La sentenza in sintesi
Il 18 marzo 2026, il Tribunale di Roma ha annullato integralmente il provvedimento n. 755 emesso dal Garante per la protezione dei dati personali in data 2 novembre 2024 . Il Giudice non ha però esaminato il merito delle violazioni contestate: ha risolto tutto su un punto pregiudiziale e assorbente — la competenza. Una sconfitta procedurale, si dirà; eppure, sul piano delle conseguenze pratiche, vale quanto una sconfitta nel merito.
Il provvedimento impugnato: cosa contestava il Garante
Il Garante aveva contestato a OpenAI la violazione dell'art. 33 GDPR per omessa notifica del data breach del 20 marzo 2023; degli artt. 5(2) e 6 GDPR per assenza di base giuridica nell'addestramento dei modelli; degli artt. 5(1)(a), 12 e 13 GDPR per carenze nella privacy policy; degli artt. 24 e 25(1) GDPR per la mancata predisposizione di sistemi di age verification; e dell'art. 83(5)(e) GDPR per il mancato avvio della campagna di comunicazione precedentemente ordinata. La sanzione ammontava a 15 milioni di euro, accompagnata da una campagna di comunicazione istituzionale su tutti i principali mezzi di comunicazione italiani (radio, televisione, giornali e Internet) della durata di sei mesi.
OpenAI aveva impugnato il provvedimento articolando dieci motivi di ricorso. Il Tribunale si è fermato al primo, dichiarandolo fondato e assorbente di tutti gli altri.
Il nodo: chi era autorizzato a sanzionare?
OpenAI lamentava l'incompetenza del Garante all'accertamento delle violazioni transfrontaliere e alla comminazione delle conseguenti sanzioni, in quanto gli artt. 55 e 56 GDPR prevedono il meccanismo cd. «one-stop-shop» o dello sportello unico, in virtù del quale l'unica autorità di controllo «competente ad agire» relativamente a «trattamenti transfrontalieri» è quella «dello stabilimento principale o dello stabilimento unico del titolare del trattamento», in qualità di «autorità di controllo capofila».
Il cambio di scenario era avvenuto nelle more del procedimento: OpenAI aveva costituito la propria controllata irlandese in data 24 marzo 2023 e aveva ricevuto il 15 febbraio 2024 la comunicazione formale dall'Irish Data Protection Commission di riconoscimento dello stabilimento OpenAI Ireland quale stabilimento UE ai fini del GDPR. Il provvedimento sanzionatorio era però arrivato soltanto in novembre 2024 — nove mesi dopo.
La tesi del Garante — e i suoi limiti giuridici
Va riconosciuto che la posizione del Garante non era priva di una sua logica interna. L'amministrazione resistente aveva replicato che il provvedimento sanzionatorio accertava le violazioni consumate prima del 15 febbraio 2024, ritenendo che la normativa ratione temporis applicabile fosse quella del momento della consumazione dell'illecito, con la conseguenza dell'inoperatività del meccanismo dello sportello unico per gli illeciti commessi e consumati prima di tale data. In coerenza con questa impostazione, il Garante aveva anzi parzialmente adempiuto al meccanismo cooperativo: aveva trasmesso all'autorità capofila irlandese gli atti istruttori relativi alle violazioni continuate e continuative, nel rispetto — secondo la propria lettura — del principio tempus regit actum di cui all'art. 11 delle preleggi.
Il Tribunale non ha però condiviso tale ricostruzione, ritenendo che l'argomento fosse fondato su un'erronea lettura del Parere n. 8 del 9 luglio 2019 dell'EDPB — un atto di soft law adottato ai sensi dell'art. 64 GDPR su richiesta delle autorità di Francia e Svezia, che giova ricordare non costituisce una fonte primaria del diritto unionale ma concorre alla definizione delle regole applicabili per il riparto di competenze tra le autorità di controllo nazionali, rappresentando una guida interpretativa autorevole per giudici e autorità amministrative, a garanzia dell'applicazione uniforme del regolamento in tutta l'Unione.
Come il Tribunale ha letto il Parere EDPB
Il cuore della decisione risiede nell'interpretazione dell'art. 4.3.2 del Parere EDPB, che disciplina proprio il caso della creazione dello stabilimento principale nelle more di un procedimento. L'EDPB ha chiarito che «la creazione di uno stabilimento principale o unico oppure il suo trasferimento da un paese terzo nel SEE durante lo svolgimento di un procedimento consentirà al titolare del trattamento di beneficiare del meccanismo dello sportello unico», con la conseguenza che «qualsiasi procedimento pendente sarà trasferito all'autorità di controllo dello Stato nel quale si trova lo stabilimento principale» e «tale autorità di controllo diventerà l'autorità di controllo capofila».
La difesa del Garante in ordine alla ritenuta operatività del meccanismo dello sportello unico unicamente rispetto alle violazioni continuative o continuate è risultata priva di base giuridica, derivando da un'erronea interpretazione del paragrafo 16 del Parere, che riferisce le questioni trattate «principalmente» a violazioni di natura continuativa o continuata. Il Tribunale ha osservato che già l'utilizzo dell'avverbio «principalmente» («mainly» nella versione inglese) vale a escludere che l'EDPB abbia inteso ricondurre le questioni oggetto del parere alle sole violazioni continuative, avendo piuttosto voluto indicare in quali tipi di violazioni ricorrano più frequentemente siffatte questioni.
Il punto di sistema è ancora più rilevante: rimettere l'individuazione dell'autorità competente alla natura della violazione contestata causerebbe non solo l'incertezza che la disciplina eurounitaria mira a evitare, ma anche l'inversione dell'ordine logico giuridico di esame delle questioni, subordinando la soluzione di una questione pregiudiziale quale la competenza all'esito dell'esame di una questione di merito.
L'argomento del tempus regit actum — respinto
Il Garante aveva invocato anche il principio giuridico del tempus regit actum per sostenere che la normativa applicabile fosse quella vigente al momento della consumazione degli illeciti. Il Tribunale ha ritenuto tale richiamo inconferente: nel caso di specie non viene in rilievo la modifica della normativa applicabile nelle more del procedimento, bensì il mutamento di alcune circostanze fattuali — la creazione di uno stabilimento unico del titolare del trattamento nel territorio dell'Unione — le cui conseguenze sono prese in considerazione e disciplinate dal Parere EDPB. Non si tratta, dunque, di retroattività della legge, ma di adeguamento della competenza a fatti sopravvenuti, già previsto e regolato dall'ordinamento europeo.
Le eccezioni che non si applicavano
Il Tribunale ha anche verificato se ricorresse una delle ipotesi eccezionali in cui la competenza torna in capo all'autorità nazionale interessata. Vengono in rilievo a tal proposito l'art. 56, par. 2, GDPR — a mente del quale ogni autorità di controllo è competente per la gestione dei reclami che riguardino unicamente uno stabilimento nel suo Stato membro o che incidano in modo sostanziale sugli interessati unicamente nel suo Stato membro — e l'art. 66, che in deroga all'art. 60 riconosce a ciascuna autorità di controllo il potere di adottare misure provvisorie qualora ritenga che urga intervenire per proteggere i diritti e le libertà degli interessati. A tali ipotesi si aggiunge il caso in cui l'autorità capofila, pur investita della questione, decida di non trattare il caso (in tal senso, CGUE, C-645/19, Facebook Ireland e a.). Tuttavia, nessuna di tali eccezionali circostanze è stata ritenuta sussistente nel caso di specie.
Il quadro giurisprudenziale della Cassazione
La Suprema Corte aveva già chiarito che «l'Autorità nazionale garante della protezione dei dati è legittimata ai fini sanzionatori allorché risulti che il trattamento è stato effettuato da una società italiana in piena e diretta autonomia di decisione rispetto ai dati personali» (Ord. Sez. I, n. 27189 del 22 settembre 2023) e che «l'autorità garante italiana ha il potere di emettere i provvedimenti di sua competenza nei confronti di un soggetto straniero, avente sede anche fuori dell'Unione, che operi al di fuori del territorio nazionale, purché il medesimo svolga, tramite un'organizzazione stabile nel territorio italiano, un'attività effettiva e reale nel contesto della quale si svolge il trattamento» (Sent. Sez. I, n. 3952 del 2022). In entrambe le pronunce, il presupposto per il riconoscimento del potere sanzionatorio in capo al Garante italiano è individuato nella presenza sul territorio italiano di una società o di un'organizzazione stabile: circostanze insussistenti nel caso di specie.
La decisione del Tribunale si inserisce, dunque, in un filone coerente.
Il dato che vale più di mille argomenti
Altre autorità di controllo, pur «interessate» al momento dell'avvio di procedimenti relativi ai medesimi illeciti posti in essere dalla società ricorrente, avevano poi declinato la propria competenza a favore dell'autorità di controllo irlandese, considerata capofila a decorrere dal 15 febbraio 2024, trasmettendo alla stessa tutti gli atti istruttori compiuti. Il Garante italiano era rimasto solo. Il Tribunale ha ritenuto che avesse torto — pur riconoscendo, nella compensazione delle spese di lite - la genuina novità e complessità delle questioni affrontate.
Il dispositivo
La creazione dello stabilimento unico del titolare del trattamento nelle more del procedimento amministrativo, pure legittimamente avviato nel gennaio del 2024, avrebbe dovuto determinarne immediatamente il trasferimento all'autorità di controllo dello Stato nel quale si trova lo stabilimento principale — nella specie quella irlandese — e l'avvio del meccanismo di cooperazione delineato dagli artt. 60 e 61 del regolamento. In accoglimento del ricorso, il Tribunale ha annullato il provvedimento n. 755 del Garante del 2 novembre 2024. Le spese di lite sono state compensate tra le parti, considerata la novità delle questioni trattate.
Il merito resta aperto — e questo conta
La sentenza non è un'assoluzione nel merito. Le violazioni originariamente contestate dal Garante italiano — base giuridica per l'addestramento dei modelli, trasparenza, age verification, data breach e mancata esecuzione di misure correttive precedentemente imposte — restano intatte e saranno presumibilmente affrontate dall'Irish DPC nell'ambito del meccanismo cooperativo degli artt. 60 e 61 GDPR. Il fascicolo istruttorio non sparisce, si trasferisce.
Implicazioni: una lezione che vale ben oltre OpenAI
La pronuncia del Tribunale di Roma ha una rilevanza che supera largamente le parti del giudizio. I nodi giuridici che essa individua — base giuridica per il training dei modelli di AI, obblighi di trasparenza verso gli utenti, verifica dell'età, gestione dei data breach — sono questioni strutturali che riguardano qualsiasi fornitore di sistemi di intelligenza artificiale che offra i propri servizi a utenti europei, al netto di ciò che emergerà dal nuovo framework normativo e regolatorio del Digital Omnibus.
Per i provider AI extra-UE che oggi operano sul mercato europeo senza uno stabilimento formalmente riconosciuto, il quadro che emerge dalla sentenza è chiaro:
Finché non esiste uno stabilimento UE riconosciuto, ogni autorità garante nazionale è potenzialmente competente, e il rischio di procedimenti paralleli e frammentati è concreto.
Dal momento del riconoscimento formale dello stabilimento, il meccanismo dello sportello unico si attiva — anche a procedimento già in corso — e il fascicolo deve essere trasferito all'autorità capofila, salvo che una decisione definitiva sia già stata adottata.
Il criterio oggettivo è temporale, non sostanziale: non conta la natura della violazione (consumata o continuata), conta se al momento del riconoscimento dello stabilimento fosse o meno già stata emessa una decisione definitiva. Il Parere EDPB n. 8/2019 individua in questo momento il punto di "cristallizzazione" della competenza.
Le deroghe esistono, ma sono eccezionali: la competenza locale residua solo per violazioni che incidano unicamente su interessati nello Stato membro, o per misure urgenti ex art. 66 GDPR. Non è una via d'uscita ordinaria.
Per i fornitori di sistemi AI con una presenza già strutturata in Europa, la sentenza ricorda invece che la scelta del paese di stabilimento — e la tempestività nel conseguirne il formale riconoscimento da parte dell'autorità garante locale — è una decisione con implicazioni regolatorie di primissimo ordine: non un dettaglio societario, ma una leva strategica di gestione del rischio.
In conclusione: mentre il Tribunale di Roma chiude (per ora) il capitolo italiano del caso OpenAI, i temi che ne hanno alimentato l'istruttoria restano aperti e di piena attualità. Chiunque sviluppi o distribuisca sistemi di intelligenza artificiale rivolti al mercato europeo — da qualunque paese del mondo — dovrà prima o poi confrontarsi con essi.
