Meta aveva presentato il suo nuovo sistema interno come uno strumento per addestrare agenti di intelligenza artificiale capaci di svolgere attività quotidiane al computer.
L’idea, in apparenza, era semplice: osservare come lavorano i dipendenti, registrare interazioni reali con software, menu, finestre, clic e movimenti del mouse, e usare quei dati per insegnare agli agenti IA a comportarsi nello stesso modo.
Il progetto si chiama Model Capability Initiative, o MCI, ed era stato comunicato al personale come un’iniziativa rivolta ai dipendenti statunitensi. Meta aveva spiegato che lo strumento sarebbe stato installato sui loro dispositivi e che sarebbero state previste protezioni per le informazioni sensibili.
Ora però la vicenda è diventata più delicata. Secondo documenti interni visionati da Reuters, il sistema sarebbe più esteso di quanto descritto inizialmente e potrebbe catturare anche dati provenienti da dipendenti fuori dagli Stati Uniti, quando questi comunicano con colleghi americani che hanno MCI attivo.
È qui che la storia smette di essere solo un caso di monitoraggio interno e comincia a diventare un possibile fronte europeo sulla privacy.
Il perimetro dichiarato e quello reale
Il punto centrale sta nella distanza tra ciò che Meta dice di voler fare e ciò che, secondo i documenti interni, il sistema può effettivamente raccogliere. L’azienda sostiene che MCI sia installato solo sui computer dei dipendenti statunitensi e che il suo obiettivo sia studiare il modo in cui le persone interagiscono coi computer, non il contenuto presente sugli schermi.
Questa distinzione, però, non chiude la questione. Nel documento di domande e risposte fornito ai dipendenti, Meta ha riconosciuto che se un collega con sede negli Stati Uniti ha lo strumento abilitato mentre scambia email o messaggi con una persona fuori dagli Stati Uniti, quell’attività può essere catturata.
In altre parole: Meta può dire che MCI è installato solo sui computer dei dipendenti americani, ma questo non impedisce allo strumento di catturare email e chat inviate da colleghi europei o comunque non statunitensi.
È una precisazione tutt’altro che marginale. Il problema non è solo dove si trova il software, ma chi finisce dentro la sua raccolta dati. Se un dipendente europeo scrive a un collega americano con MCI attivo, anche quella conversazione può essere registrata.
Ed è qui che le rassicurazioni di Meta diventano molto meno solide.
Privacy mitigata o risolta?
Meta ha detto di aver “valutato attentamente e mitigato” i potenziali rischi per la privacy. È una frase costruita per rassicurare, ma contiene anche un’ammissione implicita: quei rischi esistono. “Mitigare” significa ridurre, gestire, contenere. Non significa cancellare.
Lo stesso vale per un’altra formula citata da Reuters. Meta avrebbe detto alla Data Protection Commission irlandese, il regolatore capofila per la privacy in Europa, che né i dati dei dipendenti UE né la registrazione dei contenuti dello schermo rientrano nella “finalità primaria” dello strumento. Anche qui la scelta delle parole è significativa. Dire che qualcosa non è la finalità primaria non equivale a dire che non accade.
Il problema, quindi, è concreto: se una email o una chat di un dipendente europeo viene catturata perché passa dal computer di un collega statunitense, Meta deve spiegare perché quel dato può essere trattato, con quale base giuridica e per quale finalità.
Soprattutto deve spiegare perché una comunicazione di lavoro, nata per svolgere un’attività professionale, possa diventare materiale per addestrare sistemi di intelligenza artificiale.
Il GDPR diventa scomodo per Meta
Negli Stati Uniti i lavoratori hanno protezioni molto più deboli contro il monitoraggio da parte del datore di lavoro. In Europa, invece, il GDPR impone regole più rigide: chi tratta dati personali deve indicare una base giuridica, spiegare quali dati raccoglie, per quale scopo, per quanto tempo e con quali diritti per le persone coinvolte.
Secondo Kleanthi Sardeli, esperta legale dell’organizzazione NOYB (acronimo di “none of your business”), anche una raccolta limitata o indiretta di dati dei dipendenti europei potrebbe mettere Meta in difficoltà rispetto al GDPR. Il passaggio più delicato riguarda la finalità: dati nati per comunicare e lavorare possono essere riutilizzati per addestrare un modello IA?
C’è poi un altro dettaglio delicato. Meta avrebbe spiegato ai dipendenti che i dati raccolti da MCI vengono separati dai nomi delle persone. Proprio per questo, però, non possono essere cercati o cancellati su richiesta del singolo dipendente.
Questo però in Europa è un problema, perché l’accesso e la cancellazione dei propri dati sono diritti riconosciuti dal GDPR. Se un dato personale finisce nel sistema, Meta non può cavarsela dicendo che ormai non è più facile risalire alla persona a cui appartiene.
La protesta che mostra il progetto
Dentro Meta, intanto, il progetto ha provocato reazioni negative. Alcuni dipendenti hanno paragonato l’azienda a una “fabbrica di estrazione dei dati dei dipendenti”. Altri si sono lamentati perché MCI avrebbe consumato una quantità enorme di traffico internet domestico, in alcuni casi fino a esaurire in pochi giorni la quota mensile disponibile.
Secondo Reuters, lo strumento raccoglie dati da oltre 200 app e siti web. Un post interno, poi scomparso, ha citato un’analisi dei file di log condotta con l’aiuto di Claude di Anthropic.
Secondo quell’analisi, replicata anche da altri dipendenti, MCI sarebbe stato agganciato al software aziendale di sicurezza dei dati e avrebbe avuto accesso a informazioni come modifiche al codice, cicli di sospensione e riattivazione del computer, URL visitati e contenuti copiati e incollati negli appunti.
Meta ha definito quelle conclusioni “fondamentalmente inaccurate” ma non ha risposto nel dettaglio alle domande di Reuters sulle singole accuse, né ha chiarito se il post interno sia stato rimosso dall’azienda.
Il lavoro diventa materiale di addestramento
La vicenda MCI racconta qualcosa di più ampio del solo caso Meta. Per costruire agenti IA capaci di svolgere attività al posto delle persone, le aziende devono prima osservare abbastanza bene come quelle attività vengono svolte. Devono vedere quali passaggi si ripetono, quali strumenti vengono aperti, quali informazioni vengono copiate, dove vengono incollate, quale decisione arriva dopo.
È questo il punto che rende il caso così sensibile. Non si parla solo di sorveglianza aziendale ma di una forma di osservazione pensata per trasformare il lavoro umano in istruzioni, esempi e comportamenti replicabili da una macchina.
Per Meta, è un tassello della corsa agli agenti IA. Per i dipendenti, può diventare la sensazione di essere osservati per addestrare sistemi che domani potrebbero svolgere almeno una parte del loro mestiere.
Per l’Europa, la domanda è ancora più diretta: una comunicazione di lavoro può finire dentro un sistema di addestramento solo perché ha attraversato il computer sbagliato negli Stati Uniti?
Fonte: Reuters
