OpenAI违规使用个人数据训练ChatGPT模型案

【案件背景】
2024年12月20日，意大利数据保护局（Garante）宣布完成对生成式人工智能应用ChatGPT使用个人数据的全面调查，对OpenAI处以1500万欧元（约1558万美元）罚款。该调查始于2023年3月——当时Garante曾短暂禁止ChatGPT在意大利提供服务，成为欧洲首个对ChatGPT采取禁令行动的监管机构。在OpenAI承诺整改后，服务于次月恢复，但Garante的全面调查持续了21个月，最终形成了涵盖违规处理、透明度、年龄验证、数据准确性、最小化等多个维度的综合裁决。

【违法事实】
Garante认定OpenAI存在以下违法行为：
1. 缺乏充分的合法性基础训练模型：OpenAI使用互联网上公开获取的大量个人数据来训练ChatGPT的语言模型，但在2023年初之前没有明确其处理行为的合法性基础（GDPR第6条）。直到调查启动后才制定了利益平衡评估（LIA），但数据的收集和处理在此之前已经大规模进行，属于「先上车后买票」；
2. 违反透明度原则和信息义务：截至2023年3月30日，OpenAI的隐私政策未能充分说明其数据处理活动的全部范围，未向非用户（数据被ChatGPT抓取用于训练但没有注册该服务的人）履行告知义务。隐私政策仅以英文提供且难以找到，实质性地妨碍了用户的知情权；
3. 数据泄露未及时通报：2023年3月20日ChatGPT发生用户数据泄露事件，但OpenAI未能在GDPR规定的72小时内向监管机构通报；
4. 年龄验证机制不足：ChatGPT缺乏有效的年龄验证系统，未满13岁的未成年人可以轻易绕过限制访问和使用该服务，而系统生成的内容可能是成人级别的或对儿童不适当的；
5. 缺乏数据最小化措施：OpenAI未能证明其在数据收集和处理过程中遵循了数据最小化原则——从互联网大规模爬取数据进行训练时，未合理排除个人敏感信息；
6. 数据不准确性及纠错不足：ChatGPT生成的内容可能包含对个人的不准确或虚假信息（即所谓的「AI幻觉」），而OpenAI未能提供有效的纠错机制，损害了数据主体的权利。

【处罚决定】
Garante作出如下决定：1）处以1500万欧元行政罚款（Garante强调，罚款金额「已经考虑了OpenAI的合作态度」，暗示如果没有合作，罚款可能更高——根据GDPR最高可达全球年营业额4%）；2）责令OpenAI在意大利各大媒体（报纸、电视、广播、网络）开展为期六个月的公众信息宣传运动，向公众说明ChatGPT的工作原理、数据收集方式以及用户的权利。
OpenAI对此表示强烈不满，称罚款金额「不合理」——该罚款约为其在意大利同期收入的近20倍——并表示将上诉。但OpenAI同时表示「仍致力于与全球隐私监管机构合作」。

【典型意义】
本案是全球大语言模型数据合规领域具有里程碑意义的裁决。它确立了大模型数据处理的五项核心合规要求：必须有明确的法律基础（不能是事后论证的合法利益评估）；必须充分透明（包括对非用户的告知）；必须有有效的年龄验证；必须遵循数据最小化原则（不能「能爬尽爬」）；必须有对AI生成错误信息的纠错机制。Garante作为欧盟最积极评估AI平台GDPR合规性的监管机构之一，该案为全球AI监管者提供了重要的参考框架。