OpenAI e Anthropic stanno modificando il modo in cui gestiscono la conservazione dei dati dei clienti enterprise quando vengono utilizzati i modelli di intelligenza artificiale più avanzati. Il problema nasce dall’incompatibilità tra due esigenze che stanno diventando sempre più importanti nelle implementazioni aziendali: da una parte le imprese chiedono che prompt, output e informazioni riservate non vengano conservati dal fornitore del modello; dall’altra, i laboratori di intelligenza artificiale sostengono di avere bisogno di osservare sequenze di interazioni nel tempo per individuare comportamenti pericolosi, tentativi di aggiramento delle protezioni e utilizzi coordinati dei sistemi.
OpenAI sta affrontando il problema attraverso un sistema denominato Private Safety Processing, sviluppato per permettere il monitoraggio della sicurezza anche negli ambienti configurati con zero data retention. L’obiettivo è evitare la conservazione dei contenuti aziendali completi e, contemporaneamente, mantenere abbastanza informazioni da individuare schemi di abuso distribuiti su più richieste. Il sistema viene sperimentato inizialmente con un numero limitato di clienti enterprise e API e dovrebbe consentire di analizzare segnali relativi a possibili attività pericolose senza creare un archivio tradizionale delle conversazioni.
Il meccanismo è pensato per conservare informazioni di sicurezza derivate dalle interazioni anziché i prompt e gli output completi. In presenza, per esempio, di attività riconducibili a un attacco informatico o a un rischio biologico, il sistema potrebbe mantenere segnali e indicatori sufficienti a collegare richieste differenti, lasciando però fuori dal processo di memorizzazione permanente gran parte dei dati forniti dal cliente. Il problema tecnico nasce proprio dal fatto che numerosi abusi non possono essere identificati valutando una singola richiesta isolata, perché diventano visibili soltanto quando vengono analizzate serie di interazioni correlate.
La soluzione rappresenta un’evoluzione rispetto al normale funzionamento della piattaforma API di OpenAI. Per impostazione predefinita, i log destinati al monitoraggio degli abusi possono includere parti dei contenuti inviati dai clienti e vengono conservati fino a 30 giorni. Le organizzazioni idonee possono tuttavia ottenere Zero Data Retention o Modified Abuse Monitoring, configurazioni che escludono i contenuti dei clienti dai normali log di controllo. Con Zero Data Retention, inoltre, alcuni endpoint vengono forzati a non memorizzare lo stato della richiesta, mentre determinate funzionalità che richiedono necessariamente persistenza dei dati non possono essere utilizzate nello stesso modo.
È proprio questa relazione tra persistenza e funzionalità avanzate a rappresentare una delle difficoltà dell’approccio ZDR. Sistemi agentici, conversazioni prolungate, strumenti di esecuzione e alcune forme di caching possono richiedere la conservazione temporanea dello stato per funzionare. OpenAI distingue quindi fra contenuto del cliente, stato applicativo necessario all’esecuzione delle funzionalità e dati amministrativi o di sicurezza. La zero data retention non equivale quindi all’assenza assoluta di qualsiasi informazione tecnica all’interno dell’infrastruttura, ma riguarda soprattutto l’eliminazione della conservazione dei contenuti utilizzati nelle richieste API.
Anthropic ha adottato un’impostazione differente per i propri modelli più avanzati. Per quelli classificati come Covered Models, la società richiede una finestra di conservazione di 30 giorni dei prompt e degli output, anche per organizzazioni che normalmente dispongono di accordi Zero Data Retention. La misura riguarda i modelli considerati sufficientemente potenti da richiedere controlli aggiuntivi, in particolare per capacità legate allo sviluppo software, agli agenti autonomi, alla sicurezza informatica e ad altri ambiti dual-use.
La motivazione è legata alla necessità di individuare comportamenti che emergono soltanto analizzando molte richieste insieme. Un esempio è il Best-of-N jailbreaking, nel quale vengono inviate centinaia di varianti leggermente differenti dello stesso prompt nel tentativo di trovare una formulazione capace di superare le protezioni del modello. Lo stesso vale per campagne più articolate, come attività di spionaggio, estorsione dei dati o operazioni informatiche coordinate, difficili da identificare osservando ciascuna richiesta separatamente.
I dati conservati vengono sottoposti in primo luogo ai sistemi automatici di sicurezza. Anthropic specifica che il personale non può accedere normalmente alle conversazioni memorizzate e che una revisione umana può avvenire attraverso procedure controllate quando i sistemi di trust and safety segnalano un possibile rischio. L’accesso è limitato a personale autorizzato ed è registrato attraverso log che non possono essere modificati dagli stessi revisori. Al termine dei 30 giorni i dati vengono eliminati automaticamente, salvo i casi nei quali siano coinvolti in un’indagine di sicurezza o debbano essere conservati per obblighi legali.
La richiesta di conservazione ha però creato un problema concreto per le aziende che avevano scelto Claude proprio sulla base di un accordo ZDR. Anthropic sta quindi lavorando a una modalità che consenta ai clienti di mantenere i dati necessari al controllo di sicurezza all’interno della propria infrastruttura cloud anziché sui server della società. In questo modo l’obbligo dei 30 giorni potrebbe essere rispettato senza trasferire ad Anthropic il controllo diretto dell’archivio contenente prompt e risposte aziendali.
Un’impostazione simile è già visibile nelle modalità di distribuzione attraverso provider cloud esterni. Quando alcuni modelli Claude vengono utilizzati tramite Amazon Bedrock o Google Cloud Agent Platform, i dati necessari alla retention possono rimanere nell’ambiente del cloud provider del cliente. Per le organizzazioni configurate con zero data retention, l’accesso ai Covered Models richiede invece l’attivazione della conservazione nel workspace o nell’ambiente specifico utilizzato per quei modelli, mentre gli altri workspace possono continuare a mantenere la configurazione ZDR.
Anthropic permette quindi di separare le due modalità all’interno della stessa organizzazione. Un’impresa può mantenere zero data retention per i modelli e i workload che non richiedono conservazione e attivare una finestra di 30 giorni soltanto negli ambienti destinati ai modelli coperti dalle nuove regole. La scelta introduce però una distinzione tecnica importante: non basta più sapere se un contratto enterprise prevede ZDR, perché il trattamento effettivo dei dati dipende anche dal modello utilizzato, dalla funzionalità richiesta e dal canale attraverso il quale il modello viene distribuito.
Anche OpenAI mantiene una distinzione analoga tra endpoint e funzionalità. Alcune API sono compatibili con Zero Data Retention, mentre servizi che necessitano di memorizzare stato applicativo possono avere regole differenti. La Responses API, per esempio, normalmente può conservare lo stato delle risposte, ma nelle organizzazioni ZDR il parametro relativo alla memorizzazione viene forzato su false. Altre capacità, tra cui alcune modalità di esecuzione in background o strumenti che richiedono stato persistente, non sono invece completamente compatibili con la configurazione.
Le due aziende stanno quindi cercando di risolvere lo stesso problema con architetture differenti. OpenAI punta a separare il monitoraggio della sicurezza dal contenuto integrale delle conversazioni attraverso Private Safety Processing, mentre Anthropic considera necessaria una finestra temporanea di osservazione delle interazioni per i modelli più potenti e sta cercando di spostare la relativa conservazione verso infrastrutture controllate direttamente dai clienti.
Per le implementazioni enterprise, zero data retention diventa così una proprietà che deve essere verificata a livello di modello, API, funzionalità e infrastruttura e non soltanto una clausola generale del contratto. L’utilizzo di strumenti stateful, agenti, sistemi di esecuzione del codice o modelli sottoposti a controlli di sicurezza rafforzati può modificare concretamente il regime di conservazione applicato alla singola richiesta, anche all’interno di organizzazioni che hanno formalmente adottato una configurazione ZDR.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)