近日，意大利数据保护局（Garante per la protezione dei dati personali）宣布，OpenAI的ChatGPT违反了欧洲数据保护法规（GDPR）。这一发现是在意大利数据保护局对ChatGPT进行了几个月的调查之后做出的。OpenAI可以在30天内提交针对所指控违规的反驳。在对该案件作出最终决定时，意大利Garante将考虑欧洲数据保护框架（EDPB）设立的专门工作组正在进行的工作。意大利是第一个针对ChatGPT采取行动的西欧国家，该国的数据保护机构是欧盟内部评估AI平台与区块数据隐私制度合规性最积极的机构之一。
早在2023年3月31日，意大利数据保护局曾宣布暂时禁止使用ChatGPT，并限制OpenAI处理意大利用户的信息。这一行动主要是由于对个人数据隐私安全的担忧。
主要担忧：意大利监管机构特别关注的问题包括ChatGPT的年龄过滤机制不足，可能使未成年人暴露于不适合内容，以及数据存储的安全风险。
欧洲其他国家的行动：除了意大利之外，西班牙、法国和德国等其他欧盟成员国也开始对ChatGPT展开调查。
OpenAI的回应：在意大利提出的这些担忧之后，OpenAI采取了一系列措施来解决这些问题，包括增强年龄验证机制和允许欧洲用户选择不将他们的数据用于AI训练。
服务恢复：在OpenAI满足了意大利监管机构的要求之后，ChatGPT在意大利的服务于2023年4月底恢复。
然而最新的调查结果显示，ChatGPT的操作存在一项或多项数据隐私违规行为。主要问题包括缺乏适当的法律依据来收集和处理个人数据用于训练算法，以及ChatGPT产生关于个人的不准确信息的倾向。此外，还涉及到儿童安全问题。意大利数据保护局指出，ChatGPT违反了GDPR的多条规定，包括第5条、第6条、第8条、第13条和第25条。
OpenAI回应说，他们相信自己的做法与GDPR及其他隐私法律相符，且已采取额外措施保护人们的数据和隐私。公司还表示，他们希望其AI学习世界知识，而不是个人隐私信息，并积极工作以减少训练系统中的个人数据使用，同时拒绝处理有关个人的私人或敏感信息的请求。
目前，OpenAI面临的挑战之一是如何证明其处理个人数据以训练其AI模型的合法性。GDPR规定了六种可能的合法基础，而OpenAI过去的做法似乎很难满足这些要求。尤其是在没有获得成千上万（甚至是数十亿）网络用户的同意的情况下，其声称拥有欧洲用户处理数据的许可似乎注定要失败。
意大利数据保护局还表示，将考虑欧洲数据保护委员会（EDPB）设立的特别工作组的工作进展来决定对OpenAI的最终裁决。此外，OpenAI也在努力通过在爱尔兰建立物理基地等举措来应对欧盟范围内日益增长的监管风险，希望通过这些举措获得“主要设立地”地位，并将其GDPR合规性的评估转交给爱尔兰的数据保护委员会。
这一事件反映了随着AI技术的快速发展，各国监管机构对数据隐私和保护的重视程度不断提高，也显示了跨国科技公司在全球范围内遵守数据保护法律的挑战。
欧盟通用数据保护条例（GDPR）
欧盟通用数据保护条例（GDPR）中与ChatGPT及其他人工智能（AI）系统相关的主要内容包括：
同意和透明度：GDPR要求在处理个人数据时必须获得明确同意。对于像ChatGPT这样的AI系统而言，这意味着必须通知用户正在收集什么数据，如何使用，并且必须得到用户的同意。AI系统的运作和数据使用方式也必须是透明的。
数据最小化和目的限制：根据GDPR，数据收集应限于所需的目的。AI系统必须只收集执行其功能所必需的数据，并且不得将数据用于收集之外的其他目的。
访问权和被遗忘权：个人有权访问AI系统处理的个人数据，并可以要求更正不准确的数据。在某些条件下，他们还有权要求删除他们的数据，这对存储用户数据的AI系统来说是一个重要的考虑因素。
数据可移植性：GDPR赋予个人获取和重用他们的个人数据的权利。这可能会影响AI系统，用户可能希望将他们的数据从一个平台转移到另一个平台。
自动化决策和分析：GDPR包括关于自动化决策和分析的条款。这对于可能用于基于用户数据做出决策的ChatGPT等AI系统尤其相关。该条例要求个人有权不受仅基于自动化处理的决策的约束，包括可能对他们产生法律影响或类似地显著影响他们的分析。
数据保护的设计和默认设置：GDPR要求将数据保护整合到产品和服务的业务流程开发中。隐私设置必须默认设定在高水平，AI系统应从一开始就以数据保护为设计理念。
跨境数据传输：GDPR规范了个人数据传输到欧盟以外地区的行为。这对于像ChatGPT这样的全球性AI系统尤为相关，尤其是如果它们涉及跨境数据传输。
数据安全：GDPR要求采取强有力的安全措施来保护个人数据。AI系统必须确保它们处理的数据免受未经授权的访问、披露、更改和破坏。
理解和遵守这些GDPR条款对于AI技术（包括ChatGPT）至关重要，尤其是在处理欧盟个人的数据时。不遵守可能会导致严重的处罚。