Quali dati vengono trasmessi alle società pubblicitarie?
In diversi casi i dati trasmessi raccontano il contenuto della conversazione: l’URL o l’identificativo della chat, i titoli generati automaticamente dal sistema che spesso riassumono in chiaro l’argomento trattato, come “Sintomi del Parkinson in stadio iniziale” o “Stipendio 85.000 dollari a New York: mutuo da 280.000-350.000 dollari” e in qualche caso perfino gli screenshot. Grok, ad esempio, quando si apre una conversazione condivisa, manda a TikTok uno screenshot della chat e a Meta e TikTok l’ultimo prompt dell’utente.
A rendere tutto più preoccupante è il contesto in cui queste informazioni viaggiano.
Tracciamento invisibile e aggiramento dei consensi
Nella stragrande maggioranza dei casi osservati i dati conversazionali arrivano accompagnati da identificatori persistenti. Secondo i ricercatori, l’80,8% dei servizi terzi resta attivo anche dopo il rifiuto di tutti i cookie non essenziali, e Google Ads continua a ricevere dati in sei servizi su nove.
Claude inoltra eventi utente a undici piattaforme pubblicitarie tramite le sue API, Grok instrada dati verso Meta e TikTok con i cookie d’identità nello stesso pacchetto che gli autori descrivono come “invisibili al browser e non bloccabili con gli ad blocker”.
Da un punto di vista della normativa privacy europea, gli autori non si esprimono sul piano legale, ma i riferimenti sono abbastanza evidenti.
Il nodo normativo: violazione del GDPR e della Direttiva ePrivacy?
La direttiva ePrivacy (art. 5, comma 3) richiede un consenso preventivo e informato per cookie, pixel e raccolta di identificatori usati per analisi o profilazione, consenso che spesso manca o viene aggirato.
Il GDPR richiede una base giuridica e trasparenza sia per la cessione a terzi sia per l’accesso successivo dei terzi ai dati.
Gli autori citano inoltre la giurisprudenza della Corte di Giustizia, secondo cui abilitare l’accesso di terzi è di per sé una decisione di trattamento.
Le reazioni sono state finora limitate.
Il ruolo di AEPD e EDPB
L’autorità spagnola per la protezione dei dati (AEPD) ha chiesto che lo studio preliminare IMDEA/LeaakyLM fosse esaminato al vertice europeo del Comitato EDPB, considerate le potenziali implicazioni transfrontaliere e il meccanismo dello sportello unico GDPR.
Non c’è però evidenza dell’esito di un approfondimento istruttorio di merito.
L’EDPB ha preso atto del dossier ma non ha reso pubblica alcuna misura investigativa, interpretativa o sanzionatoria specifica successiva.
Intanto OpenAI ha appena lanciato la pubblicità dentro ChatGPT in partnership con LiveRamp.
