AI e Privacy: Provvedimento del Garante su Scraping e addestramento modelli

1. Il fatto

   Secondo quanto riportato da testate quali Wired Italia e Il Giorno, l'Autorità Garante per la Protezione dei Dati Personali ha avviato un'indagine conoscitiva nel novembre 2023. La vicenda trae origine dalla pratica del cosiddetto web scraping, ovvero l'estrazione massiva di dati da siti web pubblici e privati per l'addestramento di modelli di AI generativa. Il documento di indirizzo si inserisce in una fase di vigilanza amministrativa che coinvolge i principali operatori internazionali, diretta a verificare se la mera disponibilità dei dati in rete ne autorizzasse il riutilizzo commerciale. La fase procedimentale attuale è quella dell'istruttoria conoscitiva: l'Autorità sta valutando se taluni titolari di siti web non abbiano predisposto adeguate misure di sicurezza, rendendo le informazioni degli utenti vulnerabili alla raccolta automatizzata. Contestualmente, l'istruttoria specifica avviata nei confronti di OpenAI si è conclusa il 20 dicembre 2024 con una sanzione di 15 milioni di euro, chiarendo i limiti tra le esigenze di alimentazione dei modelli tecnologici e l'assenza di un consenso espresso da parte degli interessati. Riguardo a un'altra nota multinazionale tecnologica, non vi è alcuna istruttoria del Garante italiano, trattandosi di reclami di competenza di altre autorità europee.

2. 

   Le norme in gioco

   Il perimetro normativo della vicenda si incentra sul Regolamento UE 2016/679 (GDPR).

   1. L'art. 5 GDPR sancisce i principi di limitazione della finalità e minimizzazione dei dati, precludendo trattamenti per scopi incompatibili con quelli della raccolta originaria.
   2. L'art. 6, par. 1, lett. f) GDPR individua nel legittimo interesse la possibile base giuridica, subordinandola al superamento del test di bilanciamento tra gli interessi del titolare e i diritti fondamentali dell'interessato.
   3. L'art. 25 GDPR recepisce il principio di privacy by design, imponendo ai gestori dei siti di adottare presidi tecnici idonei a contrastare lo scraping non autorizzato.
   4. L'art. 83 GDPR commina sanzioni amministrative pecuniarie fino al 4% del fatturato annuo globale per le violazioni accertate.

3. Cosa dice la giurisprudenza

   La giurisprudenza europea ha consolidato l'orientamento secondo cui il legittimo interesse non costituisce una licenza in bianco per l'estrazione indifferenziata di dati online. La Corte di Giustizia UE ha chiarito che la valutazione di bilanciamento deve essere condotta con estremo rigore e non può legittimare la profilazione massiva qualora l'interessato sia privo di agevoli strumenti di opposizione. In modo analogo, i pareri dell'EDPB hanno ribadito che l'addestramento dei modelli di AI necessita di trasparenza assoluta sulle fonti e di un meccanismo effettivo di opt-out. In sede nazionale, i precedenti provvedimenti avevano già evidenziato che la reperibilità di un dato in rete non ne muta la natura in dato pubblico liberamente utilizzabile. La giurisprudenza di merito ha altresì iniziato a riconoscere il diritto al risarcimento del danno nei casi in cui le informazioni personali, benché accessibili, vengano decontestualizzate e inserite in dataset permanenti senza che l'interessato potesse ragionevolmente prefigurarsi tale trattamento.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Condurre sempre un Legitimate Interest Assessment (LIA) documentato prima di avviare campagne di raccolta dati automatizzata.
   2. Implementare misure tecniche di privacy by design, quali il filtraggio dei dati personali sin dalla fase di estrazione.
   3. Verificare le condizioni generali di contratto e i Termini di Servizio dei siti target al fine di prevenire illeciti contrattuali che aggravino i profili di violazione della privacy.
   4. Predisporre canali idonei per l'esercizio dei diritti da parte degli interessati, inclusi meccanismi di opposizione semplificati.

9. Nota di aggiornamento e rettifica (17 settembre 2026)

   La versione precedente di questo articolo riportava erroneamente l'esistenza di un'istruttoria del Garante Privacy italiano nei confronti di Meta, in realtà inesistente in quanto oggetto di reclamo presso la DPC irlandese. Inoltre, il procedimento a carico di OpenAI veniva presentato come pendente, mentre si è concluso il 20 dicembre 2024 con una sanzione di 15 milioni di euro. Infine, è stata rimossa la data errata riferita al documento di indirizzo del Garante. Il testo è stato corretto sulla base degli atti ufficiali.

Riferimenti: Regolamento (UE) 2016/679 (GDPR)D.Lgs. 196/2003 (Codice Privacy)Regolamento (UE) 2024/1689 (AI Act)Provvedimento Garante Privacy su OpenAI del 20 dicembre 2024

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 17 settembre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica