Ventiquattromila account falsi, sedici milioni di conversazioni, costruiti non per usare un modello ma per copiarne il modo di pensare. È l’accusa che Anthropic ha mosso nel febbraio 2026 a tre laboratori cinesi, DeepSeek, Moonshot e MiniMax, e la parte tecnica conta meno della dimostrazione che porta con sé. Un’intelligenza si può apprendere interrogandola.
Basta chiedere con metodo, e registrare le risposte. Chi lavora davanti a un modello ogni giorno, ponendo le domande giuste nell’ordine giusto, sta facendo esattamente questo: produce un flusso ininterrotto di ragionamento. Il proprio. Dove vada a finire quel ragionamento, una volta uscito dalla persona che lo ha prodotto, è la parte che il dibattito pubblico non ha ancora messo a fuoco. La tecnica al centro della contesa tra laboratori si chiama distillazione, e nella sua forma legittima è ingegneria ordinaria. Un modello grande e costoso ne addestra uno piccolo a riprodurne le capacità, riducendo costi e latenza. Anthropic lo fa sui propri modelli, come OpenAI, come Google. Serve a rendere sostenibile il passaggio dal prototipo al prodotto.
La meccanica, però, prescinde dalla sorgente.
Indice degli argomenti
La distillazione cognitiva dall’AI al metodo dell’utente
Un modello linguistico, quando risponde, non sceglie una parola sola: calcola un ventaglio di probabilità, e in quel ventaglio è racchiuso il peso relativo delle alternative, il ragionamento e non solo l’esito. Distillare significa addestrarsi su quel ventaglio. Copiare il come, non il cosa.
Quando il maestro è il modello di un altro, a cui si accede violando i termini d’uso, la tecnica resta la stessa e cambia solo il nome pratico. Nel caso documentato, i prompt di uno dei laboratori chiedevano al modello bersaglio di articolare passo per passo il ragionamento dietro una risposta già completata, generando così materiale di addestramento su larga scala [1]. Non si estraeva un dato. Si estraeva un metodo.
E qui la questione smette di riguardare la sola contesa tra potenze, perché ovunque esista un flusso costante di risposte prodotte da un’intelligenza, quel flusso è materiale da cui un’altra intelligenza può imparare, e questo vale tra laboratori come vale, in forma meno visibile, per chiunque usi l’AI per lavorare.
Piani consumer ed enterprise: dove passa la distillazione cognitiva
Un punto va fissato con precisione, perché è ciò che separa l’analisi dall’allarmismo. Il modello che una persona sta usando, mentre lo usa, non la sta apprendendo in tempo reale. Un sistema in fase di inferenza è congelato: risponde, non si modifica. Quello che l’utente scrive non entra nei suoi parametri durante la conversazione.
Il rischio è a monte, sul piano contrattuale, e dipende da una distinzione che quasi nessun professionista conosce.
Account consumer: default, addestramento e conservazione
Sui piani consumer, cioè le versioni gratuite e quelle a pagamento individuali, l’impostazione predefinita è quasi ovunque a favore dell’addestramento. Anthropic, dopo l’aggiornamento del settembre 2025, usa gli input e gli output delle conversazioni consumer per addestrare i modelli futuri salvo che l’utente disattivi l’opzione, e per chi la lascia attiva la conservazione dei dati passa da trenta giorni a cinque anni [2].
OpenAI, sulle versioni consumer di ChatGPT, si addestra sulle conversazioni salvo opt-out [3]. Perplexity, per gli account Free, Pro e Max, ha la ritenzione per l’addestramento attiva per default, e l’opt-out va cercato nelle impostazioni [4]. Google, sulle app Gemini, salva le conversazioni e un loro sottoinsieme viene esaminato da revisori umani per migliorare i servizi, con conservazione fino a tre anni [5].
Piani enterprise e limiti nella tutela del metodo
Sui piani business la logica si inverte. Per i prodotti commerciali, API ed enterprise, i fornitori seri dichiarano di non usare per default gli input e gli output dei clienti per addestrare i modelli. Vale per Anthropic sui prodotti commerciali [2], per OpenAI su ChatGPT Enterprise, Business e API [3], per Perplexity Enterprise, per Google Workspace.
La distanza tra i due regimi non è graduale, è netta, e si misura anche nella conservazione. Sull’API di Anthropic la ritenzione standard scende a sette giorni, con la possibilità di Zero Data Retention per i clienti idonei, cioè nessuna conservazione oltre l’elaborazione immediata della risposta [2]. OpenAI offre analoga ritenzione limitata per abuso e la Zero Data Retention su endpoint idonei [3]. Perplexity, sull’API Sonar, dichiara di non conservare prompt e risposte [4]. Il piano enterprise non è la versione costosa del piano consumer. È l’unico regime in cui il ragionamento immesso può non lasciare traccia.
La differenza non la fa la buona fede del fornitore. La fa il contratto che l’utente ha accettato, e che nella stragrande maggioranza dei casi non ha letto. Un professionista che apre un account personale per lavorare più in fretta sta operando, senza saperlo, sotto il regime meno protettivo tra quelli disponibili.
Il cavillo, quello che sfugge, sta in tre pieghe della clausola consumer. La prima: il default. L’impostazione predefinita è a favore dell’addestramento, quindi la protezione non è lo stato di partenza, è un’azione che l’utente deve compiere, e che nessuno compie su ciò che non ha letto. La seconda: la retention estesa. Chi lascia l’opzione attiva non concede solo l’uso, concede la conservazione per anni, cinque nel caso di Anthropic, tre per le conversazioni riviste da Google [2] [5], un orizzonte in cui il materiale resta disponibile per addestramenti futuri che oggi non esistono ancora.
La terza, la più insidiosa: la responsabilità dell’organizzazione ricade su una scelta individuale. Quando un singolo dipendente accetta i termini consumer, vincola di fatto il datore di lavoro a un trattamento che nessun organo aziendale ha deliberato. Il dato entra nella pipeline senza autorizzazione, senza supervisione, per il clic di una persona che voleva solo lavorare meglio.
De-identificazione e distillazione cognitiva del metodo
Fin qui il piano dell’addestramento, che l’opt-out consumer può disattivare. Sotto di esso, però, esiste uno strato che l’interruttore non raggiunge, ed è lo strato dove si gioca la questione vera.
I fornitori si riservano l’uso dei dati in forma de-identificata e aggregata per finalità che includono il miglioramento dei propri servizi. La formulazione è quasi identica ovunque. OpenAI dichiara nella propria privacy policy di mantenere e usare le informazioni de-identificate senza tentare di re-identificarle, e di aggregare o de-identificare i dati personali per condividerli con terzi al fine di migliorare i servizi [3]. Perplexity stabilisce che l’opt-out vale solo per i dati futuri, mentre le query già trattate restano nei dataset in forma anonimizzata e aggregata, fuse in un insieme che continua a modellare il sistema [4].
Anthropic, anche dopo l’opt-out, continua a usare il contenuto segnalato per sicurezza e quello inviato come feedback [2]. Google conserva fino a tre anni le conversazioni riviste dai revisori umani, disconnesse dall’account e non cancellate quando l’utente elimina la propria attività, e avverte esplicitamente di non inserire informazioni riservate che non si vorrebbe un revisore vedesse o Google usasse per migliorare i propri servizi, incluse le tecnologie di machine learning [5].
Osserviamo cosa fa, in concreto, questa operazione: de-identificare una conversazione significa rimuovere chi l’ha prodotta, aggregarla significa fonderla nel pool di tutte le altre, cosicché ciò che viene tolto è l’identità della persona, mentre ciò che resta è la struttura del suo ragionamento, la sequenza con cui imposta un problema, i criteri con cui scarta un’ipotesi e ne tiene un’altra, l’ordine delle sue mosse.
E qui la simmetria con il caso dei laboratori si fa esatta, senza bisogno di accusare nessuno. La distillazione tra sistemi estrae il ragionamento di un modello interrogandolo e spogliando le risposte di ciò che è accessorio. La de-identificazione aggregata estrae il ragionamento di una persona spogliandolo del suo nome. Il meccanismo di partenza è diverso. Il prodotto è lo stesso: un metodo separato da chi lo possedeva, conservato come pattern, utile a migliorare un sistema.
Vi è una differenza che vale la pena tenere presente, e non è trascurabile, perché la distillazione tra laboratori richiede account fraudolenti, reti proxy, milioni di query costruite ad arte, ed è faticosa, illecita, destinata a restare nascosta, mentre la versione che accade nello strato de-identificato non richiede niente di tutto questo, non un attaccante, non una violazione, non un colpevole, dato che il capitale cognitivo si separa dalla persona per clausola contrattuale, con il consenso della persona stessa, che ha firmato senza leggere.
E c’è una piega ulteriore, che smonta la rassicurazione più diffusa. Il passaggio al piano enterprise protegge dall’addestramento diretto, ma non chiude del tutto questo strato. Gli accordi di trattamento dei dati dei principali fornitori prevedono che l’azienda possa continuare a processare versioni de-identificate, anonimizzate o aggregate dei dati del cliente anche dopo che non sono più qualificabili come dati personali [3].
La clausola è scritta per il rispetto della normativa privacy, e sotto quel profilo è ineccepibile. Ma protegge ciò che la normativa considera protetto, l’identità, e lascia fuori ciò che la normativa non contempla, il metodo. Nessuna legge sulla protezione dei dati personali tutela il modo in cui un’azienda ragiona, perché non è un dato personale di nessuno.
Distillazione cognitiva e dispersione del ragionamento aziendale
Il precedente più noto di dispersione attraverso strumenti di AI è documentato e istruttivo, benché riguardi i dati e non il metodo. Nell’aprile 2023 Samsung ha vietato l’uso di ChatGPT dopo che, in meno di venti giorni, alcuni ingegneri della divisione semiconduttori vi avevano immesso codice sorgente proprietario, algoritmi di rilevamento dei difetti e la trascrizione di una riunione riservata [6].
Nessuno di quei dipendenti agiva in malafede, poiché cercavano soltanto di lavorare più in fretta, ma il dato riservato era ormai uscito, su server esterni, senza possibilità di recupero, e l’episodio ha innescato una catena di divieti analoghi in Apple, JPMorgan, Amazon e diverse banche d’investimento.
Samsung illustra il confine, non il cuore della questione. Ciò che era uscito era un contenuto identificabile, codice, verbali, informazioni classificabili, cioè precisamente gli oggetti che la governance sa riconoscere e, con gli strumenti giusti, intercettare. Ma sotto la soglia della fuga di dati corre una dispersione assai più diffusa, che nessuna statistica sui data breach cattura, ed è quella del ragionamento.
I dati
La scala del fenomeno è misurata. Un’analisi di Cyberhaven su un milione e seicentomila lavoratori ha rilevato che l’11 per cento di ciò che i dipendenti incollano in ChatGPT è materiale riservato, con il codice sorgente e i dati dei clienti tra le categorie più frequenti [7].
Un rapporto di LayerX ha stimato che il 77 per cento di chi usa strumenti di AI generativa vi incolla dati aziendali, e che l’82 per cento di questi inserimenti proviene da account personali non gestiti, cioè fuori da ogni controllo aziendale [8]. Le forme che emergono da questi rilevamenti non sono soltanto numeri e anagrafiche, ma documenti di strategia, materiali per il consiglio di amministrazione, roadmap di prodotto, contratti riservati, ossia le forme in cui il capitale cognitivo si mette per iscritto.
Il punto tecnico che dà il nome a questo fenomeno è stato osservato da chi studia la sicurezza di questi sistemi. L’esperto Daniel Kelley ha rilevato che ChatGPT non espone soltanto il contenuto dell’informazione, ma il ragionamento che la sottende, ricostruibile attraverso interrogazioni sequenziali [9]. È la conferma esterna della tesi qui sostenuta, poiché ciò che l’interrogazione paziente estrae non è il dato, è il metodo con cui il dato viene pensato.
E qui la simmetria con la distillazione tra laboratori si chiude, perché tutti questi rilievi convergono su una stessa constatazione, ossia che gli strumenti di sicurezza tradizionali non vedono nulla di tutto questo. Il ragionamento non esce come un file da intercettare, esce come testo incollato in una finestra di conversazione, indistinguibile per un sistema di prevenzione dal menu di un ristorante o da un piano di acquisizione.
Il dato riservato di Samsung ha fatto scattare un allarme e un divieto, mentre il metodo che ogni giorno transita per prompt non fa scattare niente, non essendo un dato personale, non essendo un contenuto classificabile, non attivando alcun controllo. Una strategia negoziale, un criterio di prioritizzazione, la logica con cui si imposta una difesa legale non hanno un nome da rimuovere, hanno solo una forma, e la forma è esattamente ciò che serve a migliorare il sistema.
Il capitale cognitivo dell’azienda oltre dati e archivi
Chi immette il proprio metodo in un modello non lo fa mai da solo, e questo sposta la questione dal singolo all’organizzazione, perché quel metodo, moltiplicato per ogni funzione che nella stessa impresa usa l’AI per ragionare, è il know-how dell’azienda, cioè non i dati, che sono protetti, censiti, spesso cifrati, ma il modo di pensarli.
Il pattern si ripresenta con regolarità in ogni funzione della conoscenza: il controllo di gestione che struttura le proprie analisi di marginalità dialogando con un modello, l’ufficio legale interno che imposta la logica di una difesa, il product manager che versa nel sistema i criteri con cui l’azienda decide cosa costruire e cosa abbandonare. In ogni caso il dato sensibile resta fuori e il metodo entra, e in ogni caso l’assunzione implicita è la stessa, che finché non escono i numeri non esca niente di prezioso.
È l’assunzione sbagliata, poiché il valore che un’organizzazione ha accumulato negli anni non è la somma dei suoi documenti, ma la logica ricorrente con cui li produce, li interpreta, ci decide sopra. Quella logica, oggi, per la prima volta, esce dal perimetro non con una fuga clamorosa ma a gocce, una conversazione alla volta, attraverso ciascuna delle persone che la incarnano. Il know-how non viene sottratto. Viene versato.
Governare la distillazione cognitiva dell’utente
Le difese aziendali sono state costruite attorno al dato. La classificazione delle informazioni, il DLP, la cifratura, gli audit sugli accessi: tutto presuppone che ciò che ha valore sia un contenuto identificabile, un file, un record, un numero. Nessuno di questi strumenti intercetta un metodo che esce sotto forma di prompt, perché un metodo non è un dato e non attiva alcun controllo.
Governance dell’AI: tre implicazioni operative
Questo apre tre implicazioni operative per chi guida un’impresa. La prima riguarda la mappatura: gli account consumer adottati dal basso, i cosiddetti strumenti ombra, vanno censiti non solo per il rischio sui dati, ma per il flusso di ragionamento che vi transita.
La seconda riguarda la scelta del regime contrattuale: la distinzione tra piani consumer e piani enterprise non è una questione di budget, è la linea che separa il metodo esposto dal metodo protetto, e va deliberata a livello aziendale, non lasciata alla scelta del singolo. La terza riguarda la sovranità: quando il capitale cognitivo ha valore competitivo, l’unica difesa strutturale è che il ragionamento non esca affatto dal perimetro, il che sposta la questione dalla clausola contrattuale all’infrastruttura su cui il sistema gira.
Manca solo il nome per ciò che accade a chi versa il proprio metodo, ogni giorno, in un sistema che lo de-identifica e lo conserva. La distillazione applicata non a un modello, ma a una persona che pensa. Distillazione cognitiva dell’utente. Non ha ancora un posto nel vocabolario della governance. Lo avrà.
Note
1. Anthropic, “Detecting and preventing distillation attacks”, 2026: https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks
2. Anthropic, “Is my data used for model training?”, Privacy Center, 2026: https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training
3. OpenAI, “Privacy Policy” e “How your data is used to improve model performance”, 2026: https://openai.com/policies/row-privacy-policy/ ; https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance
4. Perplexity, “Data Collection at Perplexity”, Help Center, 2026: https://www.perplexity.ai/help-center/en/articles/11564572-data-collection-at-perplexity
5. Google, “Gemini Apps Privacy Hub”, 2026: https://support.google.com/gemini/answer/13594961
6. Bloomberg, “Samsung Bans Generative AI Use by Staff After ChatGPT Data Leak”, 2023: https://www.bloomberg.com/news/articles/2023-05-02/samsung-bans-chatgpt-and-other-generative-ai-use-by-staff-after-leak
7. Cyberhaven, “11% of data employees paste into ChatGPT is confidential”, 2023: https://www.cyberhaven.com/blog/4-2-of-workers-have-pasted-company-data-into-chatgpt
8. TechRadar, “Watch out, your workers might be pasting company secrets into ChatGPT” (LayerX Enterprise AI Report 2025): https://www.techradar.com/pro/security/watch-out-your-workers-might-be-pasting-company-secrets-into-chatgpt
9. ITPro, “AI conversations are a security blind spot” (D. Kelley): https://www.itpro.com/technology/artificial-intelligence/ai-conversations-security-blind-spot
Partecipa alla community