Private Safety Processing: come OpenAI cerca gli abusi senza leggere le conversazioni

OpenAI sta presentando in anteprima Private Safety Processing, un’architettura di sicurezza pensata per i clienti API idonei che utilizzano Zero Data Retention (ZDR). L’obiettivo è riconoscere schemi di abuso che emergono soltanto osservando più interazioni collegate, senza dare al personale OpenAI accesso predefinito ai contenuti del cliente.

La distinzione è importante perché i modelli più avanzati vengono sempre più spesso impiegati in flussi di lavoro lunghi e distribuiti. Un obiettivo dannoso può essere suddiviso tra account, sessioni o richieste diverse, facendo sì che nessuna singola interazione mostri chiaramente il quadro completo. Private Safety Processing vuole aggiungere questo contesto più ampio mantenendo le protezioni associate alla ZDR.

Come funziona Private Safety Processing

I sistemi ZDR esistenti valutano già singolarmente richieste e risposte. La nuova anteprima amplia questo approccio con sistemi automatici in grado di analizzare le relazioni tra più interazioni. L’intento è individuare segnali di possibile abuso, come tentativi coordinati di aggirare i sistemi di sicurezza o la suddivisione di attività legate allo sviluppo di malware in richieste separate.

Il punto centrale è la differenza tra analizzare e conservare. Private Safety Processing è progettato per esaminare attività correlate a fini di sicurezza, ma OpenAI afferma che il sistema non espone ai propri dipendenti i prompt e le risposte sottostanti.

Per le implementazioni ZDR, OpenAI descrive due possibili configurazioni:

• i contenuti del cliente possono rimanere su infrastrutture controllate dal cliente stesso;
• in una configurazione con archiviazione ospitata da OpenAI, i contenuti possono essere cifrati con chiavi controllate dal cliente e non dal personale OpenAI.

In entrambi i casi, i sistemi automatici possono rilevare un possibile abuso e restituire un segnale di sicurezza limitato, senza esporre prompt o risposte.

Che cosa riceve OpenAI quando viene rilevata una minaccia?

Secondo la descrizione dell’anteprima, OpenAI riceve un avviso circoscritto sul tipo di attività coinvolta. Il diagramma del sistema indica come risultato una categoria di allerta e un livello di gravità, non la conversazione in sé.

Questo segnale può contribuire a decisioni di sicurezza o di applicazione delle regole, ma non equivale a inviare a OpenAI l’intera cronologia della sessione. Il funzionamento pratico può essere riassunto così:

1. I sistemi automatici esaminano le interazioni collegate alla ricerca di uno schema potenzialmente dannoso.
2. Se lo schema supera una determinata soglia di rischio, il sistema genera una classificazione di sicurezza limitata.
3. OpenAI riceve la classificazione, non prompt, output o trascrizione della conversazione.
4. Il cliente mantiene la possibilità di esaminare l’attività sottostante nel proprio ambiente.

Si tratta ancora di un’anteprima: per le aziende saranno quindi determinanti dettagli come implementazione, soglie di rilevamento e gestione degli errori. OpenAI ha dichiarato di voler avviare una distribuzione più ampia e pubblicare un white paper tecnico a settembre 2026.

Perché il personale OpenAI non dovrebbe poter leggere una conversazione segnalata

Un avviso di sicurezza non dà automaticamente ai dipendenti OpenAI accesso alla conversazione. Nelle configurazioni ZDR descritte, OpenAI afferma di non conservare i contenuti del cliente e, nel modello con archiviazione sull’infrastruttura OpenAI, di non possedere le chiavi di decrittazione controllate dal cliente.

Il cliente può scegliere di condividere il materiale rilevante se intende contestare un provvedimento, dimostrare che l’uso era legittimo o contribuire all’indagine su un abuso accertato. Senza questa condivisione volontaria, l’avviso resta limitato alle informazioni di sicurezza generate automaticamente e inviate a OpenAI.

Ne risulta una separazione tra prove sotto il controllo del cliente e segnali di rischio ricevuti dal fornitore. In teoria, questo riduce la quantità di materiale sensibile che il provider deve gestire, offrendo allo stesso tempo un modo per individuare schemi che un filtro basato su richieste isolate potrebbe non riconoscere.

Chi sta testando l’anteprima?

OpenAI ha indicato Glean, Databricks, Abridge e Microsoft tra i clienti che stanno contribuendo a sviluppare o testare l’anteprima. Altri resoconti citano inoltre Microsoft e Databricks come primi clienti coinvolti nei test.

La funzione non è presentata come un’impostazione generale per i consumatori. È rivolta alle implementazioni API idonee nelle quali le organizzazioni vogliono usare modelli avanzati mantenendo un controllo rigoroso su prompt e output.

OpenAI e Anthropic: due compromessi diversi sulla sicurezza

L’approccio di OpenAI punta a rilevare gli abusi riducendo al minimo l’accesso del provider ai contenuti dei clienti. La policy di Anthropic per i modelli coperti compie una scelta operativa diversa: i prompt inviati e gli output generati da questi modelli vengono conservati per 30 giorni per attività di sicurezza, inclusa una revisione controllata.

La documentazione di Anthropic afferma che il periodo di 30 giorni si applica ai modelli coperti, compresi quelli della classe Mythos, e che tali modelli non sono disponibili in regime ZDR. Specifica inoltre che i dati conservati non vengono utilizzati per l’addestramento senza il consenso esplicito del cliente.

La differenza pratica è quindi significativa:

• Private Safety Processing di OpenAI: analisi automatica di interazioni collegate; secondo la descrizione dell’anteprima, OpenAI riceve un segnale di sicurezza limitato, non i contenuti sottostanti.
• Policy Anthropic per i modelli coperti: prompt e output vengono conservati per 30 giorni per supportare le attività di sicurezza e la revisione controllata.

Nessuno dei due modelli elimina la necessità di una governance interna. Prima di usare queste soluzioni per carichi di lavoro sensibili, le aziende devono verificare requisiti di idoneità, architettura di distribuzione, controlli di accesso, condizioni di conservazione, requisiti territoriali, procedure di ricorso e impegni contrattuali.

Perché la differenza interessa i settori regolamentati

Banche, strutture sanitarie e studi legali gestiscono spesso informazioni soggette a obblighi di riservatezza contrattuale, norme sulla privacy, segreto professionale o requisiti specifici di settore. La possibilità che un provider conservi e possa sottoporre a revisione i prompt può quindi influire sulle valutazioni di minimizzazione dei dati, sulle autorizzazioni interne, sulla progettazione degli audit e sull’analisi del rischio legato ai fornitori.

Questo non significa che una conservazione di 30 giorni sia automaticamente vietata, né che la ZDR renda da sola un’implementazione conforme. Significa che i due modelli pongono domande diverse ai team legali e di sicurezza. I termini di Anthropic per i modelli coperti richiedono di considerare la conservazione e la revisione da parte del provider; OpenAI sta invece presentando ZDR e Private Safety Processing come strumenti per limitare l’accesso del provider ai contenuti.

Per un’azienda, le domande più concrete sono:

• Il modello e l’implementazione sono idonei alla ZDR?
• Dove vengono elaborati i contenuti e, se vengono archiviati, chi controlla le chiavi di cifratura?
• Quali campi precisi compaiono in un avviso di sicurezza?
• Il cliente può sottoporre a audit o contestare una segnalazione senza divulgare l’intera conversazione?
• Che cosa accade quando il provider sospetta un abuso grave?
• Le condizioni di conservazione e revisione del provider sono compatibili con gli obblighi contrattuali e normativi dell’organizzazione?

Il contesto competitivo

La privacy sta diventando una caratteristica del prodotto enterprise, non soltanto una questione di policy sulla sicurezza. OpenAI sta posizionando il messaggio “sicurezza senza accesso del provider ai contenuti” come una possibile via per i carichi di lavoro sensibili; Anthropic privilegia invece la possibilità di investigare direttamente gli abusi dei modelli più avanzati.

Questo posizionamento arriva mentre entrambe le aziende puntano a rafforzare crescita e finanziamenti. Secondo le informazioni riportate, Anthropic avrebbe raggiunto un tasso di ricavi annualizzato di 65 miliardi di dollari a fine luglio, contro i 40 miliardi attribuiti a OpenAI.

Altri resoconti indicano per Anthropic ricavi preliminari superiori a 11,5 miliardi di dollari nel secondo trimestre 2026, una cifra descritta come superiore per la prima volta ai ricavi trimestrali di OpenAI. Si tratta tuttavia di dati preliminari relativi a società private, non di risultati pubblici sottoposti a revisione.

È stata inoltre riportata un’ipotesi di valutazione fino a 2.000 miliardi di dollari per una possibile IPO di Anthropic: si tratta di aspettative degli investitori, non di una valutazione definitiva o di un fatto di mercato consolidato.

Non risultano invece sufficienti conferme affidabili, tra le fonti disponibili, per affermare che OpenAI abbia depositato in forma riservata un modulo S-1 a giugno 2026. Le notizie individuate sul deposito riservato riguardano Anthropic. Anche l’idea di una crescita più lenta di OpenAI nel secondo trimestre va quindi considerata un confronto riportato da fonti non ufficiali, in attesa di documenti societari o dichiarazioni dell’azienda.

La posta in gioco per i prodotti AI

Private Safety Processing porta la privacy dentro il prodotto di sicurezza AI. La domanda non è più soltanto se un modello sappia bloccare una richiesta pericolosa, ma se il provider possa riconoscere un abuso coordinato distribuito su flussi di lavoro più lunghi senza dover accedere a ogni conversazione del cliente.

La risposta proposta da OpenAI è mantenere i contenuti sotto il controllo del cliente, oppure proteggerli con chiavi detenute dal cliente, usare sistemi automatici per individuare schemi tra interazioni e inviare al provider una classificazione ristretta del rischio.

La policy di Anthropic propone un’altra strada: conservare per un periodo limitato prompt e output dei modelli coperti, così da consentire indagini di sicurezza e revisioni controllate, dichiarando al contempo che i dati non vengono usati per l’addestramento senza autorizzazione.

La scelta dipenderà dalla tolleranza al rischio del cliente, dalla sensibilità dei carichi di lavoro e dal livello di visibilità investigativa che ritiene necessario concedere al provider di un modello avanzato. Il white paper tecnico e la distribuzione più ampia promessi da OpenAI saranno importanti per capire se queste garanzie sulla privacy reggeranno anche nelle implementazioni reali.