La Corte d’Appello di Colonia, con sentenza del 23 maggio 2025, si è espressa sulla legittimità dell’utilizzo di dati personali pubblicati su piattaforme social per addestrare un sistema AI.
In questo contesto, il giudice tedesco, alla luce della normativa nazionale e di quella dell’Unione europea, è giunto a conclusioni potenzialmente rilevanti per le future controversie sul tema.
Il caso
La ricorrente, un’associazione senza scopo di lucro che si occupa di tutela collettiva degli interessi dei consumatori, ha citato in giudizio una società controllata da Meta Platforms Inc., la nota società statunitense che gestisce le piattaforme social più diffuse al mondo.
In particolare, la convenuta nell’aprile del 2025 annunciava che a partire dal mese successivo avrebbe addestrato un modello di AI con i dati pubblicati dagli utenti registrati sulle piattaforme social di Facebook e Instagram, comprese le interazioni degli utenti con un sistema di AI.
Il ricorrente contestava la violazione dell’art. 6, par. 1, lett. f) GDPR, ritenendo che il trattamento dei dati non risultava essere né necessario né tanto meno proporzionato. Veniva inoltre sollevata la presunta violazione dell’art. 9, par. 1 GDPR, relativo al trattamento dei dati appartenenti a categorie particolari, e dell’art. 5, par. 2 Digital Markets Act (DMA), che vieta la combinazione di dati personali provenienti da più servizi senza consenso esplicito dell’interessato.
La richiesta della ricorrente era quindi volta a vietare il trattamento dei dati personali degli utenti da parte della resistente, oltre all’irrogazione di una pena pecuniaria o detentiva.
La resistente, invece, chiedeva il rigetto del ricorso sostenendo di non disporre di alternative di trattamento dei dati ugualmente idonee ma meno invasive dei diritti degli interessati per l’addestramento del proprio modello di AI.
Secondo la resistente, inoltre, le misure adottate in relazione ai dati utilizzati sarebbero idonee a mitigare l’interferenza nei diritti degli interessati a tal punto da rendere il trattamento dei dati giustificato ai sensi dell’art. 6, par. 1, lett. f) GDPR.
L’addestramento previsto dell’AI non violerebbe neppure l’art. 9, par. 1 GDPR. Oltretutto, la resistente ritiene che l’inclusione dei dati reperiti dalle piattaforme Facebook e Instagram in un unico dataset di addestramento non costituisca una “combinazione” di dati ai sensi dell’art. 5, par. 2 DMA.
La decisione
La Corte d’Appello di Colonia ha respinto il ricorso ritenendolo infondato. In particolare, ha stabilito che il trattamento dei dati personali da parte della resistente per l’addestramento del sistema di AI è legittimo secondo l’art. 6, par. 1, lett. f) GDPR. Inoltre, non ha rilevato la violazione né dell’art. 9, par. 1 GDPR né dell’art. 5, par. 2 DMA. Infatti, la Corte ha ritenuto che le misure di mitigazione adottate dalla resistente fossero sufficienti per ridurre l’intensità dell’interferenza nei diritti degli interessati.
Inoltre, la Corte d’Appello ha accertato che gli utenti sono stati adeguatamente informati circa il trattamento dei loro dati presenti sulle rispettive piattaforme e la facoltà di opporsi a tale trattamento. Il giudice tedesco ha quindi ritenuto che i diritti degli interessati non prevalgono sull’interesse della resistente, anche in considerazione del ridotto rischio di danno concreto, trattandosi di dati pubblici.
Peraltro, il parere del Commissario per la protezione dei dati del Land Baden-Württemberg ha confermato che, nei grandi dataset utilizzati per l’addestramento di sistemi di AI, l’identificazione personale è altamente improbabile.
La Corte d’Appello ha infine richiamato il contesto normativo dell’AI Act che mira a rendere l’UE leader nello sviluppo di AI affidabile, sicura ed etica. Quindi, un’interpretazione del GDPR che impedisse l’utilizzo di grandi dataset renderebbe irrealizzabile tale obiettivo. Il legislatore europeo, pur prevedendo eccezioni per l’addestramento mirato con dati sensibili, non ha vietato il trattamento non intenzionale degli stessi, né lo ha ritenuto illecito in via generale.
Conclusioni
La Corte d’Appello di Colonia, rigettando il ricorso, ha ritenuto legittimo l’utilizzo di dati personali pubblicamente accessibili per l’addestramento di sistemi di AI, purché il trattamento non sia mirato, siano adottate misure di mitigazione del rischio e siano garantite trasparenza e facoltà di opposizione agli utenti.
La sentenza offre un importante chiarimento interpretativo, stabilendo che il trattamento non intenzionale di dati sensibili in dataset su larga scala può essere compatibile con il GDPR, se giustificato da un interesse legittimo e se non esistono alternative equivalenti.
Questa decisione si allinea quindi agli obiettivi posti dall’AI Act, promuovendo un equilibrio tra innovazione tecnologica e diritti, oltre a porsi come precedente rilevante nel contesto europeo.
Elena Bandinelli