjälpa fler italienare, företag och samhället i stort att dra nytta av AI. Garante hade inga kommentarer.

Tre veckor, sedan åtta och en halv månad

Kronologin är avgörande. Garante inledde sitt sanktionsförfarande den 26 januari 2024. Den 15 februari 2024 – omkring tre veckor senare – erkände Irlands dataskyddsmyndighet formellt OpenAI Ireland Ltd som OpenAI:s enda etablering i EES. Garante antog sitt slutliga beslut den 2 november 2024, omkring åtta och en halv månad efter det erkännandet.

Den distinktionen mellan bildande och erkännande spelar roll. OpenAI Ireland Ltd bildades den 24 mars 2023, men "single establishment" är ett självständigt begrepp inom EU:s dataskyddsrätt som avgörs av ett effektivt och verkligt utövande av verksamhet genom stabila arrangemang; de två datumen behöver inte sammanfalla. Det som ändrades den 15 februari 2024 var inte att det fanns ett irländskt bolag, utan dess erkännande för one-stop-shop-ändamål.

Artikel 56.1 i GDPR ger tillsynsmyndigheten vid den personuppgiftsansvariges huvudsakliga eller enda verksamhetsställe exklusiv behörighet över gränsöverskridande behandling, i egenskap av ledande tillsynsmyndighet. Roms domstol stödde sig på Europeiska dataskyddsstyrelsens yttrande 8/2019, och särskilt dess avsnitt 4.3.2 om inrättandet av ett huvudsakligt eller enda verksamhetsställe, eller dess flytt från ett tredjeland till EES, medan administrativa förfaranden redan pågår. Enligt den tolkningen kan behörigheten övergå till den nya ledande tillsynsmyndigheten när som helst fram till dess att ett slutgiltigt beslut har antagits, och eventuella pågående förfaranden måste överföras med den.

Garante hade förutsett problemet och delat upp akten. I sitt pressmeddelande från december 2024 uppger myndigheten att den, eftersom OpenAI hade etablerat sitt europeiska huvudkontor i Irland under utredningen, "översände förfarandehandlingarna till den irländska dataskyddsmyndigheten (DPC), som blev ledande tillsynsmyndighet enligt GDPR för att fortsätta utreda eventuella pågående överträdelser som inte hade avslutats före öppnandet av det europeiska huvudkontoret". Kvalificeringen är Garantes egen: den behöll det den ansåg vara avslutat och skickade vidare det den ansåg vara pågående. Domstolen slog fast att uppdelningen inte stod till buds för den.

Ordet som domen hängde på

Nästan hela tvisten kan reduceras till punkt 16 i yttrande 8/2019, där det sägs att de frågor som behandlas i yttrandet "huvudsakligen avser överträdelser av pågående eller fortlöpande karaktär". Garante tolkade detta som en begränsning: överföringslogiken var utformad för pågående överträdelser och kunde inte omfatta agerande som redan hade avslutats innan någon EES-etablering fanns. OpenAI tolkade "huvudsakligen" som beskrivande snarare än uteslutande. Domstolen instämde med OpenAI och slog fast att "huvudsakligen" anger den typ av mål där frågan oftast uppstår och inte utesluter att samma logik tillämpas på avslutade överträdelser där förfarandet fortfarande pågår och inget slutligt beslut har fattats.

Garantes reservlösning var principen i den italienska civillagen om tempus regit actum – att den lag som är i kraft vid tidpunkten är den som gäller. Domstolen avvisade den mot bakgrund av omständigheterna: detta var en följd av faktiska omständigheter, inte en följd av lagar. Det avgörande momentet, enligt domens resonemang, är varken tidpunkten för överträdelsen eller tidpunkten då utredningen inleddes, utan den dag då det slutliga beslutet antogs. Efter den tidpunkten är behörigheten fast.

Saken prövades aldrig i sak

Domstolen biföll den första överklagandegrunden, bristande behörighet, och förklarade varje annan grund "absorberad". Den gjorde ingen prövning av den rättsliga grunden för träning, av transparens, av åldersverifiering eller av den sena incidentanmälan. Den sade inget om huruvida 15 miljoner euro var proportionerligt. Dessa frågor förblir formellt obesvarade.

Det är den punkt som lättast går förlorad i rapporteringen. Som den italienska firman Rödl & Partner uttryckte det i en notis från juni 2026 bör domen "inte läsas som ett egentligt grönt ljus för OpenAIs praxis: det är endast en överföring av behörighet till den behöriga tillsynsmyndigheten". Arkivets post registrerar ingen faktisk skada för denna händelse, vilket stämmer med ett fall som handlade om vem som får besluta snarare än om en fastställd skada på identifierade personer.

Om filen har ett hem i Dublin

Den mest betydande invändningen mot avgörandet är att den mottagande parten inte heller kan komma att kunna avgöra ärendet. Christakis och Monga skriver i European Law Blog den 4 juni 2026 under rubriken ”Establish, Then Escape?” och hävdar att domstolens tolkning leder till en lucka i verkställigheten i stället för ett byte av forum. Deras konkreta exempel är anmälan av personuppgiftsincidenten. Incidenten inträffade den 20 mars 2023 och skyldigheten att anmäla den till Garante förföll sjuttiotvå timmar senare, då OpenAI inte hade någon etablering i EU och OpenAI Ireland Ltd ännu inte hade bildats. Garante klassificerade den överträdelsen som fullbordad och behöll den för egen del; enligt domstolens logik faller hela beslutet, inklusive den anklagelsepunkten, bort. Författarna hävdar att det är svårt att se hur den irländska myndigheten, vars behörighet tillkom senare och följer av en etablering som inte fanns när skyldigheten uppstod, skulle kunna pröva en anmälan som ska göras till Garante avseende italienska registrerade.

De är noggranna med gränserna för det argumentet, och det bör läsaren också vara. De redovisar den motsatta ståndpunkten – att GDPR är ett enda unionsomfattande instrument, så att den myndighet som blir ledande får tillämpa det oavsett när omständigheterna uppstod – och kallar frågan diskutabel. De noterar att de inte känner till någon tidigare nationell domstolsdom som tillämpar avsnitt 4.3.2 i yttrande 8/2019, att detta är en dom i första instans av en enda domare, och att räckvidden för artikel 56 när det gäller agerande före etableringen enligt deras uppfattning framstår som osäker snarare än tydlig. Deras rekommendation är att begära förhandsavgörande hos EU-domstolen enligt artikel 267 FEUF.

Tillsynsgapet är inte bara en doktrinär förutsägelse. Theodore Christakis, som skrev på Cross-Border Data Forum dagen efter domen, noterade att ingen annan europeisk dataskyddsmyndighet har publicerat ett slutligt tillsynsbeslut om GDPR-överträdelser från ChatGPT:s lanseringsperiod november 2022 till mars 2023, och att EDPB:s ChatGPT-taskforce-rapport från maj 2024 endast innehöll preliminära ståndpunkter. Av den anledningen har det enda slutliga GDPR-tillsynsbeslut som Europa fattade under lanseringsperioden för generativ AI nu upphävts.

Vad förändrades efter den 18 mars

Böterna hade redan skjutits upp. Den 21 mars 2025 sköt samma domstol upp sanktionens verkan i avvaktan på dom, mot en garanti – en cauzione, eller säkerhetsdeposition, enligt Altalex redogörelse för beslutet. Det uppskovet rörde inte sakfrågan, och ogiltigförklaringen ett år senare gjorde det inte heller.

Garante har inte så mycket tagit bort ärendet från sitt register som lagt det åt sidan. Pressmeddelandesidan för beslut 755 innehåller nu ett meddelande om att beslutet "tillfälligt har avlägsnats från Garantes webbplats" efter dom nr 4153/2026. Ordet är myndighetens eget: tillfälligt.

I frågan om överklagande är källorna samstämmiga men ofullständiga. Christakis och Monga noterar att Garante fortfarande kan överklaga till Corte di Cassazione. Cross-Border Data Forum registrerade den 19 mars 2026 att myndigheten, eftersom motiveringen inte hade offentliggjorts, då inte kunde säga om den skulle göra det. I de källor som granskats för den här artikeln fann vi ingen rapport om någon inlämnad överklagan sedan dess och inget slutligt beslut från Irish Data Protection Commission om den överlämnade akten. Ingen av avsaknaderna är bevis för att ingenting har hänt; båda innebär att utgången ännu inte är avgjord.

Etablerat, argumenterat och öppet

• Fastställt: att dom nr 4153/2026 av den 18 mars 2026 upphävde beslut nr 755 av den 2 november 2024 i sin helhet, vilket undanröjde en böter på 15 miljoner euro och ett föreläggande om en sex månader lång mediekampanj; att själva beslutsdelen lästes den dagen utan motivering; och att de publicerade skälen vilar på one-stop-shop-mekanismen, DPC:s erkännande av OpenAI Ireland Ltd den 15 februari 2024 och EDPB:s yttrande 8/2019.

• Argumenterade: om ett pågående ärende vederbörligen kan överföras till en myndighet vars behörighet uppkom efter det aktuella agerandet. Domstolen sade ja; Christakis och Monga menar att en sådan tolkning gör agerandet före etableringen oåtkomligt och vill att EU-domstolen ska avgöra saken; Rödl & Partner och ICT Legal Consulting beskriver i stället domen som ett klargörande av hur one-stop-shop-principen tillämpas när etableringen ändras mitt under förfarandet.

• Öppet: om Garante tar ärendet till Corte di Cassazione, om någon domstol hänskjuter det till Luxemburg, och om den irländska myndigheten någonsin fattar ett beslut om den del av akten som den har mottagit.

15 miljoner euro är borta. Frågan som fallet väckte – vem i Europa som kan ställa en leverantör av generativ AI till svars enligt GDPR för perioden innan den hade en europeisk etablering – har helt enkelt flyttats till ett annat skrivbord.