A partire dal 28 maggio maggio 2025, Meta (Facebook e Instagram) utilizzerà i contenuti di post, commenti, didascalie, foto, video etc. pubblici dei propri utenti maggiorenni, e dei terzi a qualsiasi titolo riportati in post, foto, ecc., per addestrare i propri modelli di intelligenza artificiale.
Si tratta di una massiccia operazione di “pesca a strascico” (scraping) di dati personali, che includono posizioni, anche politiche, immagini – anche intime – dati anche sensibili, che appare in pieno contrasto con il GDPR. Gli utenti, la loro vita, le loro relazioni, le loro immagini diventano materia prima per gli affari economici di Meta.
Cosa fare per evitarlo?
Per impedire che l’AI utilizzi per l’addestramento ciò che l’utente ha pubblicato sui social network occorre esercitare il diritto di opposizione riconosciuto dal Regolamento europeo sulla protezione dei dati personali (art. 21 GDPR).
Fattore tempo: quando esercitare l’opt-out (ossia il diritto di opposizione)?
L’addestramento dell’AI inizierà da fine Maggio. Il diritto di opposizione deve essere esercitato entro questo termine per sottrarre all’addestramento dell’Intelligenza artificiale di Meta tutte le informazioni personali presenti sulle piattaforme. Se il diritto viene esercitato dopo il 27 maggio solo i contenuti pubblicati in seguito all’opposizione, e non quelli già online, saranno esclusi dall’addestramento.
Come esercitare il diritto di opposizione?
Compilando i moduli disponibili ai seguenti link:
Opposizione al trattamento per gli utenti Facebook:
https://www.facebook.com/help/contact/6359191084165019
Opposizione al trattamento per gli utenti Instagram:
https://help.instagram.com/contact/233964459562201
È necessario inserire una motivazione?
No. È prevista la possibilità di inserire un commento, ma è solo facoltativo.
E per quanto riguarda i non utenti?
Nel comunicato stampa dell’Autorità Garante per la protezione dei dati personali si legge: “i non utenti [di Facebook e Instagram] i cui dati possono essere comunque presenti sulle due piattaforme perché pubblicati da utenti – hanno il diritto di opporsi al trattamento dei propri dati personali per l’addestramento dell’intelligenza artificiale di Meta, utilizzando i moduli resi disponibili online dalla società”.
Tuttavia, a ben guardare, il link https://www.facebook.com/help/contact/510058597920541 segnalato dall’Autorità non afferisce ai non utenti, ma più in generale a chiunque sia stato già oggetto di trattamento da parte del modello di AI e sia stato in grado di acquisirne una prova. Infatti, quest’ultimo link richiede appunto di fornire l’evidenza che i “dati personali sono stati visualizzati in una risposta di un modello, una funzione o un’esperienza dell’IA in Meta”. Quindi la richiesta di rimozione interviene in tal caso in un momento solo successivo l’acquisizione da parte del modello di AI e vengono restituiti a seguito di un prompt.
E i dati dei minorenni?
Meta dichiara che i dati pubblicati dagli utenti minorenni sono sottratti di default al trattamento per l’addestramento delle proprie intelligenze artificiali. Ma come può Meta aver certezza dell’età dell’interessato di una determinata informazione, se si tratta di soggetto inserito da un utente in una foto?
È legittima la decisione di Meta?
No, questo almeno, a parere di chi scrive, negli Stati membri dell’Unione europea. Meta, infatti, per utilizzare ai fini dell’addestramento dell’AI i dati pubblicati dagli utenti europei sulle piattaforme dovrebbe chiedere il consenso esplicito degli interessati (opt-in). L’utilizzo della base del legittimo interesse non appare appropriata in quanto, rispetto ai dati cd. “comuni”, contrasta con il principio di limitazione della finalità, riconosciuto all’art. 5.1.b) GDPR.
Detto in termini più semplici: gli utenti pubblicano post, foto, video ecc. per condividerli con amici, conoscenti o con una schiera più ampia di esseri umani, questa è la finalità della condivisione, non per conferirli in omaggio a Meta affinché li usi come materia prima per il proprio business.
Rispetto ai dati già pubblicati, non è pertanto costruibile la base del legittimo interesse, che, per essere legittimo, non può evidentemente porsi in contrasto con disposizioni di legge. Nella specie appare certamente in contrasto con l’art. 5.1.b) GDPR, ossia con il principio di limitazione della finalità.
Inoltre, rispetto ai dati sensibili, la base del legittimo interesse non è applicabile, né lo è la base 9.2.e) GDPR, ossia dati resi manifestamente pubblici dall’interessato. Infatti, tale base dipende dal contesto della pubblicità dei dati, senza che siano possibili assunti generali. Ne deriva la mancanza addirittura di una base giuridica valida ai sensi dell’art. 9 GDPR.
I dati sensibili (o “particolari”) sono numerosi sulle piattaforme citate. Quanti pubblicano su Facebook e Instagram immagini di fasciature, gessi, disavventure di salute? Quanti parlano di proprie intolleranze alimentari, o della propria religione, di politica, del proprio orientamento sessuale?
Ma ci sono molti altri rilievi critici: dalla inidoneità dell’informativa, alla violazione dell’art. 21 GDPR rispetto a opposizioni successive al 28 maggio 2025.
Le autorità di controllo hanno fatto abbastanza?
Non ci pare, vista la situazione gravissima. Le iniziative di contrasto si stanno infatti attualmente svolgendo nelle aule di giustizia.
Come difendersi?
Il primo passo è certamente l’opposizione. Il successivo sarà un’azione collettiva (tecnicamente una class action) per chiedere a Meta il risarcimento per danni non materiali. Il nostro studio legale sta valutando questa opzione. Ne verrà data successiva evidenza nelle presenti pagine.