Google contro l'Europa: 'Così state mettendo a rischio miliardi di utenti'

Google torna ad alzare il livello dello scontro con la Commissione Europea sul Digital Markets Act (DMA), il regolamento che impone ai grandi operatori digitali, definiti "gatekeeper", di aprire maggiormente piattaforme e servizi alla concorrenza. Secondo i responsabili della sicurezza e della privacy dell'azienda di Mountain View, le cui posizioni sono state riportate da Wired, alcune delle misure allo studio potrebbero avere conseguenze indesiderate sul fronte della sicurezza informatica, aumentando il rischio di frodi, attacchi hacker e violazioni della privacy degli utenti.

Il confronto arriva in una fase particolarmente delicata. La Commissione Europea è infatti attesa a breve a definire le decisioni finali relative a due procedimenti distinti che riguardano Google Search e l'interoperabilità di Android. Le nuove disposizioni mirano a ridurre il predominio dei grandi operatori tecnologici, favorendo la nascita di concorrenti in grado di accedere a dati e funzionalità finora riservati alle piattaforme dominanti.

Uno dei punti più controversi riguarda proprio Google Search. Le proposte europee prevedono che Google condivida con altri motori di ricerca un insieme di dati molto più esteso rispetto a quanto avvenga oggi, comprendendo le query inserite dagli utenti, dati relativi ai clic effettuati e informazioni sui risultati mostrati, naturalmente attraverso procedure di anonimizzazione pensate per impedire l'identificazione delle persone.

Secondo Google, tuttavia, il problema risiede proprio nell'efficacia di tali tecniche. Heather Adkins, vicepresidente della divisione Security Engineering e tra i membri storici del team di sicurezza dell'azienda, sostiene che i metodi di anonimizzazione proposti presentino debolezze tali da consentire, in determinate circostanze, la ricostruzione dell'identità degli utenti. Se ciò fosse possibile, osserva l'azienda, i dati non potrebbero più essere considerati realmente anonimi.

David Lewis, responsabile della consulenza privacy per Europa, Medio Oriente e Africa, afferma che gli ingegneri di Google avrebbero già dimostrato internamente la possibilità di reidentificare tali informazioni. In passato, inoltre, Reuters aveva riportato come il security red team dell'azienda fosse riuscito a ricondurre alcuni dati anonimizzati agli utenti originali in meno di due ore, anche se i dettagli tecnici di tali test non sono mai stati resi pubblici.

Google ritiene inoltre che l'adozione diffusa dei moderni modelli linguistici possa rendere ancora più semplice la de-anonimizzazione qualora questi dati finissero nelle mani sbagliate. Secondo Adkins, strumenti basati sull'intelligenza artificiale potrebbero infatti diventare particolarmente efficaci nell'incrociare grandi quantità di informazioni provenienti da fonti differenti.

L'azienda evidenzia anche un altro aspetto: una volta condivisi con soggetti terzi, i dati uscirebbero dal proprio perimetro di controllo. Sebbene la Commissione Europea preveda obblighi contrattuali, audit indipendenti e requisiti di sicurezza per le aziende che riceveranno tali informazioni, Google ritiene che molte realtà di dimensioni ridotte possano rappresentare bersagli più vulnerabili per la criminalità informatica rispetto alle grandi piattaforme.

Accanto alla questione Search si colloca quella relativa ad Android. Anche in questo caso Bruxelles intende aumentare l'interoperabilità dell'ecosistema, consentendo a servizi di intelligenza artificiale sviluppati da terze parti di accedere a funzionalità oggi limitate, come l'utilizzo di parole di attivazione ("wake word"), l'interazione con applicazioni installate e, potenzialmente, con alcuni dati presenti sul dispositivo.

Eugene Liderman, responsabile della sicurezza di Android, sostiene che un'apertura troppo rapida di queste funzionalità potrebbe entrare in conflitto con alcune delle migliori pratiche adottate negli ultimi anni per proteggere gli utenti. In particolare, Google teme che un accesso più ampio a permessi sensibili, come microfono, fotocamera e contenuti visualizzati sullo schermo, possa offrire nuove opportunità ai truffatori per compromettere i dispositivi o ingannare gli utenti attraverso applicazioni malevole.

Su questo specifico tema anche Apple avrebbe espresso, seppur limitatamente, posizioni in parte convergenti con quelle di Google, sostenendo la necessità di introdurre meccanismi di trasparenza, certificazione e controlli aggiuntivi prima di ampliare l'accesso alle funzionalità del sistema operativo.

Le critiche di Google, tuttavia, non trovano consenso unanime. Numerosi ricercatori, giuristi e aziende concorrenti ritengono infatti che il quadro delineato dalla Commissione Europea sia sufficientemente robusto da limitare i rischi a un livello accettabile.

Kamyl Bazbaz, responsabile delle politiche pubbliche di DuckDuckGo, sostiene che la normativa non richieda l'eliminazione di qualsiasi rischio teorico di reidentificazione, bensì la sua riduzione a un livello trascurabile. Secondo questa interpretazione, le preoccupazioni sollevate da Google potrebbero essere affrontate senza modificare radicalmente l'impianto delle proposte europee.