Il diritto all’oblio dei dati personali su Google AI MODE, Perplexity e Chat GPT

Negli ultimi dieci anni il diritto all’oblio ha rappresentato una delle più grandi sfide del diritto digitale europeo, in particolare nei confronti del motore di ricerca per eccellenza: Google. Con la celebre sentenza Google Spain (C-131/12), la Corte di Giustizia dell’Unione Europea riconobbe per la prima volta che gli utenti hanno il diritto di chiedere la rimozione di link e informazioni personali non più pertinenti dai risultati di ricerca associati al proprio nome.

Oggi, però, il contesto è mutato radicalmente. L’avvento delle intelligenze artificiali generative — come ChatGPT, Google AI MODE, Perplexity e Gemini — ha spostato il problema dal semplice elenco dei link all’elaborazione dei contenuti stessi. L’informazione non è più solo indicizzata: viene rielaborata, appresa e riprodotta da modelli che non dimenticano.

Per questo motivo, la riflessione sul diritto all’oblio deve ora unire diritto, tecnologia e governance algoritmica, e comprendere come assicurare l’effettiva cancellazione dei dati anche quando non sono più semplicemente pubblicati sul web, ma incorporati nei sistemi di AI.

Google come motore giuridico dell’oblio digitale

Il diritto all’oblio nasce giuridicamente con Google. È il 13 maggio 2014 quando la Corte di Giustizia dell’Unione Europea, con la sentenza Google Spain, stabilisce che un motore di ricerca è titolare autonomo del trattamento ai sensi della Direttiva 95/46/CE. Ciò significa che Google, indicizzando e organizzando informazioni personali, effettua un trattamento distinto rispetto all’editore del sito che ha pubblicato la notizia.

Da quel momento, il cittadino europeo può chiedere a Google la deindicizzazione dei risultati che contengono informazioni personali obsolete, non pertinenti o eccessive rispetto alle finalità informative. La deindicizzazione — distinta dalla cancellazione vera e propria — non comporta la rimozione del contenuto dalla fonte originaria, ma solo l’eliminazione del collegamento nei risultati di ricerca associati al nome dell’interessato.

Il punto centrale della decisione risiede nel bilanciamento tra libertà d’informazione (art. 11 Carta dei diritti fondamentali UE) e diritto alla riservatezza e alla reputazione (artt. 7 e 8 Carta UE). La Corte precisa che il diritto all’oblio non è assoluto: occorre valutare se l’interesse pubblico all’informazione prevalga o meno sull’interesse individuale a non essere permanentemente esposto a dati superati o lesivi.

Da quel precedente è nato l’attuale modulo di Google per la rimozione dei risultati di ricerca, poi aggiornato nel tempo per conformarsi al Regolamento (UE) 2016/679 (GDPR). Oggi, l’istanza può essere presentata online compilando un modulo dedicato, allegando un documento d’identità e specificando gli URL da deindicizzare. Google valuta il bilanciamento tra interesse pubblico e privacy, e in caso di rigetto, l’interessato può proporre reclamo al Garante per la protezione dei dati personali o ricorso al giudice ordinario.

Il diritto alla cancellazione nel GDPR: l’articolo 17 come fondamento normativo

Con l’entrata in vigore del GDPR, il diritto all’oblio ha ricevuto una codificazione espressa. L’art. 17 — rubricato “Diritto alla cancellazione (‘diritto all’oblio’)” — consente all’interessato di ottenere la cancellazione dei propri dati personali in una serie di casi: quando i dati non sono più necessari, quando il consenso è revocato, quando il trattamento è illecito, o quando il soggetto esercita opposizione ai sensi dell’art. 21.

La norma prevede inoltre, al paragrafo 2, un principio di responsabilità estesa: se il titolare ha reso pubblici i dati, è tenuto ad adottare misure ragionevoli per informare gli altri titolari che li stanno trattando affinché cancellino ogni collegamento o copia. Si tratta della codificazione del principio già espresso in Google Spain: chi diffonde dati personali sul web deve anche garantire la possibilità di rimuoverli in modo effettivo e duraturo.

A livello pratico, Google agisce come titolare del trattamento, mentre il sito di origine resta un soggetto distinto. Questo consente di chiedere la deindicizzazione anche senza contattare l’editore, come confermato dalle Linee Guida WP225 del Gruppo Articolo 29 (oggi EDPB).

La giurisprudenza italiana — tra cui spicca la Cassazione n. 14488/2025 — ha ribadito che la cancellazione non è un diritto “di riscrittura della storia”, ma una misura di decontestualizzazione: l’obiettivo non è negare il fatto, ma impedirne la continua ripubblicazione in contesti che non rispondono più a un interesse pubblico attuale.

Le Linee Guida EDPB 5/2019 e la deindicizzazione per identificazione indiretta

Un passo ulteriore è stato compiuto con le Linee Guida n. 5/2019 dell’EDPB, dedicate al diritto all’oblio nel contesto dei motori di ricerca. Il documento chiarisce che la cancellazione può essere richiesta non solo quando il nome dell’interessato compare direttamente, ma anche quando è possibile identificarlo indirettamente attraverso dati contestuali (professione, località, vicenda nota).

In Italia, questo principio è stato recepito dal Garante Privacy con un interessante provvedimento, che ha riconosciuto la tutela anche nei casi di esposizione indiretta. L’Autorità ha sottolineato che la lesione della reputazione può derivare anche da contenuti che consentono di risalire al soggetto con “un ragionevole grado di probabilità”, anche senza menzionarlo nominalmente.

Ciò ha portato a un’estensione sostanziale della tutela: oggi, la deindicizzazione può essere disposta anche per contenuti non nominativi, se riconducibili alla persona. È una forma evoluta di protezione che guarda all’effetto reale dell’informazione sull’immagine individuale, in linea con la ratio del GDPR di garantire un controllo effettivo sui propri dati personali.

L’evoluzione recente: la Cassazione 14488/2025 e il principio di proporzionalità

La sentenza Cass. civ., sez. I, 27 maggio 2025, n. 14488, rappresenta una tappa cruciale. La Corte ha affermato che la deindicizzazione deve essere valutata alla luce del principio di proporzionalità, che impone di bilanciare la libertà di informazione con la tutela della persona. Non è sufficiente che una notizia sia vera: occorre che sia anche attuale e proporzionata allo scopo informativo.

La Suprema Corte ha inoltre ribadito che la richiesta di cancellazione può essere accolta anche in assenza di errori o falsità, quando la persistenza della notizia online risulta sproporzionata rispetto all’interesse pubblico. È una linea che rafforza l’approccio europeo, già espresso in Google Spain e ribadito dalla Corte di Giustizia nel caso GC e altri c. CNIL (C-136/17), dove si affermò che l’interessato ha diritto alla rimozione anche per dati particolarmente sensibili (ad esempio, relativi a procedimenti penali non più attuali).

Dalla deindicizzazione all’intelligenza artificiale: il problema della memoria algoritmica

Se fino a ieri il diritto all’oblio riguardava i motori di ricerca, oggi il nuovo terreno di confronto è rappresentato dai modelli di intelligenza artificiale generativa. ChatGPT, Google AI MODE, Perplexity e Gemini elaborano enormi quantità di dati provenienti dal web, apprendendo informazioni personali, nomi, frasi, articoli e dati sensibili che diventano parte della loro struttura statistica.

Il problema è che, una volta appresi, questi dati non possono essere “rimossi” come da un archivio tradizionale. La cancellazione richiederebbe un processo di machine unlearning complesso e non ancora disciplinato.

Attualmente, le piattaforme AI non offrono un modulo di deindicizzazione analogo a quello di Google. OpenAI, ad esempio, consente di segnalare contenuti sensibili generati, ma non di cancellare dati appresi nel training. È dunque impossibile, al momento, garantire un vero diritto all’oblio nei modelli linguistici.

Il Garante Privacy italiano ha più volte sottolineato questa lacuna, come nel provvedimento nei confronti di OpenAI, dove si è ribadita la necessità di garantire trasparenza, correttezza e possibilità di cancellazione effettiva.
Analogamente, l’EDPB ha istituito una task force europea sull’AI generativa per valutare la compatibilità dei sistemi di apprendimento automatico con il principio di limitazione della conservazione previsto dall’art. 5 GDPR.

Verso un diritto all’oblio “algoritmico”

Per la prima volta nella storia del diritto digitale, il concetto di oblio si sposta dal web all’algoritmo. La cancellazione deve avvenire non solo nell’indice dei risultati, ma anche nel processo cognitivo delle macchine. Alcuni studiosi parlano già di “diritto alla revoca algoritmica”, ossia il diritto dell’interessato di ottenere che i propri dati vengano esclusi dall’addestramento o dalle risposte generate da un sistema di AI.

Questo principio trova un possibile ancoraggio nell’articolo 17 GDPR, ma sarà l’AI Act europeo — approvato nel 2024 — a definire il quadro tecnico, introducendo obblighi di tracciabilità, trasparenza e documentazione dei dataset. L’obiettivo è rendere possibile, almeno in prospettiva, una forma di “oblio by design”, in cui la cancellazione dei dati sia prevista sin dalla progettazione dei modelli.

Il diritto all’oblio, nato con Google e consolidato dal GDPR, si trova oggi di fronte alla più grande trasformazione della sua storia. La memoria digitale non è più un archivio statico, ma un sistema intelligente e dinamico che apprende, combina e riproduce informazioni.

Il futuro della tutela giuridica dipenderà dalla capacità delle istituzioni europee di armonizzare il diritto all’oblio tradizionale con la nuova realtà dell’intelligenza artificiale, garantendo che anche gli algoritmi rispettino il principio fondamentale della protezione dei dati: “la persona deve restare padrona della propria identità digitale”. In questa nuova stagione del diritto, Google resta il punto di partenza, ma l’AI rappresenta la nuova frontiera.