Private Safety Processing: come OpenAI prova a conciliare sicurezza e privacy aziendale

OpenAI sta testando un modo per individuare abusi nei modelli più avanzati senza rinunciare all’impegno Zero Data Retention (ZDR) per le implementazioni aziendali idonee. Annunciato il 19 agosto 2026, Private Safety Processing dovrebbe riconoscere schemi di rischio distribuiti tra interazioni collegate, invece di valutare ogni richiesta isolatamente, lasciando i contenuti sottostanti inaccessibili al personale di OpenAI. 31

La proposta affronta uno dei nodi più delicati dell’IA per le imprese: i team di sicurezza devono poter riconoscere un abuso che si sviluppa nel tempo, mentre aziende attive in settori regolamentati o particolarmente sensibili sul piano della sicurezza spesso non vogliono che il fornitore conservi prompt e risposte.

Che cosa cambia rispetto a Zero Data Retention

I sistemi compatibili con ZDR valutano tradizionalmente ogni interazione singolarmente. Questo approccio può non rilevare un attacco distribuito: nessun prompt, preso da solo, appare necessariamente illecito, ma una sequenza di richieste correlate può contribuire progressivamente a un obiettivo dannoso.

OpenAI sostiene che l’anteprima estenda i controlli automatici tra interazioni collegate, così da riconoscere schemi più ampi. Tra i casi citati rientrano attività associate a tentativi di hacking condotti da persone o da agenti di IA non allineati. 31

In pratica, una serie di richieste apparentemente innocue potrebbe delineare un rischio se analizzata nel suo insieme: per esempio, un flusso di lavoro potenzialmente legato allo sviluppo di malware o a un’intrusione informatica. Le fonti descrivono però una capacità di analisi dei pattern, non la prova che il sistema riesca a individuare in modo affidabile ogni campagna di questo tipo.

Che cosa vede OpenAI

Il confine centrale, sul piano della privacy, è l’analisi automatizzata dell’attività del cliente senza esporre a dipendenti di OpenAI i prompt e le risposte alla base del rilevamento. Quando viene individuato un possibile problema, l’azienda afferma che il sistema invia un segnale di sicurezza strettamente definito, non il contenuto grezzo della conversazione. 310

Secondo le informazioni disponibili, i dati del cliente possono restare su infrastrutture controllate dal cliente stesso oppure essere protetti con chiavi di crittografia detenute dal cliente. 157 L’architettura punta così a conservare i vantaggi di riservatezza normalmente associati a ZDR, fornendo al tempo stesso a OpenAI informazioni sufficienti per intervenire su un potenziale problema di sicurezza.

Questo non significa che il rilevamento sia privo di conseguenze operative. Un segnale potrebbe portare a un’azione di sicurezza sull’account o a una richiesta di verifica rivolta all’azienda. Il cliente può inoltre fornire volontariamente ulteriore contesto per contestare una segnalazione o collaborare a un’indagine; l’anteprima non viene descritta come un meccanismo che garantisce a OpenAI l’accesso automatico alle conversazioni conservate. 23

Le domande ancora aperte

Private Safety Processing è in fase di sperimentazione con alcuni clienti iniziali e non viene presentato come un servizio già consolidato e disponibile su larga scala. 35 L’annuncio, da solo, non permette quindi di stabilire:

• quanto siano precisi i segnali di rischio tra conversazioni diverse;
• con quale frequenza le attività legittime di un’azienda possano generare falsi positivi;
• quali azioni sull’account corrispondano alle diverse categorie di rischio;
• come il cliente possa verificare o contestare una segnalazione se OpenAI non può esaminare il contenuto sottostante;
• quale documentazione tecnica sarà fornita prima di un’eventuale estensione del servizio.

La promessa è dunque più circoscritta rispetto all’idea che la sicurezza rispettosa della privacy possa risolvere definitivamente il problema degli abusi. OpenAI sta verificando se un segnale limitato possa offrire un rilevamento utile senza la più ampia gestione dei dati e senza il modello di revisione umana resi possibili dalla conservazione del traffico dei clienti.

Il confronto con Anthropic

Anthropic ha scelto un approccio più orientato alla conservazione dei dati per i modelli interessati dalla sua politica. Prompt inviati e risposte generate dai modelli coperti, inclusi quelli della classe Mythos e futuri modelli con capacità simili, devono essere conservati per 30 giorni per finalità di sicurezza.

Anthropic afferma che questi dati non vengono utilizzati per addestrare nuovi modelli Claude né per scopi estranei alla sicurezza. Le protezioni pubblicate includono la limitazione degli accessi, la registrazione degli accessi umani e la cancellazione dei dati dopo 30 giorni nella quasi totalità dei casi.

Il modello di conservazione offre ai team di sicurezza una finestra temporale per ricostruire attacchi complessi e valutare possibili falsi positivi, ma crea anche obblighi più ampi in materia di governance e gestione dei dati per i clienti aziendali.

Secondo quanto riportato su una modifica pianificata, Anthropic dovrebbe mantenere il requisito dei 30 giorni, offrendo però ai clienti enterprise la possibilità di conservare i dati sulla propria infrastruttura cloud. Questo potrebbe ridurre alcune preoccupazioni sulla custodia dei dati, ma non eliminerebbe l’obbligo di conservarli.

Due scommesse diverse sulla sicurezza aziendale

Le due aziende stanno facendo scelte differenti:

• OpenAI: analisi automatizzata tra più interazioni e invio soltanto di un segnale di sicurezza limitato, per ridurre al minimo l’accesso del fornitore ai contenuti del cliente.
• Anthropic: conservazione per 30 giorni del traffico dei modelli coperti, con accesso controllato, per mantenere più informazioni disponibili durante le indagini.

L’approccio di OpenAI può risultare più interessante per le aziende le cui procedure di approvvigionamento vietano o scoraggiano fortemente la conservazione dei contenuti presso il fornitore. Il suo punto debole è che un segnale sintetico potrebbe offrire meno elementi per ricostruire un incidente contestato o ambiguo.

La strategia di Anthropic può garantire una visibilità forense maggiore, ma introduce un onere di conservazione e conformità anche quando il cliente preferirebbe un modello rigorosamente privo di conservazione.

Nessuna delle due soluzioni elimina il problema alla radice. Un abuso articolato in più passaggi può essere difficile da distinguere da una ricerca legittima, mentre le garanzie di privacy possono ridurre le prove a disposizione degli investigatori umani. Per l’anteprima di OpenAI, il test decisivo sarà capire se i segnali automatici sono abbastanza precisi da sostenere le misure di contrasto senza richiedere l’accesso ai contenuti che riassumono.

Perché il momento è importante

La differenza sul piano della privacy emerge mentre OpenAI e Anthropic competono con maggiore intensità per i clienti enterprise e per quelli che utilizzano modelli di frontiera. Secondo quanto riportato, il tasso di ricavi annualizzato di Anthropic ha superato i 65 miliardi di dollari alla fine di luglio. Si tratta però di una proiezione basata sul ritmo recente delle vendite, non di ricavi annuali già contabilizzati.

Gli investitori avrebbero inoltre discusso una valutazione di Anthropic pari o superiore a 2.000 miliardi di dollari in vista di una possibile quotazione. Anche questa è un’aspettativa riportata da fonti esterne, non una valutazione garantita né un’IPO completata.

Questi numeri forniscono il contesto della competizione, ma non dimostrano che Private Safety Processing sia stato creato esclusivamente come risposta ad Anthropic. La conclusione più prudente è che OpenAI stia affrontando una preoccupazione concreta nei processi di acquisto aziendali: come usare modelli molto capaci con controlli più forti contro gli abusi, limitando al contempo l’accesso del fornitore a dati commerciali riservati.

Le fonti disponibili non stabiliscono una tempistica o condizioni definitive per un’eventuale IPO di OpenAI. Qualsiasi affermazione su una quotazione imminente o già definita richiederebbe una conferma separata e aggiornata.

In sintesi

Private Safety Processing è il tentativo di OpenAI di estendere ZDR dal filtraggio della singola interazione al monitoraggio della sicurezza tra conversazioni collegate, senza conservare prompt e risposte dei clienti come contenuti accessibili al personale dell’azienda. Il sistema dovrebbe restituire un segnale di sicurezza circoscritto, mentre l’eventuale collaborazione ulteriore del cliente viene descritta come volontaria.

Per questo può rappresentare un’alternativa orientata alla privacy rispetto al modello di conservazione per 30 giorni di Anthropic. Per ora, tuttavia, resta un’anteprima. Le aziende dovrebbero considerare le affermazioni di OpenAI come una proposta ancora in fase di progettazione e test, in attesa di dati indipendenti su precisione, falsi positivi, possibilità di audit e modalità concrete di applicazione delle misure di sicurezza.