Pubblicate le motivazioni della sentenza con cui il Tribunale di Roma ha annullato il provvedimento sanzionatorio da 15 milioni di euro adottato dal Garante Privacy nei confronti di OpenAI. Al centro della decisione il meccanismo del “one-stop-shop” e il trasferimento della competenza all’autorità capofila irlandese.
Sentenza del Tribunale di Roma, Sezione Diritti Umani e Immigrazione, 18 marzo 2026 (R.G. n. 4785/2025).
Il provvedimento del Garante contro OpenAI e il ricorso dinanzi al Tribunale di Roma
Con il provvedimento n. 755 del 2 novembre 2024, il Garante Privacy aveva contestato a OpenAI una pluralità di violazioni del GDPR.
Tra gli addebiti figuravano l’omessa notifica di una violazione dei dati personali, la mancata individuazione di una base giuridica per l’addestramento dei modelli linguistici, carenze informative nei confronti degli utenti, l’assenza di adeguati sistemi di age verification e l’inadempimento di precedenti prescrizioni impartite dall’Autorità.
All’esito del procedimento era stata irrogata una sanzione amministrativa pecuniaria di 15 milioni di euro, accompagnata dall’obbligo di realizzare una vasta campagna di comunicazione istituzionale destinata al pubblico italiano.
OpenAI ha impugnato il provvedimento dinanzi al Tribunale di Roma articolando numerosi motivi di ricorso, tra cui il difetto di competenza dell’Autorità italiana a proseguire il procedimento.
Secondo i ricorrenti, difatti, l’insediamento della consociata OpenAI Ireland come stabile presenza nel territorio dell’Unione avrebbe dovuto comportare, ai sensi dell’articolo 56 del GDPR, il deferimento del caso all’autorità di controllo irlandese, quale autorità capofila.
Il nodo dello “sportello unico” nel GDPR
Il cuore della decisione risiede nell’interpretazione degli articoli 55, 56 e 60 del GDPR, che disciplinano il cosiddetto “one-stop-shop mechanism”.
Il sistema, introdotto dal legislatore europeo per evitare frammentazioni e sovrapposizioni tra autorità nazionali, prevede che nei trattamenti transfrontalieri la competenza principale spetti all’autorità di controllo dello Stato membro in cui si trova lo stabilimento principale del titolare del trattamento.
Nel caso di specie, durante lo svolgimento del procedimento amministrativo era intervenuto un fatto nuovo: il riconoscimento, da parte della Data Protection Commission irlandese, di OpenAI Ireland quale sede europea della società.
Secondo il Garante italiano tale circostanza non avrebbe inciso sulla competenza già esercitata con riferimento alle violazioni contestate, ritenute integralmente consumate prima del riconoscimento della sede irlandese.
Il richiamo al Parere EDPB n. 8/2019
Un passaggio particolarmente significativo della sentenza è rappresentato dal richiamo al Parere n. 8/2019 dell’European Data Protection Board, dedicato proprio alle ipotesi di mutamento della sede principale durante un procedimento già avviato.
Pur riconoscendo la natura non vincolante del documento, il Tribunale gli attribuisce una rilevante funzione interpretativa nell’assicurare un’applicazione uniforme del GDPR all’interno dell’Unione.
Secondo il giudice, il parere chiarisce che l’istituzione di una sede principale nel SEE durante un procedimento amministrativo comporta il trasferimento della competenza all’autorità di controllo che diventa capofila, purché non sia stata ancora adottata una decisione definitiva.
L’elemento decisivo non sarebbe dunque il momento in cui si sono verificate le presunte violazioni, bensì il fatto che il procedimento fosse ancora pendente quando è intervenuto il mutamento organizzativo del titolare del trattamento.
Nessuna distinzione tra violazioni “concluse” e violazioni “in corso”.
Uno degli aspetti più innovativi della Sentenza riguarda il rigetto della distinzione proposta dal Garante tra violazioni già concluse e violazioni ancora in corso.
L’Autorità aveva sostenuto che il meccanismo dello sportello unico potesse operare soltanto rispetto a violazioni continuative o permanenti.
Il Tribunale ha ritenuto tale impostazione priva di un adeguato fondamento normativo.
Secondo la pronuncia, il parere dell’EDPB non introduce alcuna limitazione di questo tipo e individua nell’adozione della decisione finale il momento rilevante per cristallizzare la competenza dell’autorità procedente.
Una pronuncia che rafforza il principio di uniformità europea
La sentenza valorizza l’esigenza di assicurare un’applicazione uniforme del GDPR nel mercato unico digitale, evitando la frammentazione delle competenze tra diverse autorità nazionali, la quale rischierebbe di compromettere gli obiettivi perseguiti dal legislatore europeo attraverso il meccanismo dello sportello unico.
Da questa prospettiva, il trasferimento della competenza all’autorità capofila irlandese viene considerato non una mera opzione organizzativa, ma una conseguenza necessaria del sistema delineato dal Regolamento.
Le questioni di merito restano aperte
L’accoglimento del primo motivo di ricorso ha determinato l’assorbimento di tutte le ulteriori censure.
Rimangono, pertanto, prive di una risposta giudiziale le questioni sostanziali che avevano caratterizzato il procedimento, ovvero la base giuridica dell’addestramento dei modelli di intelligenza artificiale, la trasparenza informativa verso gli utenti, la gestione dei dati personali utilizzati per il training, i sistemi di verifica dell’età e le misure adottate a seguito del data breach del marzo 2023.
Questi temi costituiscono tuttora i principali nodi interpretativi derivanti dal rapporto tra il GDPR e i sistemi di intelligenza artificiale generativa.
Un precedente destinato a influenzare il contenzioso sull’intelligenza artificiale
Per la prima volta un giudice italiano affronta in modo organico il tema del coordinamento tra autorità nazionali e autorità capofila europea nell’ambito delle attività di trattamento svolte dai grandi operatori globali dell’Intelligenza Artificiale.
Il messaggio che emerge dalla sentenza è chiaro: nei procedimenti transfrontalieri il rispetto delle regole sulla competenza non costituisce un profilo meramente formale, ma rappresenta una garanzia essenziale per l’uniformità applicativa del GDPR e per la certezza del diritto nell’ecosistema digitale europeo.
Sarà necessario attendere per verificare se la vicenda registrerà ulteriori sviluppi e quale impatto eserciterà sulle future iniziative di regolamentazione rivolte ai fornitori di sistemi di Intelligenza Artificiale nel mercato europeo.
04.09.2026
