OpenAIに対しイタリアの個人データ保護当局がGDPR違反を通知、最大で全世界年間売上高の4％または32億円の制裁金が課される可能性あり

イタリアの個人データ保護当局(DPA)がChatGPTなどのサービスを展開するOpenAIに対し、一般データ保護規則(GDPR)違反を通知しました。OpenAIには最大で全世界年間売上高の4％または2000万ユーロ(約32億円)の制裁金が課される可能性が存在しています。

ChatGPT: Garante privacy, notificato a OpenAI l’atto di contestazione... - Garante Privacy
https://gpdp.it/home/docweb/-/docweb-display/docweb/9978020

ChatGPT is violating Europe’s privacy laws, Italian DPA tells OpenAI | TechCrunch
https://techcrunch.com/2024/01/29/chatgpt-italy-gdpr-notification/

2023年3月31日にイタリアの個人データ保護当局がOpenAIに対して「ChatGPTがユーザーデータを違法に処理している懸念」があると発表し、OpenAIに対してChatGPTへのイタリアからのアクセスをブロックするよう命令を出しました。

OpenAIがイタリアからのChatGPTへのアクセスをブロック - GIGAZINE

その後、OpenAIは規制当局の要求に従って個人情報削除フォームや使用者の年齢確認を導入し、2023年4月末には再びイタリアでのChatGPTサービスの提供を再開していました。

ChatGPTがイタリアでのブロック措置から復活、トレーニングデータの収集・使用法の明確化や個人情報削除フォームの追加などにより - GIGAZINE

サービス提供は再開されたものの、GDPR違反の調査は継続しており、2024年1月29日にイタリアの個人データ保護当局はOpenAIに対し「調査結果に基づき、入手した証拠がGDPR違反の存在を示していると結論付けた」と通知しました。

具体的な調査結果については公表されていませんが、OpenAIはTechCrunchのインタビューに対し「当社は、当社の実践がGDPRおよびその他のプライバシー法に準拠していると信じており、人々のデータとプライバシーを保護するために追加の措置を講じています。私たちは、AI に個人ではなく世界について学習してもらいたいと考えています。当社は、ChatGPT などのシステムのトレーニングにおいて個人データを削減するよう積極的に取り組んでおり、人々に関する個人情報や機密情報の要求も拒否します。私たちは個人データ保護当局と建設的に協力し続けるつもりです」と述べました。

なお、GDPRのどの項目に違反しているのかについても記事作成時点では非公開となっていますが、TechCrunchは「ChatGPTのトレーニングに使用された公共のインターネットから収集された大量のデータについて、EU国民のデータを処理するのに必要な法的根拠が存在しない点が問題なのではないか」と分析しています。

ユーザーの同意なしに訓練した可能性のあるChatGPTの「OpenAI」が厳格なプライバシー法を重視するEUで法的な問題に直面、「規則の準拠は不可能に近い」と専門家 - GIGAZINE

今回の「GDPR違反の通知」時点では正式な違反が成立したわけではなく、OpenAIはこの申し立てに対して30日以内に反訴を提出することが可能です。OpenAIの回答後に正式な決定が行われ、もしGDPR違反が成立した場合は最大で全世界年間売上高の4％または2000万ユーロ(約32億円)のうち高い方の金額が制裁金として課される可能性があります。