Polémica sulla nuova politica sulla privacy di Claude: Condividerà il tuo documento d’identità e dati personali con la polizia?

Il prossimo 8 luglio entrerà in vigore la nuova politica sulla privacy di Claude e si sta già generando polémica per i cambiamenti che Anthropic sta introducendo sulla condivisione dei dati personali con terzi. In particolare, siamo focalizzati sui dati relativi all’identità e alla verifica dell’utente, come il documento di identità o i dati biometrici, e la loro consegna ad autorità governative o forze di sicurezza.

Già in questi giorni circolano notizie che suggeriscono che Anthropic potrebbe consegnare i dati personali degli utenti di Claude alla Polizia senza richiedere un mandato da parte della giustizia. Ricordiamo che la startup ha aggiunto quest’anno misure di verifica tramite documento d’identità o passaporto per concedere l’accesso a funzionalità avanzate del suo AI.

Quando la compagnia capeggiata da Dario Amodei introdusse questa ulteriore protezione, affermò che serviva a bloccare gli account di Claude in caso di attività sospette. Per esempio, se contenessero minorenni (sotto i 18 anni), utenti residenti in paesi bannati come Cina e Corea del Nord, o se fossero state rilevate violazioni ai termini di utilizzo o ripetuti attacchi alle loro politiche.

All’epoca, Anthropic spiegò che la verifica dell’identità sarebbe avvenuta attraverso un terzo (una società chiamata Persona Identities), e che quei dati non avrebbero mai servito per allenare i loro modelli di intelligenza artificiale né per attività promozionali. Si fece anche chiaro che la condivisione con le autorità sarebbe avvenuta solo in risposta a richieste legalmente obbligatorie, ad esempio una domanda formale da parte della giustizia.

Ma nella nuova politica sulla privacy di Claude, pubblicata a inizio mese e in vigore da luglio, si esprime più ampiezza rispetto a quando e perché i dati personali potranno essere condivisi con le autorità. Non si parla solo del rispetto delle leggi o per questioni regolamentari e di sicurezza. Ora si dice esplicitamente che Anthropic può condividere i dati persino senza un processo legale formale, basandosi su una “buona fede”.

La nuova politica: Cosa ne è stato dei tuoi dati?

Confrontando la versione attuale della politica con la nuova in vigore, emergono differenze chiare nel linguaggio riguardo alla gestione dei dati personali.

La politica esistente, in vigore fino al 7 luglio, affermava: “In conformità con i requisiti legali o regolamentari, la sicurezza, i diritti di terzi e per far valere i nostri diritti o i nostri termini. Potremmo divulgare dati personali alle autorità governative regolatrici quando richiesto o richiesto dalla legge, anche per scopi legali, fiscali o contabili, in risposta alle loro richieste specifiche o per supportare indagini e investigazioni. Potremmo inoltre condividere dati personali con terzi in relazione a reclami, dispute o litigi, quando la legge lo permette o lo esige, o se determiniamo che la divulgazione è necessaria per proteggere la salute e la sicurezza tua o di un’altra persona, per proteggerci da frodi o rischi finanziari, per far valere i nostri diritti legali o quelli di terzi, per far rispettare impegni contrattuali presi da te, o come permesso o richiesto dalla legge applicabile”.

La nuova politica, che entra in vigore dal 8 luglio, invece dice: “In conformità con i requisiti legali o regolamentari, la sicurezza, i diritti di altri e per far valere i nostri diritti o i nostri termini. Possiamo condividere informazioni personali con autorità governative, forza dell’ordine o terzi, quando, data l’informazione disponibile per noi, abbiamo una ragionevole convinzione in buona fede che la condivisione sia necessaria per: (i) rispettare la legge, i regolamenti o i procedimenti legali, incluso in scopi legali, fiscali o contabili, o in risposta a richieste governative esigibili; (ii) prevenire danni gravi a persone o proprietà; (iii) rilevare, prevenire o risolvere frodi o attività illegali; o (iv) far rispettare i nostri termini o proteggere i diritti, la proprietà, la sicurezza o l’integrità di Anthropic, i suoi utenti o altre persone.”

Che cosa cambia veramente?

Quello che non viene abolito è il limite legale di dover agire in risposta a una richiesta governativa o giudiziaria. Ciononostante, si apre un margine più ampio: Anthropic, in base al suo giudizio interno, potrà condividere dati personali senza un mandato formale, purché creda davvero di averne motivo.

Che cosa significa concretamente “buona fede”? Se l’azienda ritiene che un utente possa rappresentare un rischio serio o immediato — non necessariamente legale — essa si riserva il diritto di agire in sua autonomia.

La "buona fede" non è un concetto nuovo

Anthropic non sta inventando questa politica da zero. La nozione di “buona fede” non è una creazione sua, né tanto meno è inedita nel settore dell’intelligenza artificiale. In realtà, questa idea è ben radicata nella legislazione degli Stati Uniti.

In particolare, è contemplata nella Ley de Comunicaciones Almacenadas, che fa parte del più ampio Electrónica Communications Privacy Act (ECPA). Secondo il codice federale degli Stati Uniti, 18 U.S. Code § 2702, i fornitori di servizi possono condividere informazioni volontariamente “in buona fede” se ritiengono che questa condivisione possa prevenire gravi danni fisici o danni alla proprietà.

Il testo proposto da Claude ricalca espressamente queste normative. Non è una strategia isolata, ma uno standard adottato da molte grandi tecnologie. Ad esempio, Google include una politica simile nella sua privacy policy.

Qual è il problema?

Il dibattito non riguarda tanto l’idea stessa di una condivisione in buona fede, quanto la ampiezza del termine “danno grave”. Infatti, l’azienda stessa decide cosa classificare come “grave” senza interventi esterni o di controllo legale. Questo apre a potenziali abusi, a meno che siano chiarite ulteriormente le linee guida e garantita una maggiore trasparenza da parte dell’azienda, che in questa fase non sembra disponibile a concretizzare.

Rischi e vantaggi

• Rischio per la privacy: L’aumento della discrezionalità dell’azienda riguardo a cosa costituisce “grave danno” può significare meno protezione per i dati dell’utente.
• Protezione legale: Le autorità governative potrebbero richied