La cancellazione che non cancella: dentro il buco nero dei dati personali nei sistemi di intelligenza artificiale

Le piattaforme di intelligenza artificiale ci assicurano che possiamo “eliminare” i nostri dati. Ma cosa significa davvero cancellare, quando l’informazione è stata usata per addestrare un modello che ormai vive di vita propria? E chi controlla che quella promessa venga rispettata?

“So che rimangono nel flusso”: il reclamo che mette in discussione il mito dell’oblio digitale

“Secondo il principio dell’unlearning, sebbene mi dica che li ho cancellati, so di per certo che OpenAI è vaga perché i dati rimangono nel flusso”. È una frase che potrebbe sembrare un paradosso filosofico, e invece è il cuore di un Reclamo Formale e Memoria Difensiva ex art. 77 GDPR presentato al Garante per la protezione dei dati personali contro OpenAI L.L.C., la società dietro ChatGPT.

Nel documento, l’autore accusa la società di usare “definizioni ingannevoli e raggiri” quando parla di cancellazione dei dati e di tutela della privacy. Nel mirino ci sono la presunta impossibilità tecnica del cosiddetto machine unlearning (cioè la rimozione selettiva dei dati dall’algoritmo dopo l’addestramento), l’uso di dark pattern nelle email e nelle impostazioni di privacy, e un vuoto normativo che lascia il cittadino solo davanti a una scatola nera che dice “abbiamo cancellato” senza doverlo dimostrare a nessuno.

L’autore richiama esplicitamente gli articoli 17 e 21 del GDPR – diritto alla cancellazione (diritto all’oblio) e diritto di opposizione – sostenendo che tra la promessa giuridica e la realtà tecnica dei modelli di intelligenza artificiale c’è un abisso. Un abisso che si riempie di formule rassicuranti, pulsanti ambigui e caselle pre-selezionate.

Cancellazione logica vs cancellazione fisica: quando “eliminato” non significa “scomparso”

Per capire dove si incrina la promessa di privacy, bisogna partire da una distinzione scomoda ma necessaria: cancellazione logica contro cancellazione fisica.

Nei sistemi digitali, “cancellare” non significa quasi mai distruggere all’istante ogni traccia di un dato. Nella pratica, nella maggior parte dei servizi online, la cancellazione avviene su più livelli:

• Cancellazione logica: il dato viene reso inaccessibile alle normali funzioni del sistema. Viene marcato come “da non usare”, disassociato da un account, nascosto all’utente e spesso anche agli operatori ordinari. Ma può ancora esistere in backup, log, copie ridondanti.
• Cancellazione fisica: il dato viene effettivamente sovrascritto o eliminato da tutti i supporti di memorizzazione attivi e dai backup entro tempi definiti. È la versione più vicina all’idea intuitiva di “sparire per sempre”.

Questa distinzione, già di per sé complessa in un normale servizio cloud, si fa esplosiva con i sistemi di intelligenza artificiale generativa. Perché qui c’è un terzo livello, spesso taciuto o descritto in modo opaco: l’assorbimento del dato nei pesi del modello.

Quando un utente interagisce con un sistema come ChatGPT e autorizza – magari con un clic frettoloso – che le sue conversazioni vengano usate per “migliorare l’algoritmo per tutti”, non sta solo archiviando un testo in un database. Quel contenuto può entrare in procedure di addestramento o fine-tuning del modello. Il risultato è un insieme di parametri numerici – i pesi della rete neurale – che non conservano più il testo in forma leggibile, ma ne incorporano le regolarità statistiche.

E qui arriva il punto dolente: quando un’azienda dichiara di aver “eliminato” i dati personali, a quale livello si riferisce? Ha cancellato le conversazioni dal pannello utente? Dalle tabelle principali del database? Dai backup? O ha anche rimosso l’effetto di quei dati dall’algoritmo che li ha digeriti?

La maggior parte delle informative si ferma ai primi livelli, parlando di cancellazione o anonimizzazione degli input conservati come log. Molto più rare – e molto meno chiare – sono le spiegazioni su cosa accade ai dati una volta “fusi” nel modello. È qui che entra in scena il concetto di machine unlearning.

Machine Unlearning: il diritto all’oblio si schianta contro la matematica dei modelli

Nel mondo giuridico, l’articolo 17 del GDPR è chiaro: ogni interessato ha diritto alla cancellazione dei propri dati personali “senza ingiustificato ritardo” quando, tra l’altro, revoca il consenso, si oppone al trattamento o i dati non sono più necessari per gli scopi per cui erano stati raccolti. Il linguaggio è netto, quasi rassicurante. Ma nella pratica dell’intelligenza artificiale serve qualcosa che oggi è più un ideale di ricerca che una funzione disponibile: il machine unlearning.

Per machine unlearning si intende la capacità di un sistema di apprendimento automatico di “dimenticare” in modo selettivo i dati di un singolo individuo – o di un gruppo di individui – dopo che sono stati usati per l’addestramento. Non basta smettere di conservarli in forma grezza: bisognerebbe rimuovere anche il loro contributo dai pesi del modello, come se non fossero mai esistiti.

Il problema, come riconoscono molti ricercatori, è che gli attuali modelli di grandi dimensioni – i large language model (LLM) come quelli usati da OpenAI – non sono progettati per questo. Gli algoritmi di addestramento, basati su gradienti e ottimizzazione iterativa, mescolano miliardi di esempi in un unico spazio di parametri. I singoli contributi diventano praticamente indistinguibili.

Per “togliere” un dato dai pesi del modello servirebbe o:

• ri-addestrare il modello da zero senza quel dato, con costi enormi e spesso proibitivi, oppure
• sviluppare algoritmi di unlearning realmente efficaci, che oggi sono oggetto di ricerca sperimentale e tutt’altro che maturi.

Nel reclamo al Garante, l’autore lo dice senza giri di parole: il machine unlearning, in questi sistemi, è “tecnicamente impossibile” se non ripartendo dall’inizio. Tradotto: quando un’azienda afferma di aver cancellato i tuoi dati, al massimo ha smesso di conservarli come testo o come log associato al tuo account. Ma l’effetto di quei dati sull’algoritmo potrebbe rimanere intatto.

Qui la frizione con il GDPR diventa evidente. Se il modello continua a comportarsi in un certo modo perché è stato addestrato anche con le tue informazioni, si può davvero dire che il tuo diritto all’oblio sia stato rispettato? O siamo davanti a una cancellazione solo “logica”, non sostanziale?

Articolo 17 e Articolo 21 GDPR: la promessa di controllo incontra un’architettura opaca

Oltre al diritto alla cancellazione, il reclamo cita anche l’articolo 21 del GDPR, quello che riconosce all’interessato il diritto di opposizione al trattamento dei propri dati personali, in particolare quando la base giuridica è il legittimo interesse del titolare o l’esecuzione di un compito di interesse pubblico.

In teoria, questo diritto dovrebbe permettere a chiunque di dire: “No, i miei dati non possono essere usati per addestrare i vostri algoritmi” o “Da oggi in poi vi opponete alla profilazione che fate su di me”. In pratica, con sistemi come ChatGPT la situazione si complica. Le aziende spesso si rifugiano in formule vaghe: parlano di dati “anonimizzati” o “aggregati”, sostengono di non poter più ricondurre certe informazioni a una persona identificabile, e quindi di non essere più nel perimetro del GDPR.

Ma l’anonimizzazione è un concetto scivoloso. Nel contesto di modelli linguistici capaci di riprodurre interi brani di testo visti in addestramento, il confine tra dato personale e informazione “puramente statistica” si sfuma. Se un modello può essere indotto – tramite specifiche tecniche di prompt injection – a “rigurgitare” porzioni di dati sensibili, allora la barriera dell’anonimato non è così solida come viene presentata.

È qui che, secondo il reclamo, le promesse legali collidono con la realtà tecnica: il diritto di opporsi e cancellare c’è sulla carta, ma si scontra con un’infrastruttura fatta di modelli opachi, parametri non ispezionabili e strutture di dati che nessun utente può verificare. L’asimmetria di potere è totale: da una parte il cittadino che invoca articoli del GDPR; dall’altra un’azienda globale che risponde con FAQ, link a informative lunghe decine di pagine e un tasto “disattiva” che spesso agisce solo sulla superficie.

Chi controlla i controllori? Il vuoto di audit sui modelli di IA

C’è una domanda che attraversa tutto il reclamo e resta sospesa come un’accusa: chi verifica davvero che i dati siano stati eliminati?

Oggi, la risposta onesta è semplice e inquietante: nessuno, se non l’azienda stessa. I grandi modelli di linguaggio sono infrastrutture proprietarie, custodite come segreto industriale. I dataset di addestramento completi non sono pubblici; i pesi dei modelli, quando vengono rilasciati, sono numeri privi di contesto; le pipeline che collegano i log degli utenti al training sono conosciute solo internamente.

In questo scenario, le autorità di controllo – come il Garante italiano – si muovono in un campo minato. Possono chiedere documentazione, imporre misure, avviare istruttorie. Ma non esiste ancora un sistema strutturato di audit indipendente che permetta di verificare, con strumenti tecnici terzi, se:

• i dati di un utente che invoca l’articolo 17 siano stati effettivamente rimossi da tutti i sistemi attivi e dai processi di training;
• i meccanismi di opt-out siano realmente rispettati, e non aggirati da processi automatici o aggiornamenti futuri;
• i modelli non conservino, in pratica, una “memoria spettrale” di informazioni personali che dovrebbero essere dimenticate.

Il reclamo denuncia esattamente questo: un “vuoto normativo bello grosso” in cui ci si deve fidare delle dichiarazioni unilaterali delle aziende. Dichiarazioni che, quando vengono tradotte in interfacce utente e flussi di comunicazione, assumono spesso forme tutt’altro che neutrali.

Dark pattern e linguaggio addomesticato: come si spinge l’utente a dire “sì”

Nel documento inviato al Garante, OpenAI viene accusata esplicitamente di usare dark pattern, quelle tecniche di design che rendono più facile per l’utente compiere scelte vantaggiose per l’azienda e più difficile compiere scelte realmente tutelanti.

Tra gli elementi contestati ci sono:

• Email da indirizzi “noreply”, che rendono impossibile rispondere direttamente o dialogare in modo paritario, spingendo l’utente dentro percorsi predefiniti, spesso complessi, per esercitare i propri diritti.
• Opt-out nascosti o poco intuitivi per disattivare l’uso dei propri dati a fini di addestramento: opzioni relegate in sotto-menu, spiegate con formule vaghe, o presentate in modo da far sembrare la disattivazione una scelta egoista o dannosa per la comunità.
• L’etichetta “Migliora l’algoritmo per tutti”, indicata nel reclamo come un esempio di linguaggio manipolativo: una frase positiva, solidale, che trasforma una scelta tecnica – permettere o meno l’uso dei propri dati – in un atto quasi morale. Chi vuole davvero sentirsi quello che “non migliora l’algoritmo per tutti”?

Questi elementi, presi singolarmente, potrebbero sembrare dettagli. Insieme, compongono un quadro più cupo: un ambiente progettato per minimizzare la frizione quando l’utente dà il consenso e massimizzarla quando prova a ritirarlo o limitarlo. È il contrario dello spirito dell’articolo 25 del GDPR, quello sulla “protezione dei dati fin dalla progettazione e per impostazione predefinita” (privacy by design and by default).

Secondo questa norma, le impostazioni di base dovrebbero essere le più rispettose possibile della privacy. Invece, nel mondo dell’IA generativa, la regola implicita sembra essere l’opposto: addestramento algoritmico attivato di default, rinuncia al trattamento solo se l’utente scopre dove cliccare, dopo aver decifrato un gergo tecnico e un linguaggio pubblicitario intrecciati tra loro.

Quando il modello parla troppo: rigurgiti di dati e prompt injection

Non si tratta solo di principi astratti. Il reclamo richiama uno dei rischi più concreti e disturbanti dei grandi modelli linguistici: il fenomeno del “rigurgito” di dati, cioè la capacità del modello di riprodurre, a richiesta o in certe condizioni, frammenti di informazioni che dovrebbero essere state anonimizzate o rese irriconoscibili.

Negli ultimi anni, diversi studi hanno mostrato che, con opportune tecniche di interrogazione, è possibile spingere un modello a generare porzioni di dati sensibili appresi in fase di addestramento: password, indirizzi email, numeri di telefono, ma anche contenuti testuali riconducibili a persone reali. Questo fenomeno è spesso collegato alle cosiddette prompt injection, istruzioni formulate in modo da indurre il modello a ignorare i filtri di sicurezza e a rivelare informazioni che normalmente non dovrebbe produrre.

Se un modello può essere forzato a “ricordare” quello che ufficialmente dovrebbe aver dimenticato, la narrativa della cancellazione e dell’anonimizzazione vacilla. E non si tratta più solo di un problema di principio, ma di un rischio di fuga di dati su scala industriale, difficile da rilevare e quasi impossibile da tracciare fino alla fonte originale.

In questo contesto, frasi come “usiamo i tuoi dati solo per migliorare il servizio” assumono un significato inquietante. Migliorare per chi, e a quale prezzo, se la memoria del sistema può trasformarsi in un archivio involontario di informazioni sensibili, pronto a essere sondato da chi conosce i trucchi giusti?

Scopi occulti: profilazione, sorveglianza, espropriazione della creatività

Il reclamo non si ferma agli aspetti tecnici. Va più a fondo, toccando una domanda che raramente compare nelle FAQ delle piattaforme: perché queste aziende vogliono così tanto i nostri dati?

Oltre alla narrativa ufficiale del “miglioramento del modello”, l’autore ipotizza una serie di scopi meno dichiarati:

• Profilazione psicografica: le conversazioni con un’IA generativa sono spesso intime, spontanee, ricche di dettagli emotivi. Un materiale prezioso per costruire profili comportamentali e psicologici, utili non solo per migliorare il prodotto, ma anche per marketing mirato, manipolazione dell’attenzione, persino per applicazioni di sorveglianza più sottili.
• Sorveglianza diffusa: un sistema che interagisce quotidianamente con milioni di persone accumula una quantità di segnali inedita sulla vita reale: ansie, abitudini, preferenze politiche, stati di salute. Anche se non viene dichiarata come “sorveglianza”, la linea tra assistenza digitale e raccolta massiva di intelligence sociale è sottile.
• Espropriazione di proprietà intellettuale: ogni input creativo – testi, idee, bozze, progetti – diventa potenzialmente materia prima gratuita per addestrare modelli che poi generano contenuti concorrenti, senza riconoscere né compensare chi ha fornito il materiale di base.

Queste accuse restano, per ora, in larga parte nel campo del sospetto informato. Ma sollevano un punto politico ineludibile: la gestione della memoria delle IA generative non è solo un tema di conformità al GDPR, è un tema di potere. Chi controlla questi sistemi controlla non solo i dati, ma anche le rappresentazioni del mondo che da quei dati emergono.

Una richiesta di audizione, e una domanda più grande

Nel suo reclamo, l’autore chiede una cosa molto concreta: una audizione formale davanti al Garante, in una finestra temporale precisa – 18-20 agosto 2026 – per discutere di persona queste questioni. È un gesto che ha qualcosa di ostinato, quasi artigianale, in un contesto dominato da algoritmi e policy globali: rimettere il corpo, la voce, il tempo di un cittadino dentro un procedimento che troppo spesso resta confinato alla burocrazia digitale.

Ma al di là dell’esito di questo singolo caso, la domanda che lancia è più ampia e riguarda tutti: possiamo accettare che la cancellazione dei nostri dati nei sistemi di intelligenza artificiale sia una promessa non verificabile, fondata sulla fiducia cieca in soggetti privati?

Finché la risposta resta “sì”, il divario tra il testo del GDPR e la realtà dei modelli continuerà ad allargarsi. Avremo diritti teorici fortissimi e strumenti pratici debolissimi per farli valere, soprattutto contro tecnologie che, per design, non sono state pensate per dimenticare.

Dalla fiducia alla verifica: perché serve un audit indipendente obbligatorio

Se c’è un punto su cui il reclamo colpisce nel segno, è la denuncia del vuoto di verifica esterna. Nel mondo della sicurezza alimentare, nessuno si sognerebbe di dire “fidatevi, controlliamo noi”. Nel mondo finanziario, gli audit indipendenti sono una condizione minima per operare. Nel mondo dell’IA che assorbe e trasforma dati personali su scala planetaria, invece, siamo ancora al livello delle autodichiarazioni.

Colmare questo vuoto richiede una scelta politica chiara: rendere obbligatori per legge audit indipendenti sui sistemi di intelligenza artificiale che trattano dati personali. Audit che non si limitino alle carte e alle policy, ma entrino – per quanto possibile – nel merito tecnico:

• verificando le pipeline di trattamento, dall’input dell’utente ai dataset di training;
• analizzando i meccanismi di opt-in e opt-out per identificare e vietare i dark pattern;
• testando sperimentalmente il rischio di rigurgito di dati e l’efficacia delle misure di mitigazione;
• valutando, caso per caso, se le promesse di cancellazione siano compatibili con l’architettura dei modelli o se si tratti di marketing travestito da tutela.

Non basterà: serviranno anche norme più precise sul significato di anonimizzazione nell’era dei modelli generativi, limiti stringenti alla profilazione psicografica e regole chiare sull’uso di materiale coperto da diritto d’autore. Ma senza un meccanismo di verifica esterna, tutto il resto rischia di rimanere sulla carta.

L’epoca in cui ci si poteva permettere di “sperimentare” con i dati delle persone è finita da tempo. Se vogliamo che l’intelligenza artificiale non diventi l’ennesima infrastruttura di sorveglianza e appropriazione asimmetrica, c’è un passo minimo ma imprescindibile da compiere: passare dalla fiducia alla verifica. E mettere per iscritto, nelle leggi, che nessun modello che promette di cancellare può farlo senza essere controllato da qualcuno che non ha interessi nel mantenerlo in memoria.