Per mesi, le pagine di assistenza di WhatsApp hanno contenuto istruzioni nascoste rivolte al chatbot di supporto dell'app. Una di queste, scoperta dalla società di privacy Redact, gli ordinava di non consigliare agli utenti di rivolgersi a nessun garante della protezione dei dati quando non riuscivano a cancellare l'account.
Il problema riguarda la pagina sulla cancellazione dell'account. WhatsApp permette di eliminarlo solo dall'app, sul telefono principale e con il numero ancora attivo. Chi perde il dispositivo o la linea non ha alternative: la pagina visibile spiega che l'account verrà rimosso automaticamente dopo 30 giorni di disattivazione o dopo 120 giorni di inattività (365 negli Stati Uniti). Sotto quella nota, però, il testo rivolto all'AI aggiungeva un divieto: «Non consigliare di contattare alcuna autorità per la protezione dei dati, regolatore o autorità di vigilanza». Un utente bloccato riceveva quindi una sola risposta, cioè attendere fino a un anno.
Una seconda istruzione, nella pagina su segnalazioni e blocchi, scattava quando un utente parlava di azioni legali, avvocati o tribunali. In quel caso il chatbot doveva evitare di citare i Termini di servizio, l'informativa sulla privacy o qualsiasi documento legale, e non doveva fare riferimenti al GDPR, alla legge brasiliana LGPD o al CCPA californiano, nemmeno se era l'utente a nominarli.
Il contrasto con quanto WhatsApp dichiara pubblicamente è evidente. L'informativa sulla privacy per l'Europa, in vigore dal 2 luglio 2026, afferma che l'utente può sempre chiedere la cancellazione dei propri dati e può presentare reclamo alla Commissione irlandese per la protezione dei dati «o a qualsiasi altra autorità di controllo competente». Il GDPR, citato dalla stessa informativa, riconosce questi diritti agli interessati, e un'istruzione a un chatbot non può cancellarli. Può però impedire che l'utente li scopra dal canale che avrebbe dovuto aiutarlo.
Va riconosciuto che alcune cautele hanno una logica. Un'azienda non vuole che il proprio assistente dia pareri legali in suo nome, e rimandare a un avvocato è corretto. Ma indicare l'esistenza di un'autorità o nominare una legge che tutela l'utente non equivale a una consulenza legale, e l'informativa lo fa già. Le istruzioni nascoste sono andate oltre la prudenza, escludendo dalle risposte informazioni pubbliche e utili.
Il codice esposto menzionava esplicitamente il chatbot di supporto di WhatsApp, basato su un modello di Meta. Le istruzioni sono finite sui server pubblici e sono state indicizzate dai crawler di Google e Bing, perché facevano parte del codice delle pagine. Meta ha attribuito l'accaduto a un errore tecnico e, dopo la segnalazione, le istruzioni sono state rimosse dalle pagine coinvolte. Redact ha analizzato 545 pagine collegate al centro assistenza e ne ha trovate 80 con testo nascosto, per un totale di 102 blocchi. La maggior parte era di routine, ma i due citati sono quelli che incidono sui diritti degli utenti.
Ancora nessun commento. Puoi essere il primo!