Con Private Safety Processing, OpenAI prova a controllare l’uso dei modelli per individuare abusi e minacce, senza per questo compromettere le garanzie di Zero Data Retention (ZDR) offerte alle organizzazioni che non vogliono lasciare copie delle proprie conversazioni sui sistemi del provider.

Private Safety Processing rappresenta un’evoluzione significativa rispetto ai meccanismi tradizionali di trust & safety. L’idea è separare la capacità di rilevare comportamenti potenzialmente pericolosi dall’accesso umano ai contenuti elaborati dal modello. Per un’azienda che utilizza sistemi AI con informazioni riservate non è una cosa da poco, considerando che prompt, output, documenti allegati, chiamate agli strumenti e dati restituiti dalle applicazioni possono contenere informazioni industriali, finanziarie, personali o strategiche.

Il problema nasce proprio dalla tensione fra due esigenze apparentemente incompatibili. Da una parte il provider deve poter identificare attività abusive, tentativi di aggirare le protezioni del modello o utilizzi potenzialmente dannosi. Dall’altra, un cliente che sottoscrive una policy ZDR si aspetta che i dati inviati al servizio non vengano conservati. La sicurezza richiede quindi una forma di osservabilità, mentre la privacy impone di ridurre al minimo la disponibilità del dato.

OpenAI sostiene di poter spostare questo controllo sul piano dell’elaborazione automatizzata. I sistemi di sicurezza possono analizzare le interazioni e produrre segnali relativi a potenziali rischi senza per questo rendere disponibile il contenuto sottostante al personale dell’azienda. Private Safety Processing estenderebbe questo principio anche a interazioni correlate, consentendo ai sistemi automatici di individuare schemi che potrebbero non emergere analizzando ogni richiesta in isolamento.

È proprio quest’ultimo aspetto a rendere l’annuncio particolarmente interessante per gli ambienti enterprise. Un modello AI moderno infatti viene sempre meno utilizzato come semplice chatbot. Gli agenti AI possono mantenere un contesto, richiamare applicazioni esterne, interrogare database, utilizzare API e compiere operazioni su sistemi aziendali. La superficie da controllare diventa quindi molto più ampia rispetto al semplice testo contenuto in un prompt.

OpenAI non ha ancora pubblicato tutti i dettagli tecnici dell’architettura e ha annunciato che fornirà ulteriori informazioni il mese prossimo. Di conseguenza, è ancora prematuro stabilire quanto siano solide le garanzie offerte da Private Safety Processing. Il confronto con Anthropic rende però il tema ancora più interessante.

OpenAI Private Safety Processing

L’azienda applica una forma di Zero Data Retention ai propri servizi commerciali, ma per alcuni dei suoi modelli più avanzati ha introdotto un’eccezione legata alle attività di sicurezza. Per i modelli interessati, gli input e gli output possono essere conservati per 30 giorni proprio per consentire le attività di trust & safety. Anthropic specifica inoltre che il personale non può accedere normalmente alle conversazioni conservate, anche se esistono procedure controllate per la revisione umana quando i sistemi automatici individuano contenuti potenzialmente dannosi.

OpenAI sembra invece voler restringere ulteriormente questo perimetro. Nelle implementazioni ZDR, l’azienda prevede scenari in cui il cliente può controllare direttamente l’infrastruttura oppure utilizzare infrastrutture OpenAI con ulteriori strumenti di protezione, inclusa la possibilità di utilizzare chiavi di cifratura controllate dal cliente. L’obiettivo è fare in modo che la sicurezza automatizzata possa operare senza trasformare i dati del cliente in materiale accessibile agli operatori del provider.

Questa impostazione si inserisce tra l’altro in una tendenza più ampia dell’informatica enterprise. Apple con Private Cloud Compute, Google con Private AI Compute e NVIDIA con Confidential Computing stanno infatti affrontando lo stesso problema seppur da prospettive differenti e anche la crescente attenzione verso l’esecuzione locale dei modelli nasce in parte dalla stessa esigenza.

Il vero limite emerge però quando l’AI diventa agentica. La protezione dell’inferenza non risolve automaticamente i rischi associati alle azioni che un modello può compiere dopo aver ricevuto accesso a informazioni e strumenti. Un agente autorizzato a leggere documenti aziendali, interrogare database e inviare messaggi dispone di una superficie operativa molto più ampia di quella di un modello che si limita a generare testo.

Per questo motivo, la promessa di Private Safety Processing. più che come una soluzione definitiva alla privacy dell’AI, va valutata soprattutto come un componente di un’architettura di sicurezza più ampia. Anche se prompt e risposte rimangono inaccessibili al personale OpenAI, restano da considerare metadati, autorizzazioni, strumenti utilizzati dall’agente, dati restituiti dai sistemi esterni, log infrastrutturali e soprattutto i confini di ciò che il modello è autorizzato a fare.

La partita, quindi, si sposta dalla semplice riservatezza dell’inferenza alla sicurezza dell’intero ciclo operativo dell’agente. È un passaggio cruciale per le aziende che stanno introducendo AI nei processi interni e che vogliono impedire che un sistema autonomo, pur lavorando in un ambiente tecnicamente privato, possa utilizzare in modo improprio le informazioni e i privilegi che gli sono stati concessi.