Modello per richieste di emergenza e conservazione OpenAI e ChatGPT

Gli investigatori si chiedono come bloccare un account ChatGPT o OpenAI prima che venga firmato un mandato, e cosa fare quando una vita è a rischio. OpenAI pubblica una policy dedicata e versionata che contiene una sezione sulla conservazione dei dati e una sezione sulle emergenze. Questa guida riporta quanto stabilito da tale policy, segnala ciò che viene omesso e offre due modelli. È destinata esclusivamente alle forze dell'ordine e al personale governativo autorizzato e non ripete la procedura generale di richiesta dati.

Cosa copre la policy

Il documento è intitolato OpenAI Government User Data Request Policy (nome file "OpenAI Law Enforcement Policy v.2025-12") e indica come data di entrata in vigore il 1° gennaio 2026. Copre le richieste relative agli "utenti dei servizi offerti dalle entità OpenAI". Non elenca i prodotti per nome, pertanto questa guida utilizza "ChatGPT" nel titolo poiché è ciò che gli investigatori cercano, mentre l'ambito di applicazione della policy è quello indicato sopra. La maggior parte degli utenti è servita da OpenAI OpCo, LLC ("OpenAI US"); gli utenti residenti nello Spazio Economico Europeo e in Svizzera sono serviti da OpenAI Ireland Limited ("OpenAI Ireland"). L'entità a cui rivolgersi dipende dall'utente.

Due indirizzi del portale. La policy (sezione I) stabilisce che le richieste "devono essere presentate attraverso l'interfaccia di richiesta" e riporta app.kodex.us/openai/signin; il 24 ottobre 2026 tale indirizzo apriva una pagina di accesso Kodex con il logo OpenAI. La pagina di Trust and transparency di OpenAI afferma che "Le agenzie governative possono presentare atti legali tramite il portale Kodex" e il suo pulsante "Submit through Kodex" rimanda a app.kodexglobal.com/signin, che apriva una pagina di accesso Kodex generica senza il marchio OpenAI. Nessuna delle due pagine di OpenAI spiega come i due indirizzi siano correlati, pertanto li riportiamo entrambi così come pubblicati senza avanzare pretese su quale utilizzare. Accedere a entrambi dalle pagine ufficiali di OpenAI piuttosto che da un risultato di ricerca o da un'email.

Richieste di conservazione: cosa dice OpenAI

OpenAI US (sezione II.C). OpenAI US "soddisferà le richieste valide da parte Vostra di conservare i dati dell'utente in conformità con il 18 U.S.C. § 2703(f)". "Conserverà i dati dell'utente per un massimo di 90 giorni e prorogherà il periodo di conservazione per un ulteriore periodo di 90 giorni previa ricezione di una valida richiesta di proroga". La policy aggiunge che "in assenza di tale richiesta, i record potrebbero non essere conservati come parte del normale corso delle attività di OpenAI", motivo per cui è necessario agire rapidamente.

OpenAI Ireland (sezione III.C). OpenAI Ireland "soddisferà le richieste valide da parte Vostra di conservare le informazioni in conformità con la legge irlandese e dell'UE". La policy non specifica alcun periodo per l'Irlanda.

Lo statuto federale. Il 18 U.S.C. sezione 2703(f)(1) afferma che un fornitore "su richiesta di un ente governativo, deve adottare tutte le misure necessarie per conservare i record e altre prove in suo possesso in attesa dell'emissione di un ordine del tribunale o altro atto", e il punto (f)(2) afferma che i record "devono essere conservati per un periodo di 90 giorni, che sarà esteso per un ulteriore periodo di 90 giorni su richiesta rinnovata dell'ente governativo". I 90 giorni più 90 dichiarati da OpenAI corrispondono a tale testo.

Notifica. Ai sensi della sezione V, OpenAI afferma di notificare l'utente prima di divulgare informazioni in risposta a una richiesta governativa, a meno che non sia proibito dalla legge, e può omettere la notifica in circostanze eccezionali (emergenze in cui la notifica potrebbe causare pericolo, o laddove la notifica sarebbe controproducente, ad esempio se un account è stato compromesso). Afferma inoltre che "può anche fornire notifica quando riceve una richiesta di conservazione dei dati qualora le circostanze lo giustifichino". Pertanto, una richiesta di conservazione può portare all'avviso dell'utente. Se la notifica dovesse danneggiare il caso, discutere un ordine di non divulgazione con il proprio pubblico ministero prima di procedere con l'invio.

Costi. La sezione VII si riserva il diritto di OpenAI di richiedere il rimborso dei costi sostenuti per rispondere alle richieste di dati e conservazione, come consentito dalla legge.

Cosa non dice la policy. Non fornisce una lista di controllo separata per una richiesta di conservazione, non nomina gli identificatori che accetta per tale scopo, non dice se una conservazione sia un'istantanea una tantum o continuativa, né definisce quali categorie di dati vengano conservate. I requisiti pubblicati per le richieste di produzione (sezione II.A) sono che la richiesta contenga il nome e le informazioni di contatto dell'agente autorizzato, specifichi con precisione le categorie di record richiesti, includa informazioni sufficienti per identificare inequivocabilmente l'account/i e indichi lo specifico periodo di tempo. Una richiesta di conservazione costruita sulla base della stessa lista di controllo è l'approccio più sicuro, ma questo è un nostro suggerimento, non un requisito di OpenAI. La pagina separata di OpenAI per i procedimenti civili fornisce un indirizzo email come esempio di identificatore e afferma che OpenAI potrebbe non essere in grado di identificare gli account basandosi solo su nomi, indirizzi IP, indirizzi fisici o numeri di telefono; tale pagina è destinata alle richieste civili, non alle forze dell'ordine, quindi va considerata solo come un suggerimento.

Richieste di divulgazione in emergenza

La sezione IV afferma che in circostanze limitate OpenAI US e OpenAI Ireland possono divulgare dati degli utenti alle forze dell'ordine o alle agenzie governative "laddove ritenga che tale divulgazione sia necessaria per prevenire un'emergenza che comporti pericolo di morte o gravi lesioni fisiche a una persona", e valuterà le richieste di emergenza "caso per caso in conformità con la legge applicabile". La richiesta "deve":

1. contenere il nome e le informazioni di contatto del singolo agente delle forze dell'ordine o rappresentante governativo che effettua la richiesta;
2. descrivere le circostanze della richiesta e la natura dell'emergenza;
3. spiegare perché non c'è tempo sufficiente per ottenere e notificare un atto legale valido;
4. indicare con precisione le categorie di record o informazioni richieste;
5. spiegare come i dati dell'utente richiesti siano necessari per scongiurare l'emergenza; e
6. indicare lo specifico periodo di tempo per il quale le informazioni sono richieste.

Lo statuto statunitense alla base della divulgazione volontaria di emergenza da parte di un fornitore è il 18 U.S.C. sezione 2702: sottosezione (b)(8) per le comunicazioni e (c)(4) per i record, in entrambi i casi laddove il fornitore "in buona fede, ritenga che un'emergenza che comporti pericolo di morte o gravi lesioni fisiche a qualsiasi persona richieda la divulgazione senza indugio". Lo statuto afferma che il fornitore "può" divulgare.

Aspettative. La policy non indica tempi di risposta; afferma solo che le richieste di emergenza vengono valutate caso per caso. Per contesto, il rapporto di OpenAI per il periodo da gennaio a giugno 2026 elenca 28 richieste di emergenza ricevute, con dati divulgati in risposta a 10 di esse (13 account). Lo stesso rapporto elenca 620 richieste non relative al contenuto e 146 relative al contenuto. Non promettere a una famiglia o a un tribunale una velocità che OpenAI non ha dichiarato.

Modello: richiesta di conservazione

Adattare al formato della propria agenzia; non costituisce consulenza legale. OpenAI non pubblica un modulo di conservazione, pertanto questo segue la lista di controllo di identificazione presente nella sua policy.

[CARTA INTESTATA DELL'AGENZIA]
[DATA]

A: OpenAI OpCo, LLC ("OpenAI US")
    [O: OpenAI Ireland Limited, per utenti nello SEE o in Svizzera]
    (inviato tramite l'interfaccia per le richieste governative di OpenAI)

Oggetto: Richiesta di conservazione dei dati utente
    18 U.S.C. § 2703(f)  [O: legge irlandese / UE applicabile]
Riferimento agenzia / numero di caso: [NUMERO DI CASO]

Il sottoscritto [NOME FUNZIONARIO], [TITOLO], [UNITÀ], [AGENZIA], ente governativo
che conduce un'indagine [PENALE] ufficiale.
Contatto: [EMAIL GOVERNATIVA UFFICIALE], [TELEFONO DIRETTO].

Ai sensi del 18 U.S.C. § 2703(f)(1) [O: la disposizione irlandese / UE applicabile],
richiedo che OpenAI conservi tutti i record e le altre prove in suo possesso
per l'account/gli account sottostanti, in attesa dell'emissione di un ordine
del tribunale o di altro procedimento.

  Identificativo/i account: [EMAIL ACCOUNT / ID UTENTE, SUFFICIENTE A
                            IDENTIFICARE L'ACCOUNT SENZA AMBIGUITÀ]
  Altri identificativi:     [TELEFONO / DETTAGLI DI PAGAMENTO, SE NOTI]
  Categorie da conservare:  [es. informazioni sull'account e sull'abbonato,
                            record di pagamento e transazioni,
                            contenuto delle conversazioni, file, log]
  Periodo di tempo:         [DATA INIZIO] a [DATA FINE]

Periodo richiesto: 90 giorni dalla ricezione. Inoltrerò una richiesta rinnovata
ai sensi del § 2703(f)(2) prima della scadenza del periodo se il procedimento
non è stato emesso.

[FACOLTATIVO: È allegato un ordine di non divulgazione datato [DATA], efficace fino
al [DATA FINE]. Si prega di non notificare l'utente.]

Si prega di confermare la ricezione e la data di inizio della conservazione.

[NOME FUNZIONARIO]
[TITOLO, AGENZIA]

Modello: richiesta di divulgazione d'emergenza

Adattare al formato della propria agenzia; non costituisce consulenza legale. Le sei parti numerate rispecchiano i sei punti della sezione IV della policy.

RICHIESTA DI DIVULGAZIONE D'EMERGENZA
A: OpenAI OpCo, LLC [O: OpenAI Ireland Limited]
[DATA E ORA, CON FUSO ORARIO]
Riferimento agenzia / numero di caso: [NUMERO DI CASO]

1. FUNZIONARIO RICHIEDENTE
   [NOME FUNZIONARIO], [TITOLO], [AGENZIA]
   [TELEFONO 24 ORE], [EMAIL GOVERNATIVA UFFICIALE]

2. CIRCOSTANZE E NATURA DELL'EMERGENZA
   [Solo fatti: chi è a rischio, cosa è noto e perché costituisce
   pericolo di morte o lesioni fisiche gravi.]

3. PERCHÉ NON C'È TEMPO SUFFICIENTE PER OTTENERE E NOTIFICARE UN ATTO GIUDIZIARIO
   [Fatti sulle tempistiche, es. danno previsto entro [ORE]; stato di
   eventuali richieste di mandato.]

4. CATEGORIE DI RECORD O INFORMAZIONI RICHIESTE
   Account: [EMAIL ACCOUNT / ID UTENTE]
   [Categorie specifiche, es. dati di registrazione dell'account, log
   degli indirizzi IP per l'account, contenuto delle conversazioni relative all'emergenza]

5. COME I DATI SONO NECESSARI PER SCONGIURARE L'EMERGENZA
   [Spiegare il collegamento, es. per localizzare o identificare la persona a rischio.]

6. PERIODO DI TEMPO
   [DATA E ORA INIZIO] a [DATA E ORA FINE]

Effettuo questa richiesta perché ritengo che un'emergenza che comporta pericolo
di morte o gravi lesioni fisiche a una persona richieda una divulgazione
senza indugio. Seguirò con un procedimento legale: [MANDATO / ORDINE /
CITAZIONE, DATA PREVISTA].

[NOME FUNZIONARIO]

Errori comuni segnalati dalla policy e dalle pagine di OpenAI

• Utilizzare il canale sbagliato per questioni civili. OpenAI ha una pagina separata per le citazioni in giudizio e le richieste civili. Specifica che le richieste civili negli Stati Uniti vengono notificate tramite il suo agente registrato, CT Corporation System, e che non accetta notifiche civili tramite email, fax, posta ordinaria o canali di assistenza clienti.
• Inviare atti giudiziari tramite email. La policy afferma che tutte le richieste governative devono essere presentate tramite l'interfaccia di richiesta. Le richieste di rimozione di contenuti sono diverse: la sezione VI richiede che siano inviate per iscritto da un'email governativa ufficiale con la base legale spiegata.
• Una richiesta d'emergenza che omette il "perché non c'è tempo per il procedimento". La policy elenca la spiegazione dell'insufficiente tempo per ottenere un atto giudiziario come elemento obbligatorio.
• Ambito vago o ampio. La policy chiede di indicare le categorie di record con precisione, identificare l'account senza ambiguità e fornire un periodo di tempo specifico.
• Lasciar trascorrere i 90 giorni. OpenAI dichiara 90 giorni più ulteriori 90 su una richiesta di estensione valida, e che senza una richiesta i record potrebbero non essere conservati nel corso normale delle attività.
• Presumere la segretezza. La policy di OpenAI prevede di notificare gli utenti a meno che non sia proibito dalla legge, e potrebbe notificare in caso di richiesta di conservazione.

Correlati

• Panoramica delle guide alle richieste delle forze dell'ordine per piattaforma
• Richieste di dati alle forze dell'ordine per OpenAI e ChatGPT: portale, procedimento legale e cifre
• Manuale dell'investigatore: Stati Uniti
• Manuale dell'investigatore

Fonti

• Policy di OpenAI sulle richieste governative di dati utente (v.2025-12, in vigore dal 1° gennaio 2026)
• OpenAI: Fiducia e trasparenza
• OpenAI: Richieste governative di dati utente, da gennaio a giugno 2026
• OpenAI: Notifica di citazioni civili o altre richieste civili per dati utente
• 18 U.S.C. sezione 2703, U.S. Code edizione 2024 (govinfo.gov)
• 18 U.S.C. sezione 2702, U.S. Code edizione 2024 (govinfo.gov)

Questa guida è informativa, non costituisce consulenza legale. Il 24 ottobre 2026, la v.2025-12 era la versione della policy collegata dalla pagina Fiducia e trasparenza di OpenAI; OpenAI pubblica nuove versioni, quindi controlla nuovamente il link prima di farvi affidamento. La formulazione dello statuto qui citata è stata verificata rispetto allo U.S. Code su uscode.house.gov, aggiornato alla Public Law 119-124 (15 ottobre 2026): le sezioni 2702 e 2703 sono state modificate l'ultima volta nel 2018. Per altre piattaforme vedi la directory delle richieste dati di polizia, e per le vittime in qualsiasi paese vedi l' hub di assistenza al crimine informatico paese per paese.