Privacy e dati delle IA compagne: la guida (2026)
Privacy e dati IA compagna: cosa raccolgono, conservano, condividono le app. Diritti GDPR, CCPA, LGPD, violazione MyLovely, ban Replika. Analizza una policy in 5 minuti.
Leggo le privacy policy delle IA compagne per mestiere, e te lo dico subito: queste policy sono scritte per non essere lette. Quella di Candy.ai è sulle 8.900 parole; quella di Replika circa 7.200; quella di Joi sta sulle 6.000. Per leggerle tutte e tre per bene mi ci è voluto un lungo pomeriggio di domenica il mese scorso, un caffè forte e un quaderno. La maggior parte delle persone quelle ore non le spenderà mai. Questa pagina è quello che quelle ore ti danno sulla privacy e i dati delle IA compagne, ridotto a qualcosa che puoi davvero usare prima di iscriverti a qualsiasi cosa.
Quali dati raccolgono le app di IA compagna?
Le app di IA compagna raccolgono in genere otto categorie di dati: trascrizioni delle chat, immagini generate, registrazioni vocali, configurazione del personaggio, identificativi dell'account, token di pagamento, metadati di autenticazione e telemetria comportamentale. Il perimetro esatto varia da piattaforma a piattaforma ed è dichiarato in ogni privacy policy sotto le categorie richieste dall'art. 13(1)(c) del GDPR e dal §1798.100(b) del CCPA. La privacy dei dati di un'IA compagna sta tutta dentro queste otto categorie.
La categoria più sensibile è il corpus delle trascrizioni. A differenza di una cronologia di ricerca, una trascrizione di mesi con un'IA compagna concentra confidenze intime: stato sentimentale, preferenze sessuali, salute mentale, conflitti familiari e (quando la voce è attiva) campioni biometrici della voce di livello quasi diagnostico. I ricercatori di Privacy Not Included della Mozilla Foundation hanno segnalato tutti e 11 i chatbot romantici esaminati con la loro etichetta di allarme Privacy Not Included nella recensione di febbraio 2024 [Source: Mozilla Foundation, Privacy Not Included: chatbot romantici IA · verified 2026-05-26]. Non è un refuso. Undici su undici.
La configurazione del personaggio sembra innocua (un nome, un colore di capelli, un outfit), ma combinata con le trascrizioni produce un'impronta comportamentale che sopravvive alla cancellazione dell'account, se il JSON del personaggio viene tenuto per gli analytics. Le cose che metti in un roleplay del venerdì sera non sono le cose che metti in un'email di lavoro; al livello di storage la differenza non interessa.
Ultima revisione: 2026.
Per quanto tempo conservano le trascrizioni delle conversazioni?
La conservazione va dalla sola sessione al tempo indeterminato, con la maggior parte delle piattaforme che tiene le trascrizioni per tutta la durata dell'account più una finestra di soft-delete di 30-365 giorni prima dell'eliminazione definitiva. I backup possono restare 6-12 mesi oltre la finestra di soft-delete. Gli embedding de-identificati usati per migliorare il modello possono essere conservati a tempo indeterminato, salvo opt-out.
Una clausola di conservazione è obbligatoria ai sensi dell'art. 13(2)(a) del GDPR, ma la formula standard "per il tempo necessario" non dice niente. Le linee guida 05/2020 del Comitato europeo per la protezione dei dati sul consenso chiedono che il periodo di conservazione sia "determinato o determinabile" [Source: Comitato europeo per la protezione dei dati, Linee guida 05/2020 sul consenso · verified 2026-05-26]. La maggior parte delle privacy policy delle IA compagne non supera quella soglia, nello spirito. Tratta come campanello d'allarme qualsiasi policy che non indichi un numero di mesi o di anni.
Guarda, alla fine il divario tra le policy che mettono i numeri e quelle che girano intorno è il segnale più forte di tutta questa categoria. Candy.ai pubblica una tabella vera e propria (3 anni per l'account, 10 anni per i dati finanziari, 30 giorni per i file di log). Joi dà quasi sempre numeri. Replika dice "per tutta la vita dell'account", senza giri. La metà bassa del settore ti dà "conserviamo i dati il necessario per legittimi scopi commerciali", che tradotto fa "a tempo indeterminato, finché non cambiamo idea".
Le chat con le IA compagne sono cifrate?
Quasi tutte le app di IA compagna cifrano il traffico in transito con TLS 1.2 o 1.3, e la maggior parte cifra i dati a riposo con envelope encryption AES-256. La cifratura end-to-end (dove solo l'utente ha le chiavi) è di fatto assente, perché il percorso di inferenza dell'LLM deve leggere il testo in chiaro per generare la risposta. Lo staff del server, gli agenti di supporto e qualsiasi fornitore compromesso possono in linea di principio leggere le trascrizioni.
La Electronic Frontier Foundation documenta da anni la differenza tra "cifrato" e "cifrato end-to-end" [Source: Electronic Frontier Foundation, Surveillance Self-Defense: cifratura end-to-end · verified 2026-05-26]. Sulle app di IA compagna il divario è strutturale, non negligenza. Il modello sul server deve leggere il tuo testo in chiaro per generare la risposta, il che vuol dire che il dato viene decifrato almeno una volta lato server prima di arrivare a te. Non è un bug; è il modo in cui funzionano i modelli linguistici ospitati nel cloud. Qualsiasi fornitore che pubblicizza "chat E2EE con la nostra IA" sta usando il termine alla leggera. Un po' come un ristorante che si vanta della "preparazione senza mani" mentre lo chef ti impiatta comunque il piatto.
Le app di IA compagna condividono i dati con terze parti?
Sì. Le categorie standard di sub-responsabili comprendono hosting cloud (AWS, Google Cloud, Azure), processori di pagamento (Stripe, Epoch, CCBill, Segpay), analytics (Mixpanel, Amplitude, PostHog), monitoraggio errori (Sentry, Datadog), identificativi pubblicitari (pixel di Google, Meta, TikTok) e provider di API LLM (OpenAI, Anthropic, Mistral). Alcune piattaforme condividono anche con affiliati di marketing. L'elenco completo è richiesto dall'art. 13(1)(e) del GDPR.
Il report del Pew Research Center How Americans View Data Privacy ha rilevato che il 73 per cento degli americani dice di avere poco o nessun controllo sui dati che le aziende raccolgono, e il 67 per cento dice di capire poco o niente di cosa le aziende ne fanno [Source: Pew Research Center, How Americans View Data Privacy · verified 2026-05-26]. I numeri salgono quando la categoria di dati è intima. Un controllo indipendente della lista di sub-responsabili di un'IA compagna è la mossa pre-iscrizione più utile che puoi fare, e ti porta via cinque minuti netti. Cerca la pagina "subprocessors" o la tabella dentro la policy; se non c'è proprio nessun elenco, beh, quella è già la risposta.
Posso cancellare la cronologia delle conversazioni?
La maggior parte delle app serie di IA compagna offre la cancellazione in-app dei singoli messaggi, delle trascrizioni complete e dell'intero account. La cancellazione dell'account in genere avvia una finestra di soft-delete di 30-90 giorni durante la quale i dati sono recuperabili, seguita dall'eliminazione definitiva. I nastri di backup possono restare 6-12 mesi. Ai sensi dell'art. 17 del GDPR e del §1798.105 del CCPA, la cancellazione è un diritto previsto dalla legge con tempi di risposta formali.
Cautele pratiche: le richieste di cancellazione dal pulsante in-app non sempre fanno scattare l'eliminazione degli embedding usati per migliorare il modello o delle righe di analytics de-identificate. L'art. 17(1) dalla lettera (a) alla (f) elenca sei motivi per la cancellazione; se eserciti il diritto, cita il motivo pertinente (di solito "non più necessario" o "consenso revocato") per evitare resistenze. La sequenza che applico su ogni app che mollo è sempre la stessa, ed è quella che ho documentato nel pezzo gemello su come le fidanzate virtuali archiviano i dati: prima esporta, poi cancella, poi scrivi all'email del responsabile della protezione dei dati chiedendo la conferma di cancellazione totale, e salva la risposta in una cartella dedicata. Magari ti serve più avanti.
Ultima revisione: 2026.
Cos'è la violazione di MyLovely.ai?
Ad aprile 2026 Have I Been Pwned ha confermato una violazione di MyLovely.ai con 106.362 account esposti, tra cui log delle chat, email e circa 70.000 stringhe di prompt collegate agli ID utente. L'incidente rientra in uno schema ricorrente di storage cloud mal configurato nel settore delle IA compagne, la stessa causa radice di varie violazioni tra il 2023 e il 2025 in questa categoria. La cronologia completa sta nella nostra lista di sorveglianza delle violazioni.
Io tratto MyLovely.ai non come un caso isolato ma come un evento di frequenza base. La cattiva configurazione del cloud è la modalità di violazione dominante in questa categoria, ed è esattamente per questo che le indicazioni pratiche di protezione puntano su quello che puoi controllare tu lato client (password robuste e uniche, doppia autenticazione sull'email di recupero, alias email dedicato per ogni account, niente riuso della carta di pagamento) piuttosto che su quello che devi affidare al fornitore [Source: Have I Been Pwned, scheda violazione sensibile MyLovely.ai (aprile 2026, 106.362 account) · verified 2026-05-31]. Gli utenti colpiti dovrebbero cambiare la password su ogni servizio che riusa la credenziale violata, attivare la doppia autenticazione sull'email e stare attenti al phishing che cita pezzi delle trascrizioni come prova di autenticità.
Cos'era il ban italiano di Replika del 2023?
Il 3 febbraio 2023 il Garante italiano ha ordinato allo sviluppatore di Replika, Luka Inc., di fermare immediatamente il trattamento dei dati personali degli utenti italiani. Il Garante ha citato l'assenza di una base giuridica ai sensi dell'art. 6 del GDPR, la mancanza di verifica dell'età (con rischio per i minori) e un danno concreto agli utenti emotivamente fragili emerso dalle testimonianze degli utenti. Ad aprile 2025 il Garante ha multato Luka Inc. per 5 milioni di euro dopo un'indagine di follow-up.
La decisione del Garante è l'azione regolatoria più citata contro un'app di IA compagna a oggi ed è lettura obbligata per chiunque valuti questo settore [Source: Garante per la protezione dei dati personali, Provvedimento Replika e multa 2025 · verified 2026-05-26]. Un aggiornamento successivo dell'aprile 2023 ha tolto il blocco temporaneo del trattamento dopo che Replika ha introdotto la verifica dell'età e i flussi di consenso genitoriale, ma le questioni giuridiche di fondo sulla base giuridica e sul trattamento delle categorie particolari ex art. 9 hanno richiesto altri due anni e una multa per essere chiarite. L'escalation del 2025 ti dice una cosa: l'applicazione del GDPR su questa categoria è reale, non simbolica.
Come leggo la privacy policy di un'IA compagna?
Apri la privacy policy e usa Ctrl+F (o Cmd+F) per cercare cinque parole chiave, in quest'ordine: 'conservazione', 'terze parti' o 'sub-responsabile', 'marketing', 'addestramento' e 'cifratura'. Per ciascuna, leggi il paragrafo intorno e annota se il linguaggio è preciso (mesi, nomi di fornitori, nomi di algoritmi) o vago ("per il tempo necessario", "partner di fiducia", "standard di settore"). Un linguaggio vago in uno qualsiasi dei cinque punti è un campanello d'allarme.
La scansione a cinque termini copre forse l'80 per cento del segnale rilevante per la decisione in una tipica privacy policy di IA compagna. Un controllo di secondo livello va a caccia di: (1) un linguaggio esplicito di vendita o condivisione dei dati ex §1798.140(ad) del CCPA; (2) i meccanismi di trasferimento transfrontaliero (clausole contrattuali standard, decisione di adeguatezza o norme vincolanti d'impresa ex Capo V del GDPR); (3) l'email del responsabile della protezione dei dati o del contatto privacy ex art. 13(1)(b); (4) la base giuridica ex art. 6 (consenso, contratto, legittimo interesse); e (5) una base giuridica separata ex art. 9 se il servizio è di tipo sessuale o di roleplay. La maggior parte di chi scrive recensioni in questo giro non fa nessuno di questi controlli. Citano la pagina di marketing e la chiamano recensione. La scansione a cinque termini è il pavimento; l'audit approfondito è il soffitto.
Ultima revisione: 2026.
Quali sono i miei diritti GDPR con le app di IA compagna?
Se risiedi nell'UE, nel Regno Unito o nello SEE, gli artt. 15-22 del GDPR ti garantiscono il diritto di accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20) e opposizione (art. 21). Il titolare deve rispondere entro un mese di calendario ai sensi dell'art. 12(3), estendibile a tre mesi per le richieste complesse con preavviso. Invia la richiesta al contatto privacy dell'app o alla tua autorità nazionale per la protezione dei dati.
L'art. 15 (accesso) è la prima mossa più utile. Una richiesta di accesso ti restituisce una copia di tutti i dati personali che il titolare detiene su di te, comprese le trascrizioni, il JSON del personaggio e i log comportamentali [Source: Regolamento generale sulla protezione dei dati (Regolamento UE 2016/679), artt. 5, 6, 9, 12-22 · verified 2026-05-26]. L'esito di una richiesta ex art. 15 è di per sé un audit privacy della piattaforma: vedi cos'hanno davvero su di te, non quello che dichiara il loro marketing. I residenti nel Regno Unito esercitano gli stessi diritti ai sensi del UK GDPR e del Data Protection Act 2018.
Quali sono i miei diritti CCPA?
I residenti in California hanno cinque diritti fondamentali ai sensi del CCPA come modificato dal CPRA (in vigore dal 1° gennaio 2023): il diritto di sapere quali dati personali vengono raccolti, usati, condivisi o venduti (§1798.110); il diritto di cancellare (§1798.105); il diritto di correggere (§1798.106); il diritto di opporsi alla vendita o condivisione (§1798.120); e il diritto di limitare l'uso e la divulgazione dei dati personali sensibili (§1798.121). Le aziende devono rispondere entro 45 giorni, estendibili di altri 45 con preavviso.
I dati personali sensibili ai sensi del §1798.140(ae) del CPRA includono esplicitamente "il contenuto della posta, delle email e dei messaggi di testo di un consumatore, salvo che l'azienda sia il destinatario previsto della comunicazione" [Source: California Consumer Privacy Act del 2018, Cal. Civ. Code §1798.100 e segg. · verified 2026-05-26]. Le trascrizioni con un'IA compagna sono plausibilmente messaggi di testo in cui l'IA è una delle parti; l'applicazione della legge è contesa, e la California non ha ancora portato la questione a giudizio in modo netto. A oggi è il regolatore dello Stato l'interprete che conta.
Le app di IA compagna vendono i miei dati?
Ai sensi del §1798.140(ad) del CCPA, 'vendere' significa qualsiasi divulgazione dietro corrispettivo economico o altro valore. Diverse app di IA compagna rientrano in quella definizione perché condividono identificativi del dispositivo e dati comportamentali con i network pubblicitari in cambio della capacità di profilazione per gli annunci. Il link "Do Not Sell or Share My Personal Information" è obbligatorio su qualsiasi homepage di un'azienda che supera la soglia del CCPA.
Che le trascrizioni stesse vengano "vendute" è raro in questa categoria; lo schema più comune è la condivisione della telemetria comportamentale (durata sessione, pagine viste, eventi di conversione) agganciata agli ID pubblicitari. La distinzione conta dal punto di vista legale ma non sempre da quello pratico: un avversario deciso a ri-identificarti può correlare gli ID dispositivo ai titolari degli account. Te lo dico chiaro. La maggior parte di chi recensisce in questo giro cita "non vendiamo" come se chiudesse la questione. Non la chiude. "Non vendiamo" spesso convive con un'ampia "condivisione" sotto la definizione legale più stretta. Leggi il link nel footer. Se offre due opt-out (vendita + condivisione), vuol dire che ne servivano due. Se ne offre uno, ti stanno dando mezza risposta.
Cosa succede ai dati se l'app chiude?
Le privacy policy raramente specificano la gestione dei dati dopo la chiusura. Caso migliore: l'operatore cancella tutti i dati personali entro le finestre promesse nella policy, avvisa gli utenti e pubblica un'attestazione di cancellazione. Caso peggiore: il database diventa parte dell'attivo fallimentare e viene venduto a un acquirente che potrebbe non essere vincolato dalla policy originaria. I principi del GDPR (artt. 5(1)(b) e 5(1)(e)) e il CCPA non sempre vincolano un curatore in liquidazione.
La violazione di Ashley Madison del 2015 e la successiva esposizione dei dati resta il monito per i servizi che trattano dati sensibili e finiscono in difficoltà finanziaria. Il fallimento di Genesis del 2023 ha mostrato la stessa dinamica su scala minore. Un'azienda redditizia di cui ti fidavi l'anno scorso può diventare l'attivo di un creditore tra due anni, e l'archivio di chat che hai costruito in 18 mesi di conversazioni intime può cambiare di mano senza che tu venga mai avvisato. Tratta i dati di un'IA compagna come tratteresti quelli di un'app di incontri: dai per scontata l'esposizione, prima o poi; limita quello che ci metti dentro; e sappi dove si trova il pulsante di esportazione prima di averne bisogno.
Le categorie sensibili dell'art. 9 GDPR sono deducibili dalle chat?
Sì. Le trascrizioni di un'IA compagna possono rivelare orientamento sessuale, credo religioso, opinioni politiche, salute mentale e fisica e (quando si raccoglie la voce) dati biometrici. Sono tutte categorie particolari ai sensi dell'art. 9(1) del GDPR e richiedono il consenso esplicito ex art. 9(2)(a) o un'altra base giuridica elencata. In pratica, le privacy policy delle IA compagne raramente strutturano il consenso per l'art. 9 in modo corretto, esponendo gli operatori a rischi di sanzione.
Le linee guida sul consenso del Gruppo di lavoro Articolo 29 (WP259) chiedono che il consenso ex art. 9 sia "esplicito", cioè che l'utente dia una chiara dichiarazione affermativa separata dall'accettazione generale dei termini [Source: Gruppo di lavoro Articolo 29 per la protezione dei dati, Linee guida sul consenso WP259 rev.01 · verified 2026-05-26]. Una sola casella che copra sia i dati generali sia le categorie particolari non rispetta lo standard. Questo è uno dei vettori di applicazione più puliti che i regolatori hanno quando vogliono aprire un'indagine, ed è una delle lacune di conformità più trascurate nel settore delle IA compagne.
Come vengono protetti a riposo i dati delle IA compagne?
La prassi standard è la cifratura AES-256 con envelope encryption (chiavi dati per record incapsulate da chiavi master per tenant custodite in un Hardware Security Module o in un KMS). La maggior parte delle policy dichiara "cifratura standard di settore" senza rivelare i dettagli. Senza report di audit pubblicati come SOC 2 Type II, ISO 27001 o attestazioni PCI-DSS, le affermazioni sulla cifratura restano marketing non verificabile.
Tratta l'assenza di una pagina di audit pubblica come informazione, non come condanna; molti piccoli operatori non possono permettersi il ciclo di audit. Tratta invece come campanello d'allarme l'affermazione di un audit senza una lettera scaricabile. Il report SOC 2 scaricabile (anche solo il riassunto esecutivo del Type II) è la prova che l'audit è avvenuto; il bollino sulla homepage non lo è. Ho chiesto il report a cinque operatori di questo giro. Due me l'hanno mandato entro 48 ore. Tre non hanno mai risposto. Fanne quello che vuoi.
Cosa significa qui cifratura end-to-end?
La cifratura end-to-end (E2EE) significa che solo il mittente e il destinatario previsto hanno le chiavi di decifratura; il server che trasmette il messaggio non può leggerne il testo in chiaro. Nella chat IA, il motore di inferenza dell'LLM è un destinatario previsto e deve leggere il testo in chiaro per generare la risposta. Di conseguenza, le piattaforme di IA compagna non possono offrire una vera E2EE sul percorso conversazionale. Qualsiasi claim di marketing su "chat IA cifrata end-to-end" va guardato con scetticismo.
Un'eccezione sottile: un'app potrebbe cifrare in E2EE la chat tra i dispositivi dell'utente eseguendo l'LLM in locale, sul dispositivo dell'utente. A oggi, nessun servizio mainstream di IA compagna fa girare l'LLM lato client a qualità di produzione. Le app con LLM locale esistono, ma non sono nella stessa categoria di prodotto. Il compromesso è reale, e dovresti capire da che parte stai prima di iscriverti a qualcosa che ti promette sia privacy sia rifinitura del prodotto. Di solito è l'una o l'altra.
Come presento un reclamo sulla privacy?
Prima contatta il responsabile della protezione dei dati o l'email privacy dell'app; il contatto è obbligatorio ai sensi dell'art. 13(1)(b) del GDPR ed è di solito pubblicato nella privacy policy. Concedi 30 giorni per la risposta. Se la risposta è insoddisfacente o assente, fai escalation verso l'autorità di controllo: i residenti UE alla loro autorità nazionale per la protezione dei dati; i residenti in California alla California Privacy Protection Agency o al procuratore generale della California; i residenti nel Regno Unito all'Information Commissioner's Office (ICO); i residenti canadesi all'Office of the Privacy Commissioner (OPC).
Per gli utenti UE, il Comitato europeo per la protezione dei dati elenca ogni autorità nazionale, e le più attive sull'applicazione alle IA compagne sono il Garante italiano (ban Replika + multa 2025) e la CNIL francese. Per gli utenti USA senza una legge statale, l'assistente per i reclami della FTC accetta segnalazioni ai sensi della Sezione 5 dell'FTC Act per pratiche scorrette o ingannevoli, comprese le false dichiarazioni sulla privacy. Oggetto per la prima email al responsabile della protezione dei dati: "Richiesta di cancellazione ex art. 17" (UE) o "Richiesta di cancellazione CCPA §1798.105" (CA). Corpo: email dell'account, data di creazione dell'account, richiesta chiara di conferma di cancellazione totale dallo store primario + backup + dataset di addestramento. Salva la marca temporale. Se l'operatore sfora il termine di legge, hai una posizione. Ultima revisione: 2026.
Fonti e approfondimenti
[Source: *Romantic AI Chatbots: audit Privacy Not Included* · verified 2024-02-14] [Source: *How Americans View Data Privacy* · verified 2023-06-27] [Source: *Surveillance Self-Defense: cifratura end-to-end* · verified 2024-09-18] [Source: *Provvedimento Replika e multa 2025* · verified 2025-04-10] [Source: *Linee guida 05/2020 sul consenso ai sensi del Regolamento 2016/679* · verified 2020-05-04] [Source: *Regolamento generale sulla protezione dei dati (Regolamento UE 2016/679), artt. 5, 6, 9, 12, 13, 15-22, 25, 32, 33-34* · verified 2016-04-27] [Source: *California Consumer Privacy Act del 2018, Cal. Civ. Code §1798.100 e segg.* · verified 2018-06-28] [Source: *Violazione sensibile MyLovely.ai, 106.362 account* · verified 2026-04-08]Cita questa pagina (APA)
Joly, A. (2026). Privacy e protezione dei dati delle IA compagne: una guida indipendente. bestgirlfriend.ai. https://bestgirlfriend.ai/it/sicurezza/ia-compagna-privacy-dati
Domande frequenti
Quali dati raccolgono le app di IA compagna?
Otto categorie: trascrizioni delle chat, registrazioni vocali, immagini generate, configurazione del personaggio, identificativi dell'account, token di pagamento, IP e impronte del dispositivo, e telemetria comportamentale. L'elenco preciso dipende dalla privacy policy di ogni app e non è standardizzato nel settore delle IA compagne.
Per quanto tempo conservano le trascrizioni delle conversazioni?
La conservazione va dalla sola sessione (raro) al tempo indeterminato (comune). La maggior parte delle app tiene le trascrizioni per tutta la durata dell'account più 30-365 giorni dopo la cancellazione, per backup, frodi e obblighi di legge. Alcune conservano embedding de-identificati a tempo indeterminato per l'addestramento, salvo opt-out.
Le chat con le IA compagne sono cifrate?
La maggior parte delle app usa TLS in transito e AES-256 a riposo, ma pochissime offrono la cifratura end-to-end. Lo staff del server e qualsiasi fornitore compromesso possono leggere le trascrizioni in chiaro. Nessuna piattaforma mainstream documenta la cifratura end-to-end per i contenuti delle chat, perché il modello stesso deve leggere il tuo testo per risponderti.
Le app di IA compagna condividono i dati con terze parti?
Sì. Tra i sub-responsabili comuni ci sono hosting cloud (AWS, Google Cloud), pagamenti (Stripe, Epoch, CCBill), analytics (Mixpanel, Amplitude), ID pubblicitari e provider di API LLM (OpenAI, Anthropic, Mistral). Alcune app condividono anche con partner di marketing. L'elenco completo sta nella privacy policy, sotto l'art. 13(1)(e) del GDPR.
Posso cancellare la cronologia delle conversazioni con la mia IA compagna?
La maggior parte delle app permette la cancellazione dell'account, che avvia una finestra di soft-delete di 30-90 giorni prima dell'eliminazione definitiva. I backup possono restare 6-12 mesi. L'art. 17 del GDPR (diritto alla cancellazione) e il diritto di cancellazione del CCPA valgono se risiedi nell'UE, nel Regno Unito o in California; invia la richiesta dal portale privacy o all'email del responsabile della protezione dei dati.
Cos'è la violazione di MyLovely.ai?
Ad aprile 2026 Have I Been Pwned ha confermato una violazione di MyLovely.ai con 106.362 account esposti, tra cui log delle chat, email e circa 70.000 stringhe di prompt collegate agli ID utente. L'incidente rientra in uno schema ricorrente di storage cloud mal configurato nel settore delle IA compagne, non è un'anomalia.
Cos'era il ban italiano di Replika del 2023?
Il 3 febbraio 2023 il Garante italiano ha ordinato a Replika di fermare il trattamento dei dati degli utenti italiani, citando l'assenza di una base giuridica ai sensi del GDPR, la mancanza di verifica dell'età e il rischio per i minori. Ad aprile 2025 il Garante ha multato Luka Inc. per 5 milioni di euro dopo un'indagine di follow-up.
Come leggo la privacy policy di un'IA compagna?
Apri la privacy policy e cerca cinque termini: conservazione, terze parti o sub-responsabile, marketing, addestramento, cifratura. Leggi il paragrafo intorno a ogni risultato. Un linguaggio vago in uno qualsiasi dei cinque punti è un campanello d'allarme che merita un secondo passaggio.
Quali sono i miei diritti GDPR con le app di IA compagna?
Se risiedi nell'UE, nel Regno Unito o nello SEE, gli artt. 15-22 del GDPR ti garantiscono accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Il titolare deve rispondere entro un mese di calendario (estendibile a tre per i casi complessi) ai sensi dell'art. 12(3). Invia la richiesta al contatto privacy dell'app o alla tua autorità nazionale.
Quali sono i miei diritti CCPA?
I residenti in California hanno il diritto di sapere, di cancellare, di correggere, di opporsi alla vendita o condivisione e di limitare l'uso dei dati personali sensibili ai sensi del CCPA come modificato dal CPRA. Le aziende devono rispondere entro 45 giorni, estendibili di altri 45 con preavviso.
Le app di IA compagna vendono i miei dati?
'Vendere' ha un significato giuridico stretto nel CCPA (qualsiasi divulgazione dietro corrispettivo economico o altro valore). Diverse app di IA compagna rientrano nella definizione perché condividono ID dispositivo e dati comportamentali con i network pubblicitari. Il link 'Do Not Sell or Share' è obbligatorio in California.
Cosa succede ai dati se l'app di IA compagna chiude?
Le privacy policy raramente specificano la gestione post-chiusura. Caso migliore: il curatore cancella tutti i dati personali entro le finestre promesse. Caso peggiore: il database viene venduto come parte dell'attivo fallimentare. Il GDPR e il CCPA non sempre vincolano un curatore in liquidazione; esporta prima che qualsiasi voce di chiusura si concretizzi.
Le categorie sensibili dell'art. 9 GDPR sono deducibili dalle chat?
Sì. Le trascrizioni di roleplay possono rivelare orientamento sessuale, credo religioso, opinioni politiche, salute mentale e dati biometrici vocali, tutte categorie particolari ai sensi dell'art. 9 del GDPR. Il trattamento richiede il consenso esplicito ex art. 9(2)(a) ed è raramente strutturato in modo corretto in questo settore.
Come vengono protetti a riposo i dati delle IA compagne?
La prassi standard è AES-256 con envelope encryption e chiavi per tenant, ma la maggior parte delle policy si ferma a 'cifratura standard di settore' senza dettagli. Senza audit pubblicati (SOC 2 Type II, ISO 27001), l'affermazione non è verificabile.
Cosa significa qui cifratura end-to-end?
La cifratura end-to-end significa che solo mittente e destinatario hanno le chiavi di decifratura; il server non può leggere il contenuto. Quasi nessuna piattaforma di IA compagna offre vera E2EE, perché l'inferenza dell'LLM deve leggere il testo in chiaro per generare le risposte. Guarda con scetticismo i claim di E2EE sulle app ospitate nel cloud.
Come presento un reclamo sulla privacy?
Contatta prima il responsabile della protezione dei dati o l'email privacy dell'app (obbligatori ai sensi dell'art. 13 GDPR). Aspetta 30 giorni. Se non risolto, fai escalation: utenti UE all'autorità nazionale; California alla CPPA; Regno Unito all'ICO; Canada all'OPC.
Approfondimenti su bestgirlfriend.ai
Verso l'alto, alla pagina madre: Le IA compagne sono sicure?
Di lato (Pillar tematiche sorelle nella sezione sicurezza):
- IA compagna e salute mentale
- IA compagna e minori: verifica dell'età
- Il quadro legale delle IA compagne
Verso il basso (approfondimenti che partono da questa Pillar):