Dati ai e classificazione algoritmica

{{CAPTION_1}}

Per quanto tempo le aziende di IA conservano le chat e i punteggi di rischio?

Una conversazione ordinaria su un account consumer di Anthropic sparisce dalla cronologia nel momento in cui l’utente la cancella e viene rimossa dai sistemi di back-end entro trenta giorni. Con il consenso all’uso dei dati per il miglioramento del modello la conservazione sale a cinque anni in forma de-identificata. Se invece i sistemi automatici di trust and safety segnalano la conversazione come violazione della policy d’uso, input e output restano fino a due anni e i punteggi di classificazione fino a sette. Su Google Gemini l’attività predefinita dura diciotto mesi, mentre le chat campionate per la revisione umana restano tre anni su un percorso separato. OpenAI, per effetto di un ordine giudiziario, conserva log che gli utenti avevano già eliminato.

Sette anni contro trenta giorni

La conversazione che ti riguarda come cliente ha una vita breve. Il verdetto che ti riguarda come sospetto ne ha una ottantaquattro volte più lunga. Il tasto elimina governa la copia più effimera dell’archivio, e non quella che conta. Il centro privacy di Anthropic dichiara questi termini con una precisione che merita di essere letta due volte, perché la gerarchia che ne emerge ribalta l’idea comune di cosa significhi cancellare.

Cosa succede a una chat nel momento in cui viene segnalata

Il testo che un utente invia a un modello linguistico non arriva diretto al modello. Passa attraverso una catena di classificatori che lo trasformano in vettori numerici, gli assegnano punteggi su dimensioni di rischio predefinite e decidono, sopra una certa soglia, di bloccare la generazione o di deviare la richiesta verso un modello con vincoli più stretti. Lo stesso avviene in uscita, sulla risposta, mentre viene prodotta. Chi ha presente il regime probabilistico su cui girano gli LLM riconosce il meccanismo: è pubblico nelle sue linee generali e condiviso da tutti i fornitori. Quello che cambia da azienda a azienda, e che quasi nessun utente conosce, è cosa resta dopo.

Perché un punteggio non è un testo

Qui il vocabolario dell’analisi tradizionale della privacy smette di funzionare. Parlare di riservatezza dei contenuti implica che l’oggetto del contendere sia la conversazione, un testo che si può leggere, cancellare, esportare. Un punteggio di classificazione è invece un’astrazione operativa: una posizione su una scala, separabile dal materiale che l’ha generata, aggregabile con altri punteggi, comparabile nel tempo.

Oscar Gandy lo aveva anticipato nel 1993 descrivendo il panoptic sort come un sistema che non sorveglia gli individui per conoscerli ma per smistarli in classi di trattamento differenziato, e il cui prodotto è una posizione in una graduatoria invece che un dossier. Gilles Deleuze, tre anni prima, aveva chiamato dividuo ciò che resta di una persona dentro un sistema di controllo che la scompone in variabili modulabili. La conversazione dell’uomo del 14 agosto è stata cancellata dai server. Il dividuo generato da quella conversazione ha davanti a sé sei anni e mezzo di esistenza documentale.

Come i laboratori di IA sono passati dal monitoraggio alla previsione

Il 9 settembre 2026 il giornalista Daniel Boguslaw ha pubblicato sull’American Prospect una ricostruzione basata su annunci di lavoro e su un’intervista podcast a dirigenti della sicurezza di Anthropic. Il materiale è ordinario nella forma e notevole nel contenuto, e si lascia scomporre in tre passaggi documentati.

Gli strumenti: allerta OSINT in tempo reale

Anthropic ha un contratto con Samdesk, una società di rilevamento del rischio in tempo reale che scandaglia fonti aperte per segnalare eventi in corso di formazione. In un webinar dedicato ai centri operativi di sicurezza, il responsabile del global security operations center dell’azienda ha raccontato un caso concreto: un dirigente in viaggio in una grande città, una protesta autorizzata il cui orario slitta per ragioni di permessi, un’allerta che arriva con sessanta minuti di anticipo sul cambio di programma, un percorso alternativo che porta il dirigente all’ingresso di servizio dell’albergo invece che attraverso il corteo. Una manifestazione legale trattata con la grammatica operativa di un evento meteorologico avverso, tracciata e circumnavigata.

L’organizzazione: quando l’attivismo entra nell’elenco delle minacce

La squadra che se ne occupa si chiama Global Safety, Intelligence, and Security, e ad agosto ha aperto una posizione da enterprise intelligence specialist con retribuzione tra 180 e 230 mila dollari. Il profilo chiede di identificare, valutare, tracciare e investigare minacce globali. Nell’elenco di quelle minacce l’attivismo compare nella stessa sequenza di instabilità geopolitica, terrorismo, criminalità e targeting dell’industria dell’IA da parte di attori statuali. La ricerca comprende esplicitamente attività di raccolta OSINT su specifiche minacce, attori ed eventi.

La direzione: ingaggio proattivo e persone di interesse

Nel podcast il responsabile del programma di sicurezza descrive l’obiettivo come una trasformazione dalla raccolta reattiva di informazioni a un ingaggio delle minacce proattivo, predittivo e preventivo. Al Wall Street Journal, in luglio, l’azienda aveva già spiegato di tracciare comportamenti preoccupanti nel tempo attraverso un processo di persona di interesse, per cogliere precocemente i pattern di escalation. Secondo lo stesso giornale, diversi individui coinvolti in episodi poi segnalati alla polizia erano già monitorati dalla sicurezza aziendale.

Lucia Zedner, nel 2007, ha coniato per questa configurazione la formula pre-crime: un regime in cui il calcolo del rischio sostituisce l’accertamento del fatto, l’intervento precede l’evento e la categoria di riferimento diventa il probabile invece del colpevole. Il punto teorico che rende la formula utile qui è procedurale prima che morale. Nel diritto penale l’accusa produce un fascicolo e l’imputato lo può contestare. In un processo di persona di interesse gestito da un’azienda privata non esiste una notifica, non esiste un contraddittorio, non esiste un termine di prescrizione diverso da quello che l’azienda si è data da sé nella propria informativa. La stessa asimmetria che abbiamo visto nei sistemi di sorveglianza algoritmica applicati alle carceri statunitensi qui opera su clienti paganti.

Anthropic, OpenAI e Google: quanto conservano davvero i dati delle chat

Su questo terreno circolano molte affermazioni sbagliate, comprese quelle prodotte dagli stessi assistenti conversazionali quando li si interroga sull’argomento. Le cifre verificate a settembre 2026 sono queste.

Anthropic: dai trenta giorni ai cinque anni

La posizione è cambiata nell’agosto 2025. Fino a quel momento i dati degli utenti consumer non venivano usati per l’addestramento; l’aggiornamento dei termini ha introdotto un interruttore di consenso con scadenza fissata all’8 ottobre, oltre la quale la scelta diventava obbligatoria per continuare a usare il servizio. Chi acconsente porta la conservazione da trenta giorni a cinque anni, chi rifiuta resta ai trenta giorni. L’interfaccia con cui la scelta è stata presentata è stata contestata da analisti legali come possibile dark pattern ai sensi del GDPR, senza che a oggi risultino azioni delle autorità di controllo. Le chat in modalità incognito restano escluse dall’addestramento in ogni caso, e le API commerciali seguono un regime più severo dell’interfaccia web, con conservazione standard ridotta a sette giorni e Zero Data Retention disponibile per i clienti enterprise qualificati.

OpenAI: quando un tribunale sospende la cancellazione

La vicenda più istruttiva è quella di OpenAI, perché mostra cosa accade quando una policy aziendale incontra un tribunale. Il 13 maggio 2025 la giudice Ona Wang ha ordinato all’azienda di preservare e segregare tutti i log di output che sarebbero altrimenti stati cancellati, comprese le conversazioni che gli utenti avevano già eliminato, nell’ambito del contenzioso sul copyright promosso dal New York Times e da altri editori. L’ordine è stato revocato il 9 ottobre 2025, ma i log accumulati nel frattempo restano accessibili al procedimento.

In novembre la stessa giudice ha ordinato la consegna ai ricorrenti di venti milioni di log de-identificati. OpenAI ha obiettato che il 99,99 per cento delle trascrizioni era irrilevante e che la produzione avrebbe esposto conversazioni private, e il 5 gennaio 2026 il giudice distrettuale Sidney Stein ha confermato l’ordine. Dalla stessa decisione emerge il dato più eloquente di tutta la vicenda: venti milioni di conversazioni corrispondono a mezzo punto percentuale dei log conservati, che l’ordinanza quantifica nell’ordine delle decine di miliardi.

Google Gemini: diciotto mesi di attività, tre anni di revisione umana

La configurazione meno leggibile è quella di Google, perché la più integrata. L’attività di Gemini viene conservata per diciotto mesi per impostazione predefinita, con opzioni di auto-cancellazione a tre o trentasei mesi e la possibilità di disattivare la registrazione. Disattivarla non azzera nulla: le conversazioni restano comunque nell’account fino a settantadue ore per erogare il servizio, e soprattutto le chat campionate per la revisione umana vengono scollegate dall’account e conservate a parte fino a tre anni, senza che la cancellazione dell’attività le tocchi e senza alcun controllo utente per rimuoverle. Google stesso raccomanda di non inserire in Gemini informazioni riservate, perché un revisore in carne e ossa potrebbe leggerle.

Il percorso di conservazione che nessuna impostazione governa

Il quadro comparativo che emerge ribalta la gerarchia intuitiva. La differenza decisiva tra i tre fornitori non passa per la generosità delle impostazioni offerte all’utente. Passa per il numero di percorsi di conservazione che quelle impostazioni non governano, e ogni azienda ne ha almeno uno: la pipeline di revisione umana per Google, il fascicolo processuale per OpenAI, il registro dei punteggi di trust and safety per Anthropic. La domanda su chi esercita davvero la sovranità sui dati si decide su questi percorsi, non sui pannelli delle preferenze.

{{CAPTION_2}}

Perché l’aggregazione non è il problema, e dove invece lo diventa

Una parte consistente del valore economico di questi archivi non richiede di identificare nessuno. Vale la pena dirlo con chiarezza, perché l’argomento più comune contro le aziende di IA su questo terreno è anche il più debole.

Clio e la mappa statistica di cosa chiediamo alle macchine

Anthropic ha costruito e documentato pubblicamente uno strumento apposito, presentato nel dicembre 2024 con il nome Clio e oggi ribattezzato Anthropic Insights, che usa il modello stesso per estrarre attributi dalle conversazioni, raggrupparle per tema, descrivere i cluster escludendo le informazioni private e sottoporre il risultato a un passaggio di audit che verifica che nessun cluster identifichi meno di circa un migliaio di individui. Nessun analista umano legge il materiale grezzo. Il paragone che l’azienda usa è Google Trends, e per una volta il paragone regge: il prodotto è una distribuzione, non un profilo.

Il 26 agosto 2026 lo stesso strumento è stato aperto a ricercatori esterni di Stanford, Oxford e METR, con circa 250 mila conversazioni sottoposte a tutela della privacy e accesso limitato agli output aggregati. È la prima volta che un laboratorio di frontiera espone i propri dati d’uso a studi indipendenti. Sul piano della trasparenza si tratta di un precedente che va in direzione opposta a tutto il resto di questa ricostruzione.

Dove la stessa infrastruttura genera una persona di interesse

Shoshana Zuboff ha descritto il meccanismo per cui l’eccedenza comportamentale generata come scarto di un servizio diventa la materia prima di un prodotto predittivo, e ha individuato nell’imperativo di predizione la spinta che porta le aziende a estendere la raccolta dal passato al presente all’intervento. Il caso di Anthropic Insights mostra il punto in cui quella descrizione va calibrata. L’aggregazione statistica di milioni di conversazioni produce una conoscenza strategica enorme, la mappa in tempo reale di cosa un pezzo consistente dell’umanità sta chiedendo a una macchina, e la produce senza violare la riservatezza di nessuno in particolare.

Il danno non sta nel cluster. Sta nel percorso parallelo in cui la stessa infrastruttura di analisi, applicata a un singolo account invece che a una distribuzione, genera una persona di interesse. Le due funzioni girano sullo stesso stack tecnologico e sono separate soltanto da una scelta di configurazione e da una policy interna, che è esattamente la dinamica descritta nell’economia dei futuri comportamentali. Questo, e non l’aggregazione, è ciò che un’analisi delle garanzie dovrebbe guardare.

Che cosa vieta l’AI Act europeo sui punteggi di rischio individuali

Dal 2 febbraio 2025 sono in vigore i divieti dell’articolo 5 del regolamento europeo sull’intelligenza artificiale, e due di quelle lettere toccano direttamente questa materia.

Il divieto di social scoring

La lettera c vieta i sistemi di punteggio sociale, cioè la valutazione o classificazione di persone fisiche o gruppi per un certo periodo di tempo sulla base del comportamento sociale o di caratteristiche personali note, dedotte o previste, quando ne derivi un trattamento pregiudizievole sproporzionato o estraneo al contesto in cui i dati sono stati raccolti. È una norma che si applica anche ai soggetti privati, non soltanto alle autorità pubbliche.

Il divieto di polizia predittiva e le sue due uscite

La lettera d vieta i sistemi di IA che valutano o prevedono il rischio che una persona fisica commetta un reato basandosi unicamente sulla profilazione o sulla valutazione dei tratti e delle caratteristiche della personalità. Il considerando 42 spiega la ratio richiamando la presunzione di innocenza: una persona va giudicata per il comportamento effettivo, non per quello previsto da una macchina. Il divieto ha però un perimetro preciso e due uscite. Non copre i sistemi che supportano una valutazione umana del coinvolgimento in un’attività criminosa già fondata su fatti oggettivi e verificabili direttamente connessi a quell’attività, e non copre le previsioni che non si basano esclusivamente su profilazione, comprese quelle basate sul luogo anziché sulla persona.

Che cosa resta scoperto

Un processo di persona di interesse che parte dal contenuto di un messaggio specifico si colloca con buona probabilità dentro la prima uscita, perché il messaggio del 14 agosto è un fatto oggettivo e verificabile. La domanda che nessuna delle due lettere risolve riguarda i sei anni e mezzo successivi, quando il fatto è stato cancellato e resta soltanto il punteggio, quando il punteggio viene combinato con altri punteggi per rilevare pattern di escalation, e quando il tracciamento nel tempo di un comportamento preoccupante comincia a somigliare molto a una valutazione di una persona su un certo periodo sulla base di caratteristiche dedotte. Il testo europeo si occupa di chi immette sul mercato o usa un sistema di IA per queste finalità, e un registro interno di classificazioni non si presenta come prodotto né come servizio. Si presenta come sicurezza aziendale, con la stessa asimmetria di applicazione che rende il teatro della conformità delle piattaforme un esercizio spesso formale.

La contraddizione di Anthropic tra policy pubblica e sicurezza interna

Sul piano dei documenti pubblici la posizione dell’azienda è la più restrittiva del settore. La policy d’uso vieta ai clienti di impiegare i suoi prodotti per determinazioni in ambito di giustizia penale, per tracciare la posizione fisica di una persona senza consenso, per raccogliere informazioni su un individuo o un gruppo allo scopo di tracciarne, colpirne o segnalarne l’identità, e menziona espressamente la polizia predittiva tra gli usi proibiti.

Il conflitto con il Pentagono

Quella policy l’azienda l’ha difesa a un costo notevole. Il 24 febbraio 2026 il segretario alla Difesa ha dato ad Anthropic tre giorni per concedere l’uso illimitato dei suoi modelli per qualsiasi finalità lecita. L’azienda ha rifiutato mantenendo due sole riserve, sorveglianza domestica di massa e armi completamente autonome. Il 27 febbraio il presidente ha ordinato a tutte le agenzie federali di cessare immediatamente l’uso della tecnologia Anthropic e il Pentagono ha designato la società come rischio per la catena di approvvigionamento, primo caso per un’azienda americana. Anthropic ha fatto causa il 9 marzo; il 26 marzo la giudice Rita Lin ha concesso un’inibitoria cautelare riconoscendo che l’azione governativa era probabilmente ritorsiva rispetto a una presa di posizione protetta dal Primo Emendamento; a fine agosto 2026 un secondo giudice ha bloccato la designazione. L’ACLU e il Center for Democracy and Technology sono intervenuti a sostegno dell’azienda, e la ricostruzione completa di quel braccio di ferro resta il contesto obbligato per leggere quanto segue.

Le due cose coesistono. Un’azienda che ha accettato di essere esclusa dai contratti federali per non concedere la sorveglianza di massa dei cittadini americani sta contemporaneamente costruendo una capacità di intelligence OSINT che elenca l’attivismo tra le minacce globali, e segnala utenti alla polizia sulla base di contenuti in piattaforma. Il Prospect segnala inoltre che la società ha ripreso a reclutare per posizioni di vendita nel settore della sicurezza nazionale.

Che cosa le fonti non dimostrano

Va aggiunto ciò che il resoconto giornalistico non prova, perché un’inchiesta che omette i limiti delle proprie fonti vale meno. Nessuna delle prove disponibili mostra che Claude sia stato usato per monitorare la protesta descritta nel podcast: l’allerta veniva da Samdesk, un fornitore terzo, e la policy d’uso vincola i clienti, non le operazioni di sicurezza interne condotte con strumenti altrui. Nessuna prova mostra un sistema capace di prevedere chi commetterà un reato, né che singoli partecipanti a quella manifestazione siano stati investigati o segnalati.

Le minacce a cui questo apparato risponde sono inoltre documentate: una molotov contro la casa del CEO di OpenAI in aprile, un uomo fermato nella hall di Anthropic dopo aver annunciato che un dirigente sarebbe stato ucciso, un aumento di sette volte delle minacce contro leader dell’IA e data center tra febbraio e maggio secondo la società di threat intelligence Liferaft. Eric Goldman, giurista della Santa Clara University, ha individuato la dinamica che spinge il sistema: chi non segnala si espone a responsabilità enormi se il reato poi si verifica, e più un’azienda diventa impopolare più forte è la pressione a segnalare in eccesso, sapendo che una parte delle persone indicate alle forze dell’ordine non avrebbe dovuto esserlo.

Che effetto ha sapere di essere letti: l’autocensura da dataveglianza

Nel 2016 Jonathon Penney ha misurato il traffico delle voci di Wikipedia su argomenti sensibili sotto il profilo della privacy prima e dopo le rivelazioni sul programma PRISM del giugno 2013, trovando un calo statisticamente significativo immediato e un cambiamento nella tendenza di lungo periodo. Studi paralleli hanno rilevato lo stesso effetto sulle query di ricerca di Google e sulla disponibilità a esprimere opinioni minoritarie sui social. Moritz Büchi, Noemi Festic e Michael Latzer hanno poi generalizzato il meccanismo sotto il nome di inibizione comunicativa da dataveglianza: la percezione di essere oggetto di raccolta continua e non specifica di tracce digitali riduce il comportamento comunicativo, indipendentemente dal fatto che una sorveglianza effettiva sia in corso.

Perché sugli assistenti conversazionali il danno cambia natura

Un calo di visite a una pagina enciclopedica riduce l’accesso a un’informazione che esiste altrove. Una chat con un modello linguistico viene invece usata da milioni di persone come confessionale, diario, consulto medico approssimativo, sfogo, stanza in cui provare pensieri non ancora presentabili. Il suo valore d’uso dipende interamente dalla franchezza di chi scrive. Quando si diffonde la consapevolezza che una soglia di classificazione può convertire una frase infelice in una telefonata alla polizia e in un punteggio conservato sette anni, l’autocensura non degrada l’accesso a un archivio esterno: degrada l’unico input di cui il servizio dispone.

Gli utenti più prudenti smettono di scrivere certe cose. Quelli davvero pericolosi smettono per primi, perché hanno il movente più forte. Il classificatore continua a intercettare la fascia intermedia, composta in larga parte da persone che stanno scherzando male.

Un attributo che non si può contestare

Dario Amodei ha scritto ad agosto che l’ostilità del pubblico verso l’intelligenza artificiale non nasce dagli avvertimenti dei suoi dirigenti ma da una crisi di fiducia più profonda, dal sospetto diffuso che aziende, governi e industria tecnologica stiano preparando un nuovo modo di fregare la gente. Come diagnosi non è sbagliata. Come autoritratto resta incompleta, perché la fiducia in un sistema di classificazione non dipende dalle intenzioni di chi lo amministra ma dalle procedure che gli si possono opporre.

L’uomo del 14 agosto ha detto di aver scherzato, non è stato incriminato e ha perso l’accesso al servizio. Da qualche parte, in un registro che nessuna cancellazione tocca e che nessuna informativa gli impone di conoscere, il punteggio che lo ha classificato come minaccia continuerà a esistere fino all’agosto del 2033. Non esiste una procedura per contestarlo, perché formalmente non è una decisione. È un attributo.