Fai la domanda in un forum e ricevi due risposte sicure di sé: «certo che vendono tutto» e «sarebbe illegale». Sono sbagliate entrambe, e nello spazio fra le due sta l’informazione utile.
«Vendere» copre tre cose diverse
Vendere il contenuto delle tue chat. Cedere i registri delle conversazioni a terzi in cambio di denaro è raro, sarebbe legalmente rischioso nella maggior parte dei mercati e diventerebbe un titolo di giornale il giorno stesso della fuga di notizie. Le aziende lo negano con forza e non ci sono prove pubbliche che un’app di compagnia diffusa lo faccia.
Condividere dati d’uso con gli inserzionisti. È il caso più comune. Il codice pubblicitario e di analisi incorporato in un’app o in un sito, un kit di sviluppo software o «SDK», segnala cosa fai, quando e su quale dispositivo. Nell’UE questo tipo di tracciamento richiede in genere il tuo consenso, e in Italia le linee guida del Garante sui cookie prevedono che non venga installato alcun cookie di profilazione prima che tu abbia scelto. Un’app può quindi dire con verità di non aver mai venduto le tue conversazioni e intanto consegnare a terzi ciò che fai, cioè i tuoi dati comportamentali.
Passare dati a fornitori di servizi. L’azienda che ospita i server, il fornitore del modello che genera le risposte, il gestore dei pagamenti che addebita la tua carta. Questi trasferimenti sono necessari al funzionamento del prodotto e non sono una vendita, ma sono comunque copie dei tuoi dati nei sistemi di qualcun altro.
C’è una quarta via che si dimentica: il cambio di proprietario. Quasi ogni informativa dice che i tuoi dati passano a un acquirente se l’attività viene venduta. L’app di compagnia Soulmate ha cambiato mano poco prima di essere chiusa nel 2023: vedi quando il tuo compagno AI cambia da un giorno all’altro.
Cosa ha rilevato l’unico audit sistematico
A febbraio 2024 la Mozilla Foundation ha esaminato 11 chatbot AI romantici per la sua guida Privacy Not Included, tra cui Replika, Chai ed EVA AI. Insieme avevano circa 100 milioni di download stimati su Google Play. Tutti hanno ricevuto l’etichetta di avvertimento sulla privacy di Mozilla.
Quota delle 11 app esaminate da Mozilla a febbraio 2024 che rientravano in ciascun risultato. Fonte: Mozilla Foundation, Privacy Not Included.
I numeri sui tracker sono stati la parte più impressionante. Mozilla ha contato in media 2.663 tracker nel primo minuto d’uso tra le app, una media spinta molto in alto da un’app, Romantic AI, che ne ha attivati 24.354 in un solo minuto. La seconda, EVA AI, ne ha attivati 955.
Due avvertenze prima di trarre conclusioni. Era un’istantanea dell’inizio del 2024, e le informative cambiano. E diverse app che dominano oggi la categoria non facevano parte del campione. Il valore dell’audit sta meno nei verdetti sulle singole app che in ciò che mostra sulle impostazioni predefinite della categoria.
Leggere un’informativa privacy per trovare la risposta
Non serve leggerla tutta. Cerca al suo interno una manciata di espressioni e leggi il paragrafo intorno a ciascuna.
| Se l’informativa dice | Di solito significa | Dovrebbe preoccuparti? |
|---|---|---|
| «Non vendiamo le tue informazioni personali» | Nessuna vendita in senso stretto. Controlla separatamente «condividere» | Solo se compare anche «condividere» |
| «Partner pubblicitari», «pubblicità mirata» | I tracker costruiscono un profilo pubblicitario dal tuo uso | Sì: rifiuta dove puoi |
| «Le nostre affiliate» | Altre società dello stesso proprietario, a volte molte app | Dipende da chi è il proprietario |
| «Per migliorare i nostri servizi», «addestrare» | Le tue conversazioni potrebbero servire ad addestrare i modelli | Sì: cerca un’opzione per rifiutare |
| «Fusione, acquisizione o cessione di attivi» | Un acquirente riceve i tuoi dati se l’azienda viene venduta | Normale, ma tienilo a mente |
| «Quando riteniamo che la divulgazione sia necessaria» | Comunicazione alle autorità senza ordine di un giudice | Sì, se non c’è nulla di più circoscritto |
Nell’UE un’app deve dirti nell’informativa chi tratta i tuoi dati, per quali finalità e con quale base giuridica (artt. 13 e 14 GDPR). Se le finalità includono pubblicità o profilazione e non trovi né una scelta chiara né un modo per opporti, è un cattivo segnale in sé.
Un controllo di cinque minuti che puoi fare stasera
- Cerca nell’informativa vendi, condivi, pubblicit, addestr e affiliat. Cinque ricerche, cinque paragrafi.
- Guarda le etichette degli store. La sezione «Dati utilizzati per tracciarti» di Apple e la sezione «Sicurezza dei dati» di Google Play sono compilate dallo sviluppatore, quindi sono dichiarazioni e non audit, ma un’app che ammette il tracciamento lì non sarà migliore nella pratica.
- Rifiuta i cookie di profilazione se usi la versione web. In Italia, secondo le linee guida del Garante, il banner deve offrire un pulsante per rifiutare tutto, e non devono essere installati cookie non tecnici prima del tuo consenso.
- Rifiuta la richiesta di tracciamento su iPhone e reimposta l’ID pubblicitario su Android.
- Nota se l’app mostra pubblicità. Se lo fa, la tua attenzione e i tuoi dati fanno parte di come paga le spese: vedi come guadagnano le app di compagnia AI.
Dove la legge aiuta e dove si ferma
In Italia e nell’UE il GDPR ti dà il diritto di sapere cosa è stato raccolto (art. 15), di chiederne la cancellazione (art. 17) e di opporti al trattamento a fini di marketing diretto, compresa la profilazione collegata, che è un diritto assoluto (art. 21). Se un’azienda ti ignora, puoi presentare reclamo al Garante per la protezione dei dati personali; la procedura è spiegata in come chiedere ai tuoi dati a un’app di compagnia AI. Il Garante usa davvero questi poteri: nel 2025 ha multato di 5 milioni di euro la società che gestisce Replika, in parte per un’informativa che non spiegava che uso facesse dei dati degli utenti.
Le nuove leggi statunitensi sui compagni AI, trattate in le leggi sui compagni AI, si concentrano su trasparenza e gestione delle crisi e aggiungono poco sui dati. L’eccezione principale è circoscritta: negli Stati Uniti, la legge dello Utah sui chatbot per la salute mentale vieta di vendere o condividere le informazioni sanitarie degli utenti e di mostrare pubblicità basata su ciò che scrivono.
La risposta onesta
La maggior parte delle app di compagnia non vende le tue conversazioni. Molte lasciano però che società di pubblicità e analisi osservino come le usi, e quasi tutte si riservano il diritto di fare più di ciò che fanno oggi. La differenza tra un’app attenta e una trascurata si vede nell’informativa e nelle impostazioni, e servono cinque minuti per trovarla. Sono cinque minuti spesi bene prima di scrivere qualcosa che non vorresti nel database di qualcun altro: i nostri quattro controlli sulla privacy coprono il resto.