意大利Garante因数据训练隐私合规问题对ChatGPT实施临时禁令并处以1500万欧元罚款案（2023-2024年）

【案件背景】
2023年3月31日，意大利数据保护局（Garante）以存在紧急风险为由，在全球范围内率先对OpenAI的ChatGPT服务实施了临时禁令——禁止ChatGPT在意大利境内处理用户数据。Garante的调查主要关注四个核心问题：①ChatGPT训练数据的合法性——OpenAI从互联网大规模抓取数据用于训练大模型的行为是否具有法律依据；②ChatGPT偶尔输出不准确个人信息的“幻觉”问题是否构成对GDPR准确性原则的违反；③缺乏有效的年龄验证机制导致13岁以下儿童可能暴露于不适当内容；④2023年3月20日ChatGPT发生过一次数据泄露事件（部分用户的对话历史和支付信息被其他用户看到）。2024年1月，Garante在OpenAI完成整改后解除了禁令，但最终仍处以1500万欧元罚款。

【违法事实】
经调查查明：
（1）训练数据的法律依据缺失是Garante调查的核心问题。OpenAI在训练GPT模型时从全球互联网公开来源大规模抓取了文本数据（包括网页、书籍、社交媒体帖子、代码仓库等）。Garante认为：该大规模数据抓取和处理行为须有法律依据。OpenAI最初主张其处理基于“合法权益”（GDPR第6(1)(f)条），但Garante认为，当处理涉及全球数亿人（包括非ChatGPT用户）的个人数据、且数据主体无法合理预期其公开发布的信息将被AI公司大规模收集和用于训练商业AI模型时，“合法权益”基础难以成立。
（2）模型输出不准确（“幻觉”）侵犯个人数据准确性权利。ChatGPT在回答关于真人的问题时，有时会生成包含虚假信息的回答（如虚构某人的职业、学历、犯罪记录等）。Garante认为这违反了GDPR第5(1)(d)条（准确性原则）和第16条（更正权）——因为数据主体几乎无法在模型中纠正关于自己的虚假信息。
（3）年龄验证机制缺失。ChatGPT在注册时仅要求用户输入出生日期（可轻易虚报），缺乏有效的年龄验证机制（如身份文件验证、家长同意等），违反了GDPR第8条对13岁以下儿童数据处理须获得家长同意的要求。
（4）数据泄露事件。2023年3月20日，一个开源库中的漏洞导致部分ChatGPT Plus订阅用户的姓名、电子邮箱、支付地址、信用卡类型和最后四位数字被其他用户看到。
（5）透明度信息不充分。OpenAI的隐私政策未以意大利语和清晰易懂的方式向意大利用户充分说明训练数据来源、数据处理的法律依据以及用户享有的GDPR权利。

【处罚决定】
2024年1月29日，Garante在全面调查后作出最终决定：
（一）认定OpenAI违反GDPR多项条款，处1500万欧元行政罚款。
（二）命令OpenAI在意大利媒体上开展为期6个月的公众信息宣传活动，通过广播、电视、报纸和在线渠道向公众解释ChatGPT的数据处理方式以及用户享有的权利。
（三）要求OpenAI在罚款决定后90天内完成对训练数据更透明的信息披露。
此前，2023年4月28日，OpenAI已在满足Garante要求的整改措施（包括增加年龄验证、提供用户数据删除和拒绝数据用于训练的选项、在意大利语网站上公布更透明的隐私信息）后，得以恢复在意大利的服务。

【典型意义】
本案是全球数据保护机构对通用大模型进行执法的标志性首案，影响深远：
第一，“合法权益”能否作为大规模网页抓取用于AI训练的法律依据成为全球争议焦点。Garante的质疑促使全球隐私监管机构（特别是EDPB）开始专门研究AI训练数据的法律依据问题。
第二，AI“幻觉”被定性为违反GDPR准确性原则的行为。这一认定对AI行业提出了几乎不可能完全解决的技术挑战——因为大语言模型的概率性生成本质上无法保证100%的事实准确，而GDPR要求个人数据须准确。
第三，Garante的“公众信息宣传”处罚措施具有创新性——要求AI公司不仅支付罚款，还须出资向公众普及AI的隐私风险，形成了一个独特的“惩罚+教育”组合拳。
第四，本案标志着AI监管从“鼓励创新优先”向“创新与权利保护并重”的转折。Garante是全球第一个对ChatGPT实施临时禁令的监管机构，但其调查结论为全球其他监管机构提供了重要的参考框架。