Meta frena sul tracciamento dei dipendenti, ma intanto c'è l'incognita GDPR...

Meta ha introdotto i primi controlli sul software che registra movimenti del mouse, clic e digitazione dei suoi dipendenti statunitensi, ma le concessioni lasciano intatto il nodo più delicato. In un memo recapitato martedì, l'azienda ha annunciato che la raccolta dati potrà essere messa in pausa per un massimo di trenta minuti alla volta e che i lavoratori potranno chiedere di esserne esentati. Il dietrofront, firmato da Stephane Kasriel, vicepresidente della divisione Superintelligence Labs, arriva dopo settimane di proteste interne e dopo che documenti visionati da Reuters hanno rivelato una portata del sistema ben più ampia di quella dichiarata.

Kasriel ha spiegato che il team ha introdotto alcune ottimizzazioni per contenere l'impatto sul consumo di batteria, dopo aver recepito anche le segnalazioni di un consumo di dati tale da gravare anche sulle connessioni domestiche dei dipendenti. L'azienda dice di restare fiduciosa nelle protezioni adottate al lancio, ma di aver ascoltato le preoccupazioni su dati personali, durata della batteria e controllo sui momenti di cattura. Per gran parte del personale, però, la partecipazione resta obbligatoria, e la pausa da trenta minuti vale solo negli Stati Uniti.

Lo strumento, chiamato Model Capability Initiative (MCI), è attivo da aprile sulle postazioni statunitensi e raccoglie esempi reali di interazione uomo-computer da usare nell'addestramento di agenti di intelligenza artificiale, su oltre 200 tra app e siti. Rientra nel più ampio Agent Transformation Accelerator gestito da Superintelligence Labs, il programma con cui Meta punta a modelli capaci di svolgere compiti di lavoro in autonomia. Un'analisi interna dei file di log, condotta con l'aiuto di Claude di Anthropic, ha mostrato che il sistema vede anche le modifiche al codice, i cicli di sospensione e riattivazione del computer, gli URL visitati e il contenuto copiato negli appunti, in parte conservato senza cifratura.

Il malcontento interno non è una novità: ne abbiamo già parlato quando negli uffici statunitensi erano comparsi volantini e una petizione contro quella che i dipendenti descrivono come una forma di sorveglianza al servizio dell'IA, con il timore di addestrare i propri futuri sostituti. La rivelazione più recente riguarda però l'Europa. Fin dall'inizio Meta aveva assicurato a personale, opinione pubblica e autorità di vigilanza che MCI girasse solo sulle macchine statunitensi, senza sorvegliare i lavoratori europei; la stessa garanzia era stata data alla Commissione irlandese per la protezione dei dati. I documenti raccontano una storia diversa: MCI cattura il contenuto di qualunque email o messaggio scambiato da un dipendente statunitense, ovunque si trovi l'altra parte. Ogni chat tra un lavoratore in California e un collega a Dublino, Parigi o Monaco finisce così nel flusso di addestramento, e lo stesso vale per le email dirette ai clienti europei.

Il nodo del GDPR e la limitazione delle finalità

Il punto giuridico ruota attorno al principio di limitazione delle finalità: i dati personali raccolti per uno scopo, qui la comunicazione di lavoro dentro un rapporto di impiego, non possono essere riutilizzati per un fine estraneo come l'addestramento di un modello. I legali dell'organizzazione austriaca NOYB sostengono che far confluire la chat di un dipendente in un modello sia incompatibile con la finalità per cui quel messaggio era stato scritto, e che non serva un monitoraggio attivo dei lavoratori europei: a configurare la violazione basterebbe la sola incorporazione dei loro dati nel set di addestramento.

Meta presenta la cattura europea come una conseguenza incidentale del far girare lo strumento su macchine statunitensi che comunicano con l'estero, e l'inquadramento conta, perché il GDPR prevede eccezioni per alcuni trattamenti incidentali. NOYB ribatte che il volume e la regolarità della raccolta eccedono qualsiasi cosa descrivibile come tale. A complicare il quadro, secondo Reuters i dati MCI verrebbero dissociati dalle informazioni che identificano il singolo dipendente, e quindi non sarebbero più recuperabili né cancellabili su richiesta individuale, un diritto che in Europa è invece garantito.

Il portavoce di Meta, Dave Arnold, ha dichiarato che l'azienda ha avvisato i dipendenti non statunitensi della presenza dello strumento sui computer dei colleghi americani con cui scambiano messaggi, e che i potenziali rischi per la privacy sono stati valutati e mitigati. La Commissione irlandese non ha ancora aperto un'indagine formale e Meta non ha commentato separatamente le rilevazioni di Reuters.

Le nuove regole rispondono alle lamentele più immediate, dalla batteria al controllo sui tempi di cattura, ma non sfiorano la domanda più importante: se l'autorità irlandese tratterà la raccolta europea come incidentale o sistematica. È su quella distinzione che si gioca uno dei primi casi concreti di applicazione del principio di limitazione delle finalità ai flussi di addestramento dell'IA che attraversano l'Atlantico.