La Commissione europea intende obbligare Google a condividere i propri dati di ricerca alla concorrenza, e la mossa sta facendo molto più rumore delle solite schermaglie tra Bruxelles e le big tech americane. Il motivo è che, questa volta, a contestare il piano non sono soltanto i legali dell’azienda ma anche uno dei suoi ricercatori più citati nel campo della privacy, che parla apertamente di rischi concreti di re-identificazione degli utenti.
Cosa chiede Bruxelles a Google
Il procedimento rientra nel Digital Markets Act, il regolamento europeo sui grandi gatekeeper digitali. Il 27 gennaio 2026 la Commissione ha aperto una procedura formale di specificazione ai sensi dell’articolo 6(11), la norma che obbliga i motori di ricerca dominanti a concedere ai concorrenti l’accesso ai dati anonimizzati su ranking, query, clic e visualizzazioni a condizioni eque, ragionevoli e non discriminatorie.
L’obiettivo dichiarato è far sì che motori rivali e chatbot con funzioni di ricerca, da OpenAI a Anthropic, possano disporre della stessa materia prima informativa che oggi alimenta Google Search, invece di partire svantaggiati. Nelle conclusioni preliminari di metà aprile la Commissione ha messo nero su bianco quattro punti: quali dati vanno condivisi, con quale metodo di anonimizzazione, a quali condizioni di accesso e quali fornitori di intelligenza artificiale possono riceverli. La vicepresidente esecutiva Teresa Ribera ha riassunto la linea spiegando che i dati sono un input chiave per la ricerca online e che l’accesso non deve essere limitato in modi che danneggino la concorrenza.
Il termine per la decisione vincolante è il 27 luglio 2026. In caso di mancata conformità Google rischia sanzioni fino al dieci per cento del fatturato annuo globale, una prospettiva tutt’altro che teorica per un’azienda che dal 2017 ha già accumulato oltre 11 miliardi di euro di multe antitrust in Europa.
L’allarme dello scienziato di Google
A trasformare il classico braccio di ferro normativo in un caso di sicurezza è stato Sergei Vassilvitskii, distinguished scientist in Google dal 2012 e tra i nomi più autorevoli nello studio della privacy differenziale, il quadro matematico che misura il rischio di re-identificazione in un insieme di dati reso pubblico.
In un commento ripreso da Reuters, Vassilvitskii ha scritto alla Commissione affermando che il metodo di anonimizzazione proposto è aggirabile in meno di due ore. Le sue parole sono nette: “Siamo preoccupati perché l’approccio della Commissione all’anonimizzazione non protegge la privacy degli europei: il nostro red team è riuscito a re-identificare gli utenti in meno di due ore”. Il dato temporale così preciso nasce da una prova pratica: partendo da un campione di query anonimizzate con il metodo proposto, il team interno ha ricostruito l’identità di singoli utenti in circa centoventi minuti. Lo scienziato ha poi incontrato di persona i funzionari europei, presentando alcune contromisure alternative pensate per soddisfare l’obiettivo competitivo del DMA senza esporre gli utenti.
Perché l’anonimizzazione non basta
Il nodo tecnico riguarda il modo in cui i dati verrebbero ripuliti prima della condivisione. Secondo l’analisi del ricercatore di sicurezza Lukasz Olejnik, che ha esaminato la bozza, il sistema si regge su un modello ad allowlist: i singoli frammenti di una query, come un nome o una parola chiave, diventano condivisibili solo se sono stati usati da almeno cinquanta utenti registrati nell’arco di tredici mesi, restando poi idonei fino a cinque anni. La soglia però si applica ai frammenti, non alle query intere, per cui una ricerca rara composta da parole comuni può comunque finire nel flusso.
Olejnik segnala due rischi principali. Il primo è il cosiddetto seeding: un attaccante può forzare l’ingresso di un termine nell’elenco autorizzato ripetendo la stessa ricerca da più account, per poi tracciarlo nel tempo. Il secondo è la correlazione con dati esterni: poiché il flusso include URL cliccati e tempistiche di interazione, chi dispone di log di traffico o script di tracciamento di un sito può incrociare le due fonti e ricostruire cronologie individuali, nonostante la rimozione di identificatori diretti come indirizzi IP e ID account. Anche la geolocalizzazione, pur ridotta a aree di almeno tre chilometri quadrati e mille utenti, può corrispondere a quartieri, campus o distretti governativi specifici.
Il flusso che Google dovrebbe fornire tramite API, in modo continuo e su scala europea, comprenderebbe query complete, orari, posizione approssimativa, lingua, informazioni sul dispositivo e segnali di interazione come clic, scorrimenti e affinamenti della ricerca. Non è uno scenario inedito: nel 2006 il rilascio di un archivio di ricerche anonimizzate di AOL portò all’identificazione per nome di diversi utenti nel giro di pochi giorni. I dati di ricerca odierni sono molto più granulari e più facili da incrociare con il web pubblico.
La posizione di Google e il sospetto di conflitto di interessi
Sul fronte legale la linea dell’azienda è altrettanto dura. Clare Kelly, senior Competition Counsel di Google, ha dichiarato che centinaia di milioni di europei affidano al motore le loro ricerche più sensibili, da quelle sulla salute, sulla famiglia e sulle finanze, e che la proposta costringerebbe a consegnare questi dati a terzi con protezioni della privacy pericolosamente inefficaci. Google parla di un intervento che eccede il mandato originario del DMA e sostiene che l’indagine sia spinta almeno in parte da OpenAI.
Resta sullo sfondo una domanda scomoda. Google ha tutto l’interesse commerciale a non cedere i propri dati ai concorrenti, e per anni ha usato la privacy come argomento di marketing. Il fatto che la preoccupazione per la riservatezza degli utenti coincida così bene con la difesa della propria posizione di mercato espone l’azienda all’accusa di strumentalizzazione. La scelta di affidare la parte tecnica della contestazione a un ricercatore indipendente e riconosciuto serve proprio a rendere quell’argomento più difficile da liquidare come interesse di parte.
I prossimi passi
La partita si gioca su tre fronti. Il primo è la possibilità che la Commissione riveda la specifica di anonimizzazione prima del 27 luglio, soprattutto se il risultato del red team venisse confermato in modo indipendente. Il secondo è la posizione, finora silente, dei fornitori di intelligenza artificiale che dovrebbero beneficiare dei dati. Il terzo è la prospettiva di un contenzioso che porti la questione davanti alla Corte di giustizia europea, dove si tratterebbe di stabilire se una misura pro concorrenza del DMA possa produrre un risultato in tensione con il GDPR. Per ora Bruxelles ha qualche settimana per trovare un equilibrio tra apertura del mercato e tutela dei dati.
Fonte: Reuters
