Uno studio condotto dai ricercatori di IMDEA Networks ha analizzato come nove tra i chatbot più utilizzati al mondo, ChatGPT, Claude, Grok, Gemini, Perplexity, Copilot, DeepSeek, Le Chat e Meta AI, gestiscono e condividono i dati degli utenti. I risultati sollevano diverse preoccupazioni per la tutela della privacy.

La ricerca, condotta in Spagna nel maggio 2026 attraverso browser e applicazioni Android, ha rilevato che tutti e nove i servizi esaminati comunicavano con almeno una società attiva nel settore pubblicitario o del tracciamento online.

In alcuni casi, le informazioni trasmesse non riguardavano soltanto dati tecnici, ma anche elementi riconducibili al contenuto delle conversazioni. Tra questi figuravano indirizzi web, identificativi delle chat e titoli generati automaticamente dai sistemi, che spesso riassumevano gli argomenti affrontati dagli utenti, come problemi di salute o situazioni economiche personali. In determinate circostanze sono stati rilevati persino screenshot delle conversazioni.

Un esempio riguarda Grok: secondo i ricercatori, quando viene aperta una conversazione condivisa, il sistema trasmette a TikTok uno screenshot della chat e comunica a Meta e TikTok anche l’ultimo messaggio inserito dall’utente.

A rendere più delicata la situazione è il fatto che queste informazioni, nella maggior parte dei casi osservati, vengono trasmesse insieme a identificatori persistenti, che possono consentire di riconoscere o seguire un utente nel tempo.

Lo studio evidenzia inoltre che l’80,8% dei servizi terzi individuati continua a essere attivo anche quando l’utente rifiuta tutti i cookie non essenziali. Google Ads, ad esempio, continua a ricevere dati in sei dei nove servizi analizzati.

I ricercatori hanno rilevato anche che Claude trasmette eventi relativi agli utenti a undici piattaforme pubblicitarie attraverso le proprie API, mentre Grok invia informazioni a Meta e TikTok insieme a cookie identificativi, attraverso modalità che, secondo gli autori, non risultano visibili al browser né bloccabili con i comuni sistemi di blocco pubblicitario.

Questi risultati pongono interrogativi importanti anche rispetto alla normativa europea sulla protezione dei dati personali.

Sebbene lo studio non esprima valutazioni sulla legittimità dei trattamenti, occorre ricordare che la direttiva ePrivacy, all’articolo 5, paragrafo 3, prevede, salvo specifiche eccezioni, il consenso preventivo e informato dell’utente per l’accesso alle informazioni presenti nei suoi dispositivi o per la loro memorizzazione, come avviene con molti cookie e strumenti di tracciamento.

Anche il GDPR stabilisce precisi obblighi in materia di trasparenza e base giuridica quando vengono trattati dati personali, compresi i casi in cui questi siano comunicati o resi accessibili a soggetti terzi.

La questione, quindi, non riguarda soltanto quali informazioni vengano raccolte dai chatbot, ma anche chi possa riceverle, per quali finalità e con quali garanzie per gli utenti.

Sul piano istituzionale, l’Autorità spagnola per la protezione dei dati (AEPD) ha chiesto che lo studio preliminare IMDEA/LeakyLM fosse esaminato a livello europeo dal Comitato europeo per la protezione dei dati (EDPB), considerate le possibili implicazioni transfrontaliere.

L’EDPB ha preso atto della questione, ma, secondo le informazioni riportate, non risultano ancora pubblicati provvedimenti specifici di natura investigativa, interpretativa o sanzionatoria collegati allo studio.

Il tema assume particolare rilevanza anche alla luce dell’introduzione della pubblicità all’interno di ChatGPT da parte di OpenAI e della collaborazione annunciata con LiveRamp.

La questione centrale resta dunque la trasparenza sull’utilizzo dei dati degli utenti. Le conversazioni con i chatbot possono contenere informazioni personali, professionali, economiche e persino sanitarie. Per questo è fondamentale comprendere se e in quale misura tali informazioni possano essere accessibili a soggetti terzi.

L’intelligenza artificiale è ormai uno strumento di uso quotidiano, anche nelle aziende, ma la sua diffusione rende sempre più importante conoscere come vengono gestiti i dati inseriti dagli utenti e quali garanzie siano effettivamente previste per proteggerli.