Se hai riflettuto due volte prima di condividere conoscenze proprietarie o dati dei clienti con OpenAI o Anthropic, non sei da solo. La privacy dei dati è diventata un fattore determinante per le aziende che scelgono un fornitore di AI. Fortune ha riportato(nuova finestra) questa settimana che la conservazione zero dei dati (ZDR) è ormai il terreno su cui competono i laboratori all’avanguardia nell’innovazione dell’AI. La promessa della ZDR è semplice: il fornitore elabora il tuo prompt, restituisce una risposta e non ne conserva traccia. In pratica, però, la ZDR è riservata ai clienti di fascia alta. Comporta anche eccezioni (ne parleremo a breve), il che significa che un fornitore può ignorare la propria policy nel giro di poche settimane.
Come siamo arrivati qui
Il 9 giugno, Anthropic ha lanciato i suoi modelli più potenti, Fable 5 e Mythos 5, con un obbligo di conservazione di 30 giorni su tutto il traffico. Si applicava a ogni piattaforma su cui girano i modelli, tra cui AWS Bedrock e Google Vertex AI, e annullava gli accordi di conservazione zero che alcune aziende avevano già firmato. Anthropic ha dichiarato che i dati erano necessari per rilevare gli abusi, non sarebbero stati usati per l’addestramento e sarebbero stati eliminati dopo 30 giorni “in quasi tutti i casi”.
Le aziende non si sono fatte convincere. Nel giro di un giorno, Microsoft ha limitato l’accesso dei propri dipendenti a Fable(nuova finestra) mentre i suoi legali esaminavano i termini. Nvidia ha limitato l’uso dei modelli Anthropic(nuova finestra) ai lavori meno sensibili e si è affidata internamente ai propri modelli Nemotron. Palantir ha rifiutato di offrire i modelli Anthropic(nuova finestra) tramite il proprio software finché Anthropic non garantisce una conservazione zero irrevocabile. Booz Allen Hamilton(nuova finestra), la società di consulenza statunitense che lavora in gran parte per agenzie di difesa e intelligence, ha vietato al personale di usare il modello commerciale per lavori di cybersecurity proprietari.
Un mese dopo, l’amministratore delegato di Microsoft Satya Nadella(nuova finestra) e l’amministratore delegato di Palantir Alex Karp(nuova finestra) hanno messo pubblicamente in guardia le aziende dalla dipendenza dall’AI di frontiera. “In pratica paghi l’intelligenza due volte”, ha detto Nadella, “una con il denaro e una seconda volta con qualcosa di ancora più prezioso: le conoscenze proprietarie che devi rivelare per rendere utile quell’intelligenza”.
I fornitori ora competono per riparare i danni. Il 19 agosto, OpenAI ha riconfermato la piena conservazione zero dei dati(nuova finestra) per i clienti enterprise e API idonei sui suoi modelli di frontiera. Ha presentato in anteprima Private Safety Processing, un’architettura in cui i contenuti dei clienti idonei restano su infrastrutture controllate dal cliente, oppure risiedono su infrastrutture OpenAI crittografate con chiavi che OpenAI non possiede. Sistemi automatizzati li scansionano e restituiscono un segnale limitato che descrive la categoria e la gravità dell’attività.
Il 1º settembre, Anthropic ha annunciato Enterprise Frontier Safeguards(nuova finestra), o EFS, che archivia i dati di monitoraggio degli abusi nell’account cloud del cliente, sotto le chiavi crittografiche del cliente stesso, anziché in quelli di Anthropic. EFS non era disponibile al momento dell’annuncio e sarà introdotto gradualmente in più fasi nel corso dell’autunno, sui piani Enterprise. Nel frattempo, i clienti che Anthropic ritiene idonei ottengono la ZDR su Fable come soluzione ponte.
Entrambe le soluzioni preservano il monitoraggio. Il luogo in cui risiedono i registri e chi può leggerli può essere cambiato, ma nessuno dei due laboratori di AI si è impegnato a rimuovere i registri.
Perché la conservazione dei dati è diventata un fattore decisivo
Le aziende che hanno adottato l’AI enterprise hanno accettato i termini di conservazione nella convinzione che i loro dati sarebbero stati conservati per breve tempo, usati solo per individuare gli abusi e mai per l’addestramento. Quattro elementi hanno minato questa convinzione.
Un tribunale può ignorare una promessa di eliminazione. A maggio 2025, un’ordinanza di conservazione nel procedimento legale del New York Times(nuova finestra) ha obbligato OpenAI a conservare a tempo indeterminato i log degli output di ChatGPT e dell’API, comprese le chat eliminate e quelle del piano Team a pagamento. L’ordinanza è durata circa quattro mesi e alcuni di quei dati sono ancora conservati. I clienti API con ZDR non sono stati coinvolti, perché i loro dati non sono mai stati archiviati. Ma una volta che un fornitore conserva una copia, è un tribunale a decidere per quanto tempo esiste.
La legge statunitense raggiunge i tuoi dati ovunque si trovino. Ai sensi del CLOUD Act, le autorità statunitensi possono obbligare un’azienda americana a consegnare i dati in suo possesso, custodia o controllo, anche se quei dati si trovano in un data center europeo. Un’opzione di residenza dei dati nell’UE offerta da un fornitore statunitense cambia dove sono archiviati i tuoi dati, non quale governo può richiederli. Partner e fornitori esterni fanno parte di questo problema, non sono una nota a margine: la regola dei 30 giorni di Anthropic si applicava anche su AWS e Google Cloud, e OpenAI afferma che fornitori terzi specializzati possono accedere alle conversazioni per il supporto, le indagini sugli abusi e la conformità legale. Le chiavi crittografiche detenute dal cliente limitano ciò che un provider cloud può consegnare, ma non sottraggono il provider alla giurisdizione statunitense.
L’FBI può anche emettere National Security Letter senza l’approvazione di un giudice. Queste richiedono dati sugli abbonati e registri delle transazioni, ovvero chi ha usato il servizio, quando e in che misura, non il contenuto delle conversazioni. Di solito comportano un ordine di silenzio, quindi il fornitore può avere il divieto di informarti. Ecco perché i metadati contano anche quando i contenuti vengono eliminati.
Il governo statunitense può anche semplicemente disattivare il modello. Tre giorni dopo il lancio del 9 giugno, una lettera del Dipartimento del Commercio degli Stati Uniti ha vietato l’accesso a Fable 5 e Mythos 5 ai cittadini non statunitensi. Anthropic ha revocato l’accesso ai clienti in tutto il mondo finché i controlli non sono stati annullati, intorno al 30 giugno. Per circa tre settimane, il modello più potente sul mercato è rimasto indisponibile fuori dagli Stati Uniti perché un’agenzia americana ha deciso così. Nessuna clausola sul trattamento dei dati, per quanto ben redatta, protegge da questo. Anche la disponibilità è un rischio giurisdizionale, e gli acquirenti europei hanno iniziato a considerarlo tale: in un sondaggio di Proton condotto su 1.500 dirigenti aziendali europei e pubblicato quest’anno, il 74% ha dichiarato di temere che un’autorità statunitense possa ordinare a un fornitore di sospendere il loro accesso.
La conservazione è diventata il prezzo dell’accesso. Un contratto ZDR negoziato da un’azienda non la proteggeva sul modello che voleva usare di più. Le imprese vincolate dalla riservatezza verso i clienti o da normative di settore hanno dovuto scegliere tra il modello migliore e i propri obblighi.
Una distinzione da tenere a mente: “non ci addestriamo sui tuoi dati” non è la stessa cosa di “non impariamo da essi”. Un fornitore che conserva i tuoi prompt può comunque studiarli, quali attività automatizzi, come sono strutturati i tuoi flussi di lavoro. Esperti di sicurezza citati da Fortune affermano che le aziende di AI potrebbero usare approfondimenti come questi per migliorare i prodotti futuri senza addestrarsi direttamente sui dati. Questo potrebbe aiutare un fornitore a creare qualcosa che compete con il tuo prodotto.
Tutte le eccezioni alla conservazione zero
Il numero che salta all’occhio raramente è tutta la policy. Leggi i termini di conservazione e le stesse eccezioni compaiono ancora e ancora.
- Monitoraggio degli abusi. La maggior parte delle API di AI conserva prompt e output per impostazione predefinita, così da poter scansionare eventuali abusi, in genere per circa 30 giorni, a volte con revisori umani in grado di leggerli. Il monitoraggio degli abusi è stata esattamente la giustificazione della regola dei 30 giorni di Anthropic(nuova finestra), ed è il motivo per cui devi richiedere la ZDR. Le impostazioni predefinite attualmente pubblicate: API OpenAI, 30 giorni per il monitoraggio degli abusi; Azure OpenAI, 30 giorni archiviati nell’ambiente Microsoft con revisione umana limitata ai contenuti già segnalati, rimovibili solo con approvazione per un monitoraggio degli abusi modificato, che richiede un contratto enterprise; l’API Gemini Developer a pagamento di Google, 55 giorni per impostazione predefinita, configurabile fino a 7, 14 o 28 giorni, mentre Vertex AI prevede 30 giorni. Il numero dipende da quale superficie stai effettivamente acquistando.
- Conversazioni segnalate. Se un classificatore automatico decide che una chat viola la policy di utilizzo, il conteggio della conservazione cambia. Secondo i termini pubblicati da Anthropic, gli input e gli output segnalati come violazioni possono essere conservati fino a due anni, e i punteggi di classificazione di sicurezza e affidabilità a essi associati fino a sette anni. I classificatori commettono errori: un team di sicurezza che sonda le proprie difese, o un ricercatore che chiede di chimica, potrebbe far scattare un allarme. Le policy di conservazione generalmente non promettono di avvisarti quando accade.
- Dati sui tuoi dati. Anche quando la conversazione stessa viene eliminata, i registri che la riguardano possono sopravvivere: punteggi dei classificatori, identificatori di account e utente, timestamp, volumi di utilizzo, quali strumenti o connettori sono stati chiamati. Basta per costruire un quadro dettagliato di come funziona la tua azienda. Ed è esattamente il tipo di registro che una National Security Letter può richiedere.
- Pulsanti di feedback. Un pollice in su o in giù(nuova finestra) invia con sé l’intera conversazione. Anthropic conserva per cinque anni i dati inviati tramite feedback o segnalazioni di bug.
- File, memoria e agenti. La ZDR di norma copre la chiamata al modello, non le funzionalità che la circondano. I file caricati, i vector store, la memoria, le chat salvate, i connettori e le sessioni degli agenti vengono archiviati finché non li elimini. La policy di Anthropic, per esempio, esclude i servizi “con conservazione più lunga sotto il tuo controllo”, come la sua API Files.
- Account personali. Se il personale usa l’AI su piani personali, i dati della tua azienda ricadono nei termini per i consumatori. Secondo i termini per i consumatori aggiornati alla fine del 2025, le chat degli utenti Anthropic che ne consentono l’uso per l’addestramento vengono conservate fino a cinque anni.
Le promesse di eliminazione terminano quasi sempre con eccezioni per indagini di sicurezza e obblighi legali, la clausola “in quasi tutti i casi”. È in quelle eccezioni che i tuoi dati restano più a lungo.
I termini stessi sono il rischio
Anthropic ha cambiato la sua policy: i suoi modelli più recenti vengono rilasciati senza il requisito di conservazione di Fable, ed EFS è in arrivo. Ma tutti questi cambiamenti dimostrano che un fornitore può modificare i termini da solo e rimangiarsi ogni accordo già stipulato.
Il fornitore di AI che usi decide i termini con cui vengono trattati i tuoi dati, e può riscriverli quando vuole.
Ecco perché alcune aziende hanno deciso di tenere invece internamente il lavoro sensibile sull’AI. Secondo il rapporto di Fortune, dopo l’annuncio di Fable, l’azienda di software di sicurezza Cinder ha registrato un’impennata di aziende comuni che chiedono come eseguire i modelli aperti in autonomia.
Assumersi un’infrastruttura così complessa, però, resta raro. Menlo Ventures(nuova finestra) ha stimato che i modelli open source rappresentavano l’11% dell’uso di LLM nelle aziende alla fine del 2025, in calo rispetto al 19% dell’anno precedente. E questo prima dell’ondata di critiche di quest’estate.
Le aziende sanno che quando gestiscono un modello in proprio, la sicurezza diventa una loro responsabilità. Non molte imprese possono assumersi questo onere.
Cinque domande da fare al tuo fornitore di AI
Inizia con un inventario: elenca ogni strumento di AI in uso e annota su quale livello e su quale account, aziendale o personale, si trova ciascuna persona. Poi chiedi a ogni fornitore:
- Che cosa viene esattamente conservato nel nostro livello, e per quali modelli e funzionalità? Chiedi se la ZDR copre i nuovi modelli oltre a quelli attuali e se comprende file caricati, memoria, connettori, agenti e feedback, non solo la chiamata di base all’API.
- Che cosa conserva il monitoraggio degli abusi, per quanto tempo, e una segnalazione lo prolunga? Chiedi chi esamina i contenuti segnalati, se una persona può leggerli e se ti verrà comunicato quando una delle tue conversazioni viene segnalata.
- Che cosa sopravvive quando la conversazione viene eliminata? Chiedi dei punteggi dei classificatori, dei metadati, dei log conservati da partner e fornitori esterni e dei backup.
- Chi può accedere ai dati conservati, e quali governi possono richiederli? Chiedi se dipendenti e fornitori esterni possono leggerli. Chiedi se il fornitore o uno dei suoi provider cloud è soggetto al CLOUD Act, indipendentemente da dove sono archiviati i tuoi dati. Chiedi se verrai informato di un mandato o di un obbligo di conservazione legale, e se il fornitore pubblica quante richieste governative riceve, comprese le National Security Letter. L’ordinanza del New York Times ha mantenuto le chat eliminate sui piani Team a pagamento per mesi.
- Puoi modificare questi termini, e con quanto preavviso? Chiedi se il tuo accordo ZDR vincola i modelli futuri. A giugno, la nuova regola di conservazione di Anthropic ha prevalso sugli accordi esistenti sui suoi modelli più recenti dal giorno del loro lancio.
- Che cosa fai per i clienti che hanno scelto il tuo prodotto proprio perché non conservi alcun registro? Gli avversari sono attratti dalla conservazione zero per lo stesso motivo delle imprese. Il rapporto di threat intelligence di settembre di Anthropic descrive una piattaforma che incanalava il traffico attraverso infrastrutture statunitensi per eludere i blocchi regionali e usava un servizio ZDR per instradare richieste di ricerca limitate. Qualsiasi fornitore credibile, incluso uno che non ha nulla da registrare, deve avere una risposta su come vengono individuati gli abusi quando non c’è un archivio da ispezionare. Se non riesci a formularla, è un fatto degno di nota.
Scegli un’AI privata
Abbiamo creato Lumo per le aziende che vogliono lavorare in modo privato e avere buone risposte a queste domande. Lumo non conserva log delle tue conversazioni, e questo vale per impostazione predefinita per ogni utente, non è una funzionalità riservata ai contratti di fascia alta.
Le chat che scegli di salvare sono protette con la crittografia ad accesso zero, quindi solo tu puoi decriptarle sul tuo dispositivo, e Proton non può leggerle, consegnarle o studiarle.
Lumo non si addestra sulle tue conversazioni e funziona con modelli open source nei data center europei di Proton, sotto la legge svizzera e dell’UE anziché i procedimenti legali statunitensi. E poiché Proton si finanzia con gli abbonamenti, non con la creazione di modelli di frontiera, non abbiamo alcun motivo per imparare dai tuoi dati.
