Colpo di scena in Meta: sospeso il programma che tracciava dipendenti per addestrare l'IA

Meta ha sospeso il suo 'Model Capability Initiative' (MCI) il 22-23 giugno 2026, dopo che un errore di configurazione della sicurezza ha esposto una mole enorme di dati sensibili dei dipendenti all'intera azienda. L'incidente è stato classificato internamente come SEV 2, il secondo livello di gravità più alto (dopo SEV 0 e SEV 1) . La pausa è arrivata dopo mesi di proteste interne contro il programma, che tracciava l'attività al computer dei dipendenti per addestrare agenti IA. Tuttavia, è stata la fuga di dati, non le proteste, a costringere Meta a fermarsi.

Cosa ha causato la sospensione

Un dipendente ha segnalato che i database backend dell'MCI - che coprivano oltre 45.000 tabelle di database - erano stati lasciati accessibili a tutti i lavoratori Meta senza i dovuti controlli di accesso . I dati esposti includevano:

• Conversazioni private e trascrizioni di chat dei dipendenti
• Prompt e trascrizioni derivanti dalle interazioni con gli strumenti IA interni
• Informazioni sulla gestione delle performance
• Secondo alcuni rapporti, potrebbero essere state catturate anche informazioni fiscali e mediche non criptate

La fuga è stata scoperta prima che soggetti esterni potessero accedervi, e Meta ha dichiarato che non si è verificato alcun accesso improprio . Tuttavia, la gravità della classificazione (SEV 2) ha richiesto una sospensione immediata .

Portata del programma: cosa raccoglieva effettivamente l'MCI

• Data di lancio: aprile 2026, come parte del più ampio progetto Agent Transformation Accelerator (ATA)
• Cosa raccoglieva: movimenti del mouse, posizioni dei clic, tasti premuti e screenshot periodici da applicazioni e siti web designati per il lavoro
• Chi era interessato: i dipendenti statunitensi con ruoli operativi; la partecipazione era di fatto obbligatoria
• Scopo: addestrare gli agenti IA di Meta su come si svolge effettivamente il lavoro d'ufficio, catturando i flussi di lavoro reali per migliorare l'automazione basata sull'IA
• Piani di espansione: la documentazione interna mostrava che Meta intendeva successivamente estendere la raccolta ai dipendenti non statunitensi, sollevando preoccupazioni relative al GDPR europeo

Precedente opposizione interna

Le proteste sono state immediate e costanti fin dal lancio del programma ad aprile:

• Petizione: oltre 1.500 dipendenti hanno firmato una petizione contro il monitoraggio obbligatorio
• Messaggio del CTO: il CTO Andrew Bosworth avrebbe inviato ai dipendenti un messaggio inequivocabile, affermando che il programma era obbligatorio
• Prime concessioni (inizio giugno): Meta ha ridimensionato l'MCI: ai dipendenti è stata data la possibilità di sospendere la raccolta per un massimo di 30 minuti alla volta, e alcune categorie di dati sono state escluse
• Preoccupazioni legali e sulla privacy: i dipendenti hanno sollevato lamentele per potenziali violazioni del GDPR europeo, poiché le comunicazioni che coinvolgevano colleghi con sede nell'UE potevano essere intercettate

Rischi per la privacy e profilo normativo

Il programma raccoglieva dati da app e siti web designati per il lavoro, ma Reuters ha riferito che Meta ha riconosciuto che il sistema poteva catturare anche comunicazioni che coinvolgevano dipendenti non statunitensi . I regolatori europei per la privacy hanno iniziato a esaminare se l'MCI violasse i requisiti del GDPR in materia di consenso, minimizzazione dei dati e monitoraggio dei dipendenti .

La stessa fuga di dati - database non criptati contenenti conversazioni private e registri delle performance - è stato l'evento culminante che ha forzato la sospensione . Ha trasformato mesi di lamentele interne sulla privacy in una violazione dei dati concreta che Meta non poteva ignorare.

In sintesi

L'MCI è stato sospeso non solo a causa delle proteste dei dipendenti, ma perché un errore di configurazione della sicurezza ha esposto all'intera azienda un'enorme quantità di dati estremamente sensibili raccolti dal programma. L'incidente ha trasformato mesi di lamentele interne sulla privacy in una violazione concreta, costringendo Meta a fermare l'iniziativa mentre indaga.