OpenAI 因训练数据缺合法性基础、未报泄露、无年龄验证被罚 1500 万欧元并须投放六个月公众告知广告（该处罚决定已被罗马法院一审撤销）
主体：OpenAI（ChatGPT 服务提供者）
发生了什么
意大利个人数据保护局就 ChatGPT 服务的个人数据处理开展调查，范围覆盖 2023 年 3 月的数据泄露事件、以用户数据训练模型的合法性基础、对用户的告知透明度，以及未成年人保护。
监管或当事方如何处理
监管机构认定：未向监管机构通报 2023 年 3 月发生的数据泄露；在未先行确定适当合法性基础的情况下处理用户个人数据用于训练 ChatGPT；违反透明度原则及相应告知义务；未设置年龄验证机制，导致 13 岁以下未成年人可能接触到与其发展阶段不相适应的回答。监管机构首次动用《意大利隐私法典》第 166 条第 7 款的新权力。
结果
罚款 1500 万欧元（监管机构说明该金额已计入企业的配合态度），并责令 OpenAI 在广播、电视、报纸与互联网上开展为期 6 个月的机构传播活动，使 ChatGPT 的用户与非用户都知悉如何反对以其个人数据训练生成式人工智能，从而能够真正行使 GDPR 项下的权利。此外，鉴于 OpenAI 在调查期间已将欧洲总部设于爱尔兰，监管机构依"一站式"规则将程序卷宗移交爱尔兰数据保护委员会（DPC），由其作为主监管机构就在欧洲设立机构之前尚未终了的持续性违法继续调查。后续进展（引用时必须一并说明）：该处罚决定（第 755 号，2024-11-02 作出）已被罗马法院 2026 年第 4153 号判决（2026-03-18 公布）支持异议、予以撤销，监管机构已将决定文本暂时从官网撤下。因此本案目前只能作为"监管机构的执法关注点与论证逻辑"引用，不能作为"1500 万欧元罚款已生效"的依据；该判决是否被上诉、终审结论如何，本轮未取得官方文本，未予认定。
对中国出海企业的启示
- · 训练数据的合法性基础必须"先定后用"。监管机构的认定不是"你选错了基础"，而是"你在开始处理前根本没有确定基础"——把合法性基础判断、正当利益评估与决策记录放进模型训练的准入清单，并由法务签字后才允许数据进管线。
- · 泄露通报是独立义务，不会因为"影响有限"而免除。在欧盟运营的 AI 服务应预设 72 小时通报流程，明确谁有权在无主体资格确认完成前先行通报。
- · 年龄验证不是产品体验问题而是执法触发点。面向公众开放的对话式产品，注册与使用两个环节都要有可被技术验证的年龄门控，并保留其有效性的测试证据。
- · 监管机构可以责令你自费向全社会解释自己做错了什么。把"补救性公告成本"纳入风险模型——它对品牌的损害通常远高于罚款金额。
- · 欧盟的处罚决定可以被本国法院推翻，本案即于 2026 年 3 月被罗马法院一审撤销。两条实务含义：一是异议之诉值得打，收到决定后要在当地程序期限内提出，不要像 Clearview 那样放弃救济；二是做合规论证时不要把某一份被撤销的决定当作现行规则引用——引用任何欧盟处罚案例前，先回官网确认该决定是否仍然有效。
- · 把欧洲主体设立在哪里，直接决定谁来管你。本案中 OpenAI 在调查期间将欧洲总部设于爱尔兰，卷宗随即按"一站式"规则移交爱尔兰 DPC。计划在欧盟设立实体的中国企业应意识到：设立地的选择既是税务与人力问题，也是选择未来的主监管机构，并且不能溯及既往地免除设立之前的违法。
相关法规
来源（1）
- 意大利个人数据保护局对 OpenAI 作出 1500 万欧元罚款并责令开展六个月宣传活动意大利个人数据保护局（Garante per la protezione dei dati personali） · 发布 2024-12-20 · 核实 2026-09-12
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。