Preferisci ascoltare? Premi play per la narrazione IA

Le pagine di aiuto di WhatsApp contenevano testo nascosto che istruiva il suo chatbot di assistenza basato su IA a non indirizzare gli utenti alle autorità per la protezione dei dati e, in almeno una pagina, a non citare il GDPR. Il servizio di messaggistica di Meta ha rimosso il testo il 18 ottobre 2026, un giorno prima che i ricercatori che lo avevano trovato pubblicassero le loro scoperte.

Nessuna autorità ha detto che le istruzioni violassero la legge, e molte domande restano aperte. Ma l’episodio tocca la parte del GDPR che rende i diritti delle persone utilizzabili nella pratica, e ogni azienda con un bot di assistenza può imparare da esso. Questo articolo ha scopo puramente informativo e non costituisce consulenza legale.

102
Blocchi di istruzioni nascosti trovati
80 / 545
Pagine di aiuto che li contenevano
18 ott.
Rimossi dalle pagine online
10 giorni
Online dopo la scoperta dei ricercatori

Che cosa era nascosto

Le istruzioni si trovavano nell’HTML delle pagine di aiuto di WhatsApp e non venivano mai mostrate a schermo. Redact, un’azienda di software per la cancellazione dei dati, le ha trovate esaminando 545 pagine di aiuto. Ha contato 102 blocchi nascosti distribuiti su 80 di quelle pagine.

La formulazione dipendeva dalla pagina:

Cronologia

Secondo la copertura che abbiamo esaminato, la nota è stata aggiunta alle pagine tra il 12 luglio e il 4 settembre 2026 (le copie archiviate della pagina di eliminazione differiscono in quelle date) ed è rimasta online per dieci giorni dopo la scoperta di Redact.

La risposta di WhatsApp

WhatsApp ha detto che le istruzioni erano pensate per il suo chatbot e non direttamente per gli utenti, e ha attribuito la loro esposizione a un bug, ora risolto. Ha aggiunto di volere che il chatbot eviti di dare consulenza legale. Dei giornalisti avevano contattato Meta prima della pubblicazione, e WhatsApp ha rimosso il testo prima che WIRED o Redact pubblicassero.

Restano aperte diverse domande. Non si sa se il chatbot abbia davvero seguito le istruzioni nascoste. WhatsApp definisce il testo un bug ma, nella copertura esaminata, non ha detto come sia arrivato su 80 pagine né chi lo abbia scritto. Finora non risultano azioni o dichiarazioni di alcuna autorità.

Perché conta ai sensi del GDPR

Questa sezione è una nostra analisi, non un accertamento di un’autorità.

L’articolo 12, paragrafo 2, impone ai titolari di agevolare l’esercizio dei diritti degli interessati, compresa la cancellazione. Una pagina di eliminazione il cui chatbot ha l’ordine di non citare né la cancellazione manuale né i regolatori si concilia male con questo obbligo. L’articolo 13, paragrafo 2, lettera d), impone di informare le persone che possono proporre reclamo a un’autorità di controllo. Il testo nascosto allontanava il bot di assistenza proprio da quell’informazione.

La contraddizione è visibile nei documenti stessi di WhatsApp: la sua informativa sulla privacy europea dice agli utenti che possono presentare reclamo alla Data Protection Commission irlandese o a un’altra autorità di controllo. Chi ha interrogato il chatbot potrebbe non aver sentito lo stesso.

Il caso mostra anche un nuovo tipo di rischio. Il problema non era ciò che il modello diceva, ma ciò che un prompt nascosto gli ordinava di non dire. Un’azienda può essere pienamente trasparente nei propri testi legali e tuttavia allontanare gli utenti dai loro diritti negli strumenti di assistenza.

Che cosa dovrebbero fare le aziende che usano bot di assistenza con IA

Qualsiasi azienda che metta un chatbot davanti ai clienti può commettere lo stesso errore senza cattive intenzioni. Pochi controlli lo individuerebbero:

  1. Verifica ciò che il bot legge. Controlla i prompt di sistema, il testo nascosto delle pagine e le note della knowledge base, non solo ciò che vedono i clienti.
  2. Tieni disponibili le risposte sui diritti. Il bot deve sempre saper spiegare come esercitare i diritti di accesso, cancellazione e opposizione e come presentare reclamo a un’autorità di controllo.
  3. Separa la consulenza legale dai fatti. Non lasciare che le barriere contro la consulenza legale blocchino informazioni fattuali sui diritti. Indicare un regolatore è informazione, non consulenza legale.
  4. Testa con domande sui diritti. Chiedi «come cancello i miei dati?» e «a quale autorità posso presentare reclamo?» prima di ogni rilascio.
  5. Versiona i contenuti. Conserva la cronologia di tutto ciò che il bot acquisisce, così da poter dimostrare quando è stata fatta una modifica e da chi.

Se il tuo bot tratta dati personali, la DPIA è il luogo naturale in cui documentare questi controlli. Vedi la nostra guida alla DPIA per i chatbot IA.

In sintesi

Che il chatbot abbia seguito o no le istruzioni nascoste, la lezione resta: la trasparenza deve valere in ogni canale in cui le persone fanno domande, compresi quelli basati su IA. Prenota una consulenza gratuita con GDPRGard → e ti aiuteremo a verificare che cosa può dire il tuo bot di assistenza.

Fonti

L’analisi del GDPR, compresi gli articoli 12, paragrafo 2, e 13, paragrafo 2, lettera d), è la nostra lettura del regolamento e non una citazione delle fonti.

Condividi questo articolo

Leggi anche:

⚠️ Questo articolo ha finalità puramente informative e non costituisce consulenza legale. Per situazioni di conformità complesse, rivolgetevi a un professionista qualificato della protezione dei dati. I requisiti del GDPR e del regolamento UE sull'IA sono soggetti a orientamenti normativi in continua evoluzione — verificate i vostri obblighi attuali con il vostro consulente legale.