2024 年 12 月 20 日，意大利数据保护局（Garante）宣布对 OpenAI 处以 1500 万欧元罚款，认定其使用个人数据训练 ChatGPT 存在违规，并附加限制性要求。这是继 2023 年一度封锁 ChatGPT 之后，Garante 对同一对象作出的实质性处罚，也把「用个人数据训练大模型」这一全球性争议从讨论推向执法。
处罚落在哪个环节
Garante 的审查重点不在模型能力，而在数据生命周期：个人数据以何种法律基础被收集并用于训练、告知义务是否履行、用户权利如何实现。这些环节恰是生成式 AI 企业最薄弱的部位，因为训练语料来源复杂、跨越多个法域，且往往在模型上线之后才被追问。
由于处罚依据是欧盟《通用数据保护条例》（GDPR），其逻辑并非针对「模型」这一物，而是针对处理活动的合法性。同一类行为在不同法域会被不同制度切分：在德国，Gema 诉 OpenAI 案从版权角度提出质疑；在美国，OpenAI 用户日志披露裁定把对话数据的留存问题带入诉讼。
与欧盟 AI 法义务的叠加
GDPR 之外，欧盟《人工智能法案》对通用模型提供者另设了一套义务，包括训练数据摘要公开、版权政策与系统性风险评估，相关规定已进入适用阶段。参见欧盟 AI 法通用模型义务生效。
两套制度的分工大致是：GDPR 管「个人数据处理是否合法」，AI 法管「模型作为产品的透明度与风险管理」。企业若只准备其中一套材料，通常无法同时应对两类问询。
对企业的现实动作
对以欧盟用户为目标的 AI 企业，第一件事是把训练数据来源做成可追溯的台账，标注每类语料的法律基础、留存期限与删除路径；第二件事是建立用户权利响应流程，使删除、更正、反对等请求能真正传导到训练与推理环节，而不是停留在客服话术。
在监管协同层面，欧洲数据保护委员会正推动跨国联合执法，透明度成为重点方向，参见 EDPB 协调执法透明度。这意味着单个法域的处罚结论有可能被复制到其他成员国。用户规模较大的处理者还应对照重要个人信息处理者义务做一次差距分析，把这类要求前置到产品设计阶段，而非留待监管问询时补做。
本文依据意大利数据保护局（Garante）2024 年 12 月 20 日对 OpenAI 的处罚决定及公开信息编写，仅供参考，不构成法律意见。