Le 18 mars 2026, le Tribunal de Rome a annulé la sanction infligée à OpenAI pour ChatGPT par l’autorité italienne de protection des données.
Une décision importante pour tous ceux qui travaillent sur la conformité des modèles d’IA générative.
Voici pourquoi.
📌 Retour sur l’affaire
• Novembre 2024
Le Garante per la protezione dei dati personali inflige à OpenAI une amende de 15 millions d’euros.
Les griefs portent notamment sur plusieurs obligations du RGPD :
- absence de base légale jugée suffisante pour l’entraînement du modèle (art. 6 RGPD)
- manquements aux obligations de transparence envers les personnes concernées (art. 12 à 14 RGPD)
- notification tardive d’une violation de données intervenue en mars 2023 (art. 33 RGPD)
- protection insuffisante des mineurs utilisant le service.
• Mars 2025
Le Tribunal de Rome suspend la décision dans l’attente d’un examen au fond.
• 18 mars 2026
Le tribunal prononce l’annulation de la sanction administrative.
À ce stade, la motivation détaillée du jugement n’est pas encore publiée.
🔎 Pourquoi cette décision est scrutée dans toute l’Europe
La sanction italienne figurait parmi les premières amendes RGPD visant directement un fournisseur de modèle d’IA générative grand public.
Elle posait une question juridique centrale :
➡️ Comment appliquer les principes du RGPD à l’entraînement des modèles de fondation ?
Car les LLM reposent sur une logique technique très particulière :
- entraînement massif sur des corpus issus du web
- données potentiellement collectées à très grande échelle
- difficulté d’identifier individuellement les personnes concernées.
Autrement dit : un cadre juridique conçu pour des traitements ciblés se retrouve appliqué à des systèmes probabilistes entraînés à grande échelle.
⚖️ Une tension juridique de plus en plus visible
Le débat ne porte plus seulement sur la conformité des systèmes d’IA.
Il porte aussi sur la capacité des autorités à appliquer les instruments classiques du RGPD à ces technologies.
La question clé devient alors :
➡️ le droit des données personnelles est-il adapté aux modèles de fondation ?
📊 Un point souvent oublié
Même sans sanction définitive, l’action du régulateur a déjà produit des effets.
Depuis 2023, OpenAI a notamment mis en place :
- une notice de confidentialité dédiée
- un mécanisme d’opposition à l’utilisation des données pour l’entraînement
- des contrôles d’âge renforcés.
⚖️ Cette décision rappelle une chose essentielle :
Le contentieux de l’IA générative entre dans une nouvelle phase.
Après les enquêtes des autorités, place désormais au contrôle juridictionnel des sanctions RGPD appliquées aux modèles d’IA.
Pour les entreprises, l’enjeu reste inchangé :
documenter la base légale des traitements, assurer la transparence et organiser l’exercice des droits des personnes.
La conformité ne disparaît pas avec l’annulation d’une sanction.
Cette décision annonce-t-elle une difficulté structurelle à appliquer le RGPD aux modèles d’IA générative… ou simplement un rappel du rôle du juge dans le contrôle des sanctions administratives ?
