Il caso dell’indagine canadese su X dimostra come la raccolta massiva di informazioni per addestrare chatbot come Grok sollevi questioni giuridiche ed etiche che richiedono risposte normative immediate e incisive.
Indice degli argomenti
L’autorità canadese avvia indagine su X per utilizzo dati personali
Partiamo dalla notizia: l’indagine che l’Autorità Canadese per la Privacy – Office of the Privacy Commission of Canada OPC – ha avviato nei confronti di X (ex Twitter) in merito all’utilizzo dei dati personali dei cittadini canadesi e/o comunque raccolti dalla piattaforma sul suolo canadese.
L’OPC è deputato a sorvegliare il rispetto da parte di tutti i soggetti agenti in Canada del Personal Information Protection and Electronic Documents Act, che regola come le organizzazioni private gestiscono i dati personali.
Grok e xAI nel mirino: il training dell’intelligenza artificiale
L’autorità canadese intende approfondire in particolare il possibile utilizzo dei dati personali raccolti in Canada per il training dei sistemi di intelligenza artificiale da parte di X, con un chiaro riferimento a xAi, piattaforma di intelligenza artificiale generativa legata a X.
Come si ricorderà l’acquisto di Twitter da parte di Elon Musk è avvenuta nel 2022; successivamente la ri-nominazione di Twitter in X. Dopo qualche tempo la piattaforma di social media ha reso disponibile ai propri utenti il chatbot Grok di xAI.
Un’ assistente di intelligenza artificiale che aiuta gli utenti a completare attività quali rispondere a domande, risolvere problemi e fare brainstorming, come spiega X sul proprio sito web. Di recente, a fine 2025, xAI ha presentato Grok-3, l’ultima versione del suo chatbot, che è stata immediatamente resa disponibile per i clienti con abbonamento attivo.
Grok, ed in particolare Grok3, in quanto modello di intelligenza artificiale generativa e multipurpose, richiede grandi quantità di dati per essere addestrato e sviluppato. E, ovviamente, un training continuo che permetta non solo di non perdere terreno rispetto agli altri modelli di intelligenza artificiale generativa, ma di evolvere costantemente anche per essere appealing nei confronti di utenti sempre piu’ esigenti.
La normativa canadese sulla privacy e il vuoto regolatorio sull’AI
Il Canda, come altri Paesi, con la sua legislazione sulla privacy ha stabilito delle regole su come le organizzazioni del settore privato possono raccogliere, utilizzare e divulgare le informazioni personali nel corso della loro attività, con particolare attenzione riguardo il consenso, la divulgazione, la conservazione e le misure di sicurezza. Inoltre, il Canada ha da tempo manifestato il desiderio di regolare i sistemi di intelligenza artificiale, ma pare avere avuto diverse difficoltà nello sviluppare una normativa specifica e coerente.
L’originario AIDA, Artificial Intelligence Data Act ha avuto vita travagliata e controversa, e malgrado il suo impianto sia stato soggetto a revisione, di fatto è “spirato” nelle commissioni di lavoro parlamentare.
Sono in vigore dei codici di condotta per AI generativa, introdotti da governo canadese per promuovere un utilizzo responsabile dell’AI ,ma, allo stato, il Canada manca di una vera e propria norma, di una legislazione ad hoc.
Il ruolo dell’OPC nella vigilanza sui sistemi di intelligenza artificiale
In questo quadro appare evidente l’importanza che altre autorità, quale per esempio l’OPC, nel vigilare comportamenti che vengono posti in essere da sistemi di intelligenza artificiale, specificamente generativa.
La tutela dei dati personali già in altre occasione è apparsa cruciale in tema di AI generativa, e pertanto la verifica da parte dell’OPC della rispondenza dei comportamenti posti in essere dalla piattaforma X e da xAi alla normativa canadese di tutela dei dati potrebbe essere la via per una piu’ ampia valutazione di xAi e del suo training.
La normativa canadese è peraltro considerata una normativa molto precisa e puntuale, tanto che anche nelle reciproche autorizzazione al trasferimento dati è valutata dal sistema europeo come affidabile.
Le violazioni passate: conversazioni private di Grok accessibili online
Peraltro, non è la prima volta che il sistema di xAi e in particolare il suo chatbot Grok incappano in problemi di privacy. Nel 2024, a seguito di una inchiesta di Forbes, divenne noto che oltre 370.000 conversazioni assistite da Grok, erano recuperabili attraverso i principali motori di ricerca.
Di fatto, quindi, le conversazioni erano accessibili per chiunque e pubbliche. Erano conversazioni in cui venivano divulgati dati sensibili, elementi privati e fin intimi. La diffusione di queste conversazioni rappresentava non soltanto una grave violazione di dati personali, ma una vera e propria violazione della vita intima delle persone coinvolte.
Privacy by design: una necessità per i chatbot di nuova generazione
La natura di Grok come intelligenza artificiale capace di interagire con gli esseri umani, di dare risposte flessibili e non giudicanti, le rende facile avviare conversazioni con persone che a un chatbot paiono propensi a confidare segreti non confessabili ad altri.
Questa vicenda ha messo in evidenza l’importanza che i chatbot come Grok siano impostati con un sistema di tutela dei dati personali by design, cioè dalla creazione e che questo obbligo sia normativamente imposto e non lasciato all’accuratezza di colui che realizza il sistema.
Questioni etiche e giuridiche: dati sensibili per il training AI
Ora, dopo l’incidente in cui è incorso Grok, e di cui si è detto, l’indagine canadese rimette il chatbot sotto i riflettori, anche se sotto un differente punto di vista, quello dell’utilizzo delle informazioni derivanti dall’interlocuzioni con gli utenti, a fini di estrapolazione di elementi grazie ai quali è possibile allenare l’intelligenza artificiale.
Vi è da chiedersi, tenuto conto del tenore delle conversazioni che la divulgazione ci dimostra, nel caso in cui effettivamente X avesse utilizzato dati personali di suoi utenti, se alcuni di questi dati potrebbero derivare da conversazioni con Grok.
Ed in caso affermativo se dati così privati possano essere utilizzate per un training di un sistema. Si passerebbe da un aspetto “solo” violativo di norme, ad un aspetto di natura fortemente etica, con implicazioni giuridiche a piu’ livelli.
Gli sviluppi futuri e l’urgenza di nuove norme sulla privacy
In ogni caso, al momento X, non pare avere rilasciato dichiarazioni in merito all’iniziativa dell’Autorità canadese. Nel prosieguo vedremo quali risultanze deriveranno dall’indagine. Certo è, che questa indagine, indipendente da quelli che ne saranno gli esiti, evidenzia, ulteriormente, la necessità di procedere rapidamente con l’introduzione di nuove norme che, da un lato, obblighino i sistemi di AI a introdurre sistemi di tutela della privacy by design; dall’altro regolamentino la tutela dei dati derivanti da conversazioni umano/AI e infine introducano sanzioni dissuasorie per la violazione delle norme di tutela.
