Канадські регулятори розкрили порушення конфіденційності у ChatGPT від самого початку
Чотири провідні канадські органи із захисту приватності оприлюднили результати спільного розслідування щодо OpenAI OpCo, LLC. Вони дійшли висновку, що компанія порушила федеральні та провінційні закони про конфіденційність під час створення і впровадження послуги ChatGPT. Об’ємний звіт на 128 сторінок, опублікований 6 травня 2026 року (документ 2026 BCIPC 41), розглядає сім окремих юридичних питань, пов’язаних з збором даних, згодою, точністю, прозорістю та зберіганням інформації.
Хто і як проводив розслідування
Розслідування було проведено спільно Офісом комісара з питань приватності Канади (OPC), Комісією з доступу до інформації Квебеку (CAI), Офісом комісара з інформації та приватності Британської Колумбії (OIPC-BC) та Альберти (OIPC-AB). Вони розглядали, чи відповідають дії OpenAI, зокрема моделі GPT-3.5 і GPT-4, канадським законам про захист персональних даних, включаючи PIPEDA та регіональні акти.
Ініціатива виникла у квітні 2023 року після скарги користувача про незаконний збір та використання його особистих даних. Згодом цей запит був розширений на комплексне розслідування, до якого долучилися провінційні органи. Спільна робота декількох регуляторів дозволила уникнути дублювання зусиль та використати широкий спектр експертизи.
Яким був масштаб операцій OpenAI
За даними звіту, станом на кінець березня 2025 року оцінка вартості групи компаній OpenAI сягала 300 мільярдів доларів США. Через кілька місяців вона підскочила до 500 мільярдів, а наступні інвестиції призвели до оцінки в 730 мільярдів.
В Канаді на той час кількість активних користувачів ChatGPT щомісяця нараховувала кілька мільйонів, з них сотні тисяч були підписниками платних версій. У жовтні 2025-го OpenAI змінила бізнес-модель, ставши публічною корпорацією з соціальною спрямованістю.
Як формували навчальні дані для моделей
Основою для тренування GPT-3.5 і GPT-4 слугували трильйони токенів, отриманих із двох головних джерел:
- публічно доступні веб-сайти, зібрані через веб-краулер GPTBot, запущений у серпні 2023 року;
- публічні сховища даних, наприклад Common Crawl.
Однак більшість даних для навчання були зібрані до запуску GPTBot, тому механізму opt-out через robots.txt тоді не існувало. Структура навчання складалася з двох етапів: попереднє навчання на великому наборі розрізнених даних і донавчання на більш кураторських даних, зокрема розмовах, створених людьми, і частині користувацьких даних.
За інформацією OpenAI, під час збору не виключалися соціальні мережі, дитячі сайти чи ресурси з чутливою інформацією, що призвело до наявності у навчальних даних персональних відомостей різного рівня конфіденційності, зокрема про здоров’я та політичні погляди.
Для зниження ризиків застосовувалися кілька технологічних рішень:
- токенізація тексту для числового подання;
- видалення дубльованого контенту;
- маскування персональних даних, таких як телефони, адреси, імена та соцмережеві акаунти.
OpenAI запровадила внутрішній інструмент для виявлення і маскування різних категорій особистої інформації ще до навчання моделей. Під час донавчання користувацькі діалоги анонімізуються і проходять фільтрацію зовнішніми підрядниками.
Питання згоди на збір і використання даних
Розслідування виявило дві основні категорії проблем з згодою:
- Збір даних із загальнодоступних джерел та ліцензованих наборів: тут OpenAI не мала явної згоди на використання персональної інформації для навчання моделей. Компанія стверджувала про “імпліцитну” згоду, яку канадські органи відхилили як неприпустиму.
- Використання користувацьких діалогів ChatGPT: для додаткового тренування моделей необхідна була виразна згода, адже це може містити чутливі дані, виходячи за межі обґрунтованих очікувань користувачів. OpenAI обмежилась одноразовим повідомленням під час створення акаунту — цього було визнано недостатнім.
Особливу увагу привернув факт, що до квітня 2024 року користувачам, які бажали відмовитись від використання їхні даних для навчання, доводилось одночасно вимикати і збереження історії чатів — фактично змушуючи обирати між приватністю та зручністю зберігати розмови. Цей “примусовий” дизайн пізніше OpenAI виправила.
Точність інформації та феномен “галюцинацій” ШІ
Четверте питання розслідування стосувалося того, чи робила OpenAI достатні кроки для перевірки точності персональної інформації у відповідях ChatGPT. Виявилось, що ні, спочатку ця проблема ігнорувалась.
Цікаво, у звіті цитують співзасновника OpenAI, який під час запуску ChatGPT в листопаді 2022 року висловив занепокоєння щодо вигадки фактів («галюцинацій» моделі). Але компанія вирішила, що продукт можна запускати, оскільки він був кращим за інші аналоги.
Відповіді ChatGPT ґрунтуються не на фактичній базі знань, а на ймовірнісних зв’язках між словами — через це з’являються неточності та навіть фейкова особиста інформація.
Регулятори рекомендують впровадити незалежну експертизу точності відповідей, чіткіші і помітніші відмови від відповідальності, а також автоматичне надання джерел інформації в результатах, коли це можливо.
Для поліпшення ситуації OpenAI почала доповнювати відповіді даними з реального часу через веб-пошук, що зменшує ризик помилок.
Доступ користувачів, видалення та збереження даних
OpenAI не забезпечувала ефективні інструменти для доступу до особистої інформації, її корекції чи видалення. Через технічну складність “розучування” окремих даних з моделей (через складну структуру ваг) компанія натомість використовує блок-списки для фільтрації персональної інформації з відповідей і навчання.
Щодо політики збереження інформації, OpenAI мала низькі стандарти: існували терміни для деяких категорій (наприклад, акаунти видаляються протягом 30 діб після запиту), але первинні набори даних із сайтів, де зібрано інфо, зберігаються “стільки, скільки потрібно” для тренування нових моделей.
Це означає, що база містить навіть ті сторінки, які пізніше були видалені з мережі або навіть нелегальний контент, який потім відфільтровують у процесах навчання.
Проблеми з відповідальністю та контролем
Звіт підкреслює, що OpenAI запустила ChatGPT, не маючи повного уявлення про точність створюваної персональної інформації, без розробки стратегії зберігання даних і без повного розгляду загроз приватності.
Такий підхід став джерелом ризиків: можливих витоків даних, неточної інформації і дискримінації.
Компанія зробила поступ у впровадженні робочої групи з ризиків і комплаєнсу, залученні зовнішнього офіцера з приватності, а також створенні мережі “Red Team”, що тестує безпеку з вересня 2023 року. Проте всі ці кроки прийшли після запуску сервісу.
Як OpenAI відреагувала на викриття
OpenAI не погоджується з більшістю висновків і вважає свої практики переважно відповідними законам. Водночас компанія активно співпрацює з регуляторами та пообіцяла низку покращень:
- публікацію детального блогу про приватність для канадських користувачів;
- роз’яснення джерел навчальних даних на простій мові;
- покращення інтерфейсу з повідомленнями про використання чатів для навчання;
- розширення форматів доступу до персональної інформації;
- завершення внутрішніх політик зберігання та звітність перед регуляторами.
При цьому GPT-3.5 і GPT-4 вже виведені з експлуатації, а нові заходи безпеки впроваджені у поточних моделях ChatGPT.
Відмінності в рішеннях за регіонами
Щодо законодавства і підходів до виконання, канадські органи прийшли до різних висновків. OPC відкрила справу як повністю вирішену за умови виконання заходів компанією, тоді як регулятори з Британської Колумбії і Альберти зайняли жорсткішу позицію через більш суворі вимоги до згоди та визнали проблеми невирішеними.
Комісія Квебеку також згодна з більшістю знахідок, проте акцентує увагу на недоліках щодо згоди і збереження даних за регіональним правом і надала додаткові рекомендації.
Що означає звіт для маркетингу та рекламних технологій
Цей документ виходить в критичний момент, коли OpenAI стикається з наростаючим тиском з різних сторін щодо практик захисту даних. Недавні оновлення політики в США формалізують передачу даних рекламодавцям, що викликає нові запитання.
Звіт звертає увагу маркетологів на дві ключові проблеми:
- неточності у відповідях ChatGPT, які можуть становити загрозу для стратегічного планування;
- питання явної згоди на використання комерційної або клієнтської інформації під час взаємодії з ШІ.
Крім того, OpenAI має виконати рішення американського суду про передачу 20 мільйонів анонімізованих розмов до The New York Times, що підкреслює масштаб контролю за її діяльністю.
Важливі дати у хронології подій
- Листопад 2022: запуск ChatGPT без політики зберігання даних і оцінки точності.
- Квітень 2023: розгляд скарги в Канаді та початок розслідування.
- Травень 2023: розширене спільне розслідування всіх регуляторів.
- Серпень 2023: запуск веб-краулера GPTBot для opt-out.
- Вересень 2023: оголошення мережі Red Teaming.
- Листопад 2023 – травень 2024: технічне тестування ChatGPT.
- Квітень 2024: розділення вимкнення історії чатів і opt-out від навчання.
- Грудень 2024: жорсткі стандарти ЄС та штраф Італії.
- Листопад 2025: рішення суду щодо передачі чатів у США.
- Травень 2026: публікація фінального звіту Канадою з вимогами та зобов’язаннями OpenAI.
