Etica e governance

IA e privacy: il patto della sorveglianza al cuore dell’economia dell’intelligenza

La principale sanzione europea per violazioni della privacy legate all’IA è stata annullata nel marzo 2026, e il più grande pagamento finora nel settore dell’IA ha riguardato libri piratati, non dati personali. Perché le sanzioni continuano

AI.info Team · 2026-08-31

Il patto che nessuno ha firmato

Ogni discussione su «IA e privacy» finisce per ricorrere alla parola patto, come se da qualche parte ci fosse stata una trattativa. Non c’è stata. L’economia dell’intelligenza è stata costruita raccogliendo dati dal web pubblico, acquisendo in licenza ciò che non si poteva raccogliere senza dare nell’occhio e chiedendo perdono — in tribunale, nei documenti depositati presso le autorità di regolamentazione, con qualche accordo transattivo a nove cifre — solo dopo che i modelli erano già stati addestrati e messi sul mercato.

Le persone le cui fotografie, i cui scritti e i cui dati biometrici sono diventati materiale per l’addestramento non erano controparti di questo patto. Ne erano la materia prima. Il modo più onesto di descrivere questo assetto non è chiamarlo patto, ma fatto compiuto al quale autorità di regolamentazione e tribunali stanno ora cercando, lentamente e in modo disomogeneo, di applicare a posteriori il consenso.

Questo tentativo sta fallendo in un modo preciso e riconoscibile: le sanzioni arrivano tardi, ammontano a una frazione del valore già ricavato e raramente costringono qualcuno a cancellare un modello addestrato o a fargli dimenticare ciò che ha memorizzato. Finché le misure di contrasto non potranno raggiungere il modello stesso — e non soltanto il dataset o la pratica che lo ha prodotto — il patto della sorveglianza continuerà a favorire chi raccoglie i dati per primo.

Prima lo scraping, poi le cause

L’esempio più chiaro è The New York Times Company v. Microsoft Corporation and OpenAI, causa intentata nel dicembre 2023 presso il tribunale federale del distretto meridionale di New York. Il Times sostiene che OpenAI e Microsoft abbiano usato senza autorizzazione milioni di suoi articoli per addestrare i modelli GPT e che ChatGPT sia in grado di riprodurre articoli del Times quasi parola per parola. Nel marzo 2025 il giudice Sidney Stein ha respinto gran parte della richiesta dei convenuti di archiviare la causa, consentendo che le principali contestazioni per violazione del copyright proseguissero, pur restringendo alcune contestazioni fondate sul DMCA.

La fase di acquisizione delle prove ha dato luogo a una lunga controversia sui log di ChatGPT: i ricorrenti ne volevano 120 milioni; nel novembre 2025 la giudice istruttrice Ona Wang ha ordinato la produzione di un campione di 20 milioni di log, privati degli identificativi personali. Il giudice Stein ha confermato la decisione nel gennaio 2026. Entro settembre 2026 tutte e tre le parti avevano presentato istanze di giudizio sommario e il 17 settembre le memorie sono state rese pubbliche, perlopiù senza omissis. Sono così emerse più di 91.000 copie di lavori del Times, del Daily News e del Center for Investigative Reporting nei dataset usati da OpenAI durante l’addestramento, insieme al giudizio di un direttore di Microsoft su quella pratica:

il più grande furto di lavoro nella storia dell’umanità — Brent Hecht, direttore della scienza applicata, Microsoft

Due settimane prima, il Dipartimento di Giustizia aveva depositato una memoria esortando il tribunale a stabilire che l’addestramento su testi protetti dal copyright costituisce un uso legittimo, richiamando la competitività americana e la sicurezza nazionale. Era la prima volta che il governo federale prendeva posizione in una controversia sui dati usati per addestrare l’IA, e si è schierato con i convenuti.

Non è stato riferito di alcun accordo. È cresciuto invece il numero delle cause: il Seattle Times e Newsday hanno citato in giudizio entrambe le aziende ai primi di settembre 2026, e Times Publishing ha intentato causa nel distretto meridionale di New York il 16 settembre. Un’azienda che ha prima costruito un prodotto da mille miliardi di dollari ora sta negoziando, sotto il vincolo di ordini giudiziari di produzione dei documenti e con il governo che sostiene la sua posizione, quanto doveva alle persone di cui ha utilizzato il lavoro.

Getty Images v. Stability AI ha seguito lo stesso copione, con un esito più scoraggiante per i titolari dei contenuti. Getty ha sostenuto che 7,3 milioni di sue opere protette dal copyright fossero state usate per addestrare Stable Diffusion v1 e 4,4 milioni per addestrare v2. Ma, non potendo dimostrare che l’addestramento stesso fosse avvenuto nel Regno Unito, ha ritirato le sue principali contestazioni relative al copyright e ai diritti sulle banche dati prima delle arringhe finali.

Nella sentenza del novembre 2025, l’Alta Corte di Inghilterra e Galles ha stabilito che i pesi di Stable Diffusion non sono «copie in violazione del copyright» ai sensi della legge britannica sul copyright — il modello conserva parametri appresi statisticamente, non riproduzioni delle fotografie — anche se Getty ha ottenuto ragione su una circoscritta contestazione relativa al marchio per gli output che riproducevano il suo watermark. Letti insieme, i due casi mostrano il profilo che sta assumendo il diritto: i tribunali sono molto più disposti a vigilare su ciò che un modello produce che su ciò che è stato usato per addestrarlo. Dal punto di vista della privacy, questa asimmetria è esattamente al contrario, perché il danno della raccolta di dati senza consenso si verifica quando i dati vengono acquisiti, non quando il modello genera un output.

I dati biometrici sono l’aspetto più insidioso del patto

Testi e immagini si possono, in linea di principio, recuperare da fonti pubbliche. Non si può invece scegliere di smettere di rendere pubblico il proprio volto. È per questo che i dati biometrici hanno portato alle più ingenti sanzioni accertate per violazioni della privacy nell’economia dell’intelligenza artificiale.

Clearview AI ha raccolto miliardi di fotografie dai social media e dal web pubblico per costruire un database di riconoscimento facciale, che ha venduto a dipartimenti di polizia e aziende private. In Illinois — l’unico Stato con una legge, il Biometric Information Privacy Act (BIPA), che consente ai privati di agire in giudizio per la raccolta di dati biometrici senza consenso — l’ACLU ha citato in giudizio Clearview nel 2020.

L’accordo del 2022 vieta definitivamente a Clearview di vendere il suo database di impronte facciali alla maggior parte delle aziende private in tutto il paese e, per cinque anni, alla polizia dell’Illinois. Prevede inoltre un meccanismo di opt-out per i residenti dell’Illinois. I pagamenti diretti sono stati modesti: 50.000 dollari per pubblicizzare il programma di opt-out e 250.000 dollari per le spese legali. Il valore dell’accordo era strutturale, non economico: limitava il modello di business di Clearview anziché attribuire un prezzo al danno.

Il vero potere deterrente del BIPA si è manifestato altrove. Nel 2021 Facebook ha pagato 650 milioni di dollari per chiudere una class action basata sul BIPA relativa alla funzione Tag Suggestions e ai modelli facciali che utilizzava: all’epoca, il più ingente accordo in una class action sulla privacy nella storia degli Stati Uniti. Il Texas, che ha una propria legge sui dati biometrici (il Capture or Use of Biometric Identifier Act), se ne è servito nel 2024 per ottenere da Meta un accordo da 1,4 miliardi di dollari sulla stessa pratica di riconoscimento facciale: il più ingente accordo sulla privacy mai ottenuto da un procuratore generale statale.

Entrambi i casi confermano lo stesso schema: la responsabilità prevista dalla legge per ogni singola violazione, senza l’obbligo di dimostrare un danno individuale, è l’unico meccanismo che abbia prodotto sanzioni abbastanza ingenti da cambiare davvero il comportamento delle aziende, anziché essere semplicemente assorbite come costi generali.

Nel Regno Unito, la vicenda Clearview è stata più intricata e mostra i limiti del GDPR quando un’azienda non ha una presenza locale. Nel 2022 l’Information Commissioner’s Office ha inflitto a Clearview una multa di 7,5 milioni di sterline per aver trattato illecitamente i dati dei residenti nel Regno Unito. Clearview ha presentato ricorso contestando la competenza dell’autorità e, nel 2023, il tribunale di primo grado le ha dato ragione, stabilendo che la sua attività non rientrava nell’ambito di applicazione del GDPR perché serviva clienti stranieri attivi nelle forze dell’ordine e nella sicurezza nazionale.

L’ICO ha impugnato la decisione e, nell’ottobre 2025, il tribunale superiore l’ha ribaltata su tre dei quattro motivi, stabilendo che l’ICO è competente. Ha però rinviato a un nuovo collegio del tribunale di primo grado la questione se la sanzione dovesse essere confermata. Nel dicembre 2025 ha autorizzato Clearview a portare la questione della competenza davanti alla Corte d’appello, perciò l’udienza disposta dopo il rinvio resta in attesa di un altro ricorso.

A quattro anni di distanza, non è ancora deciso se Clearview debba pagare. Una sanzione che impiega mezzo decennio a diventare definitiva, contro un’azienda che nel frattempo ha continuato a operare senza interruzioni, non è un deterrente. È una cifra trascurabile a cui si aggiungono le spese legali.

L’arretramento dei divieti sul riconoscimento facciale

I divieti comunali sull’uso del riconoscimento facciale da parte della polizia — San Francisco è stata la prima, nel 2019, seguita da circa una dozzina di altre città entro il 2021 — hanno smesso di diffondersi. Anchorage ha approvato un divieto comunale nell’aprile 2023, mentre New Orleans ha abrogato il proprio nel luglio 2022. Lo stesso dipartimento di polizia di San Francisco è stato citato in giudizio con l’accusa di aver aggirato il divieto chiedendo alle agenzie delle zone limitrofe di effettuare ricerche tramite riconoscimento facciale per suo conto.

L’attenzione si è spostata dai divieti comunali assoluti alle garanzie a livello statale: alla fine del 2024, circa quindici Stati avevano leggi che limitavano l’uso del riconoscimento facciale da parte della polizia, e sia il Montana (2023) sia lo Utah (2024) avevano introdotto l’obbligo di ottenere un mandato. È un miglioramento concreto rispetto a una situazione priva di regole, ma l’obbligo di un mandato è un controllo procedurale, non un divieto: presuppone che la tecnologia sia legittima purché un giudice la autorizzi, eludendo così la questione più profonda, ossia se le infrastrutture di sorveglianza biometrica debbano esistere anche su scala tale da raggiungere i consumatori o a livello comunale.

Lo strumento più incisivo dell’Europa

Il GDPR dell’UE, e in particolare il Garante italiano, hanno mostrato che cosa accade quando un’autorità di controllo è disposta a usare subito il suo strumento più dirompente, anziché attendere anni di contenzioso. Il 30 marzo 2023, il Garante ha ordinato a OpenAI di interrompere immediatamente il trattamento dei dati personali degli utenti italiani, citando l’assenza di una base giuridica per l’uso di dati personali nell’addestramento di ChatGPT, informative sulla trasparenza insufficienti, risposte inesatte su persone reali e la mancanza di un’effettiva verifica dell’età.

OpenAI ha ripristinato il servizio il 28 aprile dopo aver accettato di introdurre informative sulla trasparenza, un meccanismo di verifica dell’età e un meccanismo che consentisse ai residenti nell’UE di opporsi all’uso dei loro dati per l’addestramento. Il blocco è durato meno di un mese, ma ha imposto modifiche concrete al prodotto in tutte le attività di OpenAI nell’UE, non solo in Italia: l’opposto dello scontro con Clearview, protrattosi per anni e limitato a una giurisdizione.

Nel dicembre 2024, il Garante ha annunciato una sanzione di 15 milioni di euro contro OpenAI per le stesse violazioni relative ai dati di addestramento, insieme all’ordine di condurre una campagna di sensibilizzazione sulla stampa italiana. Nessuno dei due provvedimenti ha retto. Il 18 marzo 2026, il Tribunale di Roma li ha annullati entrambi per una sola questione di competenza: la controllata irlandese di OpenAI, costituita nel marzo 2023, era stata riconosciuta come suo stabilimento nell’UE nel febbraio 2024. In base alla regola dello sportello unico del GDPR, ciò rendeva l’autorità irlandese la sua autorità di controllo capofila già nove mesi prima della firma della decisione italiana.

Il tribunale non si è pronunciato sulla liceità dell’addestramento. Ha stabilito che l’Italia non era più l’autorità competente a porre la questione. In Europa, ora, non è in vigore alcuna sanzione contro un laboratorio che sviluppa modelli di frontiera per le sue pratiche relative ai dati di addestramento, ed è stata dimostrata una via per evitarne una: costituire una società nello Stato membro di propria scelta mentre l’indagine è in corso. La sospensione d’urgenza, disposta nel giro di settimane, resta l’unico strumento europeo ad aver modificato il prodotto di OpenAI.

La macchina ricorda ciò che le era stato detto di non ricordare

Una regolamentazione rivolta soltanto alle pratiche di raccolta trascura un secondo problema di privacy, che risiede nel modello addestrato: la memorizzazione. Lo studio di Carlini et al. pubblicato nel 2021 su USENIX Security, «Extracting Training Data from Large Language Models», ha mostrato che, interrogando GPT-2 con i prefissi giusti, era possibile far emergere brani di testo memorizzati parola per parola, compresi nomi, numeri di telefono e indirizzi email di persone presenti nei dati di addestramento.

Ricerche successive sui sistemi in produzione hanno rilevato che il problema cresce con le dimensioni e le capacità del modello, anziché scomparire: i modelli più grandi e capaci memorizzano di più, e le tecniche avversarie basate sui prompt — trigger con caratteri speciali, attacchi mirati tramite prefissi, test di inferenza dell’appartenenza ai dati di addestramento — si sono evolute di pari passo con le misure di mitigazione. Alcune analisi hanno rilevato che, rispetto ai modelli base non adattati, è più difficile estrarre dati dai modelli più recenti ottimizzati per la conversazione a ogni singola interrogazione. Ma quando l’estrazione riesce su larga scala contro i sistemi in produzione, fa emergere contenuti memorizzati molto più spesso di quanto accadesse con gli attacchi precedenti, più rudimentali.

In altre parole: la messa a punto dell’allineamento ha cambiato le probabilità di riuscita di ciascun tentativo, non il fatto che questi modelli conservino frammenti dei dati personali su cui sono stati addestrati e che tali frammenti possano essere recuperati.

Questo conta perché rende inefficace il rimedio standard per la tutela della privacy: la cancellazione. Se i dati di una persona sono memorizzati nei pesi del modello anziché conservati in un database interrogabile, non esiste un modo semplice per «rimuoverli» che non sia ripetere l’addestramento: un’operazione costosa e, in alcuni casi, non ancora dimostrata sul piano tecnico, soprattutto alla scala dei modelli di frontiera. Il diritto alla cancellazione previsto dal GDPR e quello previsto dal CCPA sono stati concepiti per i database, non per parametri distribuiti su miliardi di pesi. Nessuno ha dimostrato su larga scala che sia possibile far «dimenticare» in modo affidabile a un modello addestrato i dati di una persona specifica senza ripetere l’addestramento da zero.

Privacy differenziale: reale, ma parziale

La soluzione tecnica che funziona davvero, nei limiti della sua portata, è la privacy differenziale: aggiungere durante l’addestramento rumore statistico calibrato, in modo che nessun singolo esempio di addestramento possa essere recuperato in modo affidabile dalle risposte del modello. La forza della garanzia è regolata da un parametro chiamato epsilon: un epsilon più piccolo significa maggiore tutela della privacy, uno più grande una tutela minore. Apple applica la privacy differenziale, con valori di epsilon che, secondo quanto riportato, si collocano all’incirca nell’intervallo 2–8 per diversi tipi di dati, alla telemetria sull’utilizzo che raccoglie da iPhone e Mac.

Google addestra i suoi modelli di previsione della tastiera Gboard con l’apprendimento federato a privacy differenziale e nel 2022 ha annunciato un epsilon di 8,9 per il suo modello in lingua spagnola, addestrato con un algoritmo chiamato DP-FTRL: proprio per evitare che le abitudini di digitazione di un singolo utente vengano memorizzate nel modello condiviso. Sono difese reali, adottate e verificabili, e vanno nella direzione giusta.

Ma non sono neppure le tecniche su cui si basano i grandi modelli linguistici di frontiera addestrati su testi raccolti dal web: applicare la privacy differenziale alla scala e con i valori di epsilon necessari per una garanzia significativa peggiora in modo misurabile la qualità del modello. È proprio per questo che oggi i più grandi modelli generativi di OpenAI, Anthropic e Google non vengono addestrati così. La privacy differenziale protegge gli utenti dei prodotti progettati appositamente per tutelarla. Non protegge gli autori, gli artisti e le persone comuni i cui testi e immagini sono stati raccolti e inseriti in un modello generalista mai progettato tenendo conto di un budget di privacy.

Perché le multe non scoraggiano nessuno

Mettendo in fila le cifre, emerge uno schema. Un settore che vale oltre 1.000 miliardi di dollari ha prodotto, nell’arco di circa un decennio, un accordo da 1,5 miliardi di dollari (Anthropic, per libri piratati anziché per dati personali, approvato definitivamente il 20 luglio 2026), uno da 1,4 miliardi di dollari (Meta/Texas), uno da 650 milioni di dollari (Facebook/BIPA), una multa contestata di 7,5 milioni di sterline, inflitta quattro anni fa e non pagata (Clearview/Regno Unito), e una multa da 15 milioni di euro che non esiste più (OpenAI/Italia).

L’accordo con Anthropic è quello che più si è avvicinato a colpire il materiale anziché la pratica: ha obbligato l’azienda a distruggere i file piratati che aveva scaricato, lasciando intatti i modelli addestrati su quei file.

Solo i due casi di risarcimento previsto dalla legge per violazioni relative ai dati biometrici hanno raggiunto cifre abbastanza elevate da poter plausibilmente fungere da deterrente, anziché essere un costo dell’attività d’impresa. Entrambi, però, dipendevano da leggi statali particolarmente severe (il BIPA dell’Illinois e il CUBI del Texas), che la maggior parte degli stati non ha. Il tetto previsto dal GDPR — fino al 4% del fatturato annuo globale o 20 milioni di euro, a seconda di quale importo sia maggiore — non è mai stato applicato a un laboratorio di IA di frontiera per le sue pratiche relative ai dati di addestramento. La multa che più si è avvicinata a quel tetto ne rappresentava solo una frazione ed è stata annullata per una questione procedurale prima che ne venisse pagato un solo euro.

Cosa servirebbe per un vero accordo

Il filo conduttore di tutti questi casi — NYT, Getty, Clearview, Facebook, Meta, Italia — è che gli interventi delle autorità continuano ad arrivare dopo che il modello è stato costruito, addestrato, distribuito e monetizzato, e continuano a fermarsi a sanzioni calibrate per apparire severe in un comunicato stampa, non per minacciare il modello di business.

Un vero accordo richiederebbe tre cose che finora le autorità di regolamentazione hanno evitato: risarcimenti fissati per legge per ogni singola violazione, sul modello di BIPA e CUBI, estesi a ben più di due stati, così che la raccolta di dati biometrici e di altri dati personali sensibili comporti un rischio economico concreto prima che un prodotto venga immesso sul mercato, non dopo; il diritto di imporre un nuovo addestramento o la cancellazione di un modello che abbia dimostrato di memorizzare dati personali identificabili, affinché «non possiamo annullare ciò che è stato fatto» smetta di essere una difesa accettata; e l’obbligo di rendere nota la provenienza dei dati di addestramento prima della distribuzione, anziché attraverso anni di acquisizione delle prove in giudizio, così da rendere superflua una battaglia pluriennale come quella del NYT per stabilire su quali dati sia stato addestrato un modello.

La privacy differenziale dimostra che il settore sa costruire sistemi che tutelano la privacy quando la sostenibilità economica di un prodotto può assorbire la perdita di utilità che ne deriva. Manca un meccanismo che obblighi i laboratori a sostenere quel costo quando farlo è scomodo — e per i modelli di frontiera addestrati sull’intero internet raccolto tramite scraping, al momento lo è sempre. Finché le cose non cambieranno, «accordo» resterà la parola sbagliata. È una tassa, e la collettività la paga senza che le sia mai stata comunicata l’aliquota.