Divulgazione non autorizzata di oltre 43 milioni di messaggi e circa 600.000 contenuti multimediali, molti dei quali di natura sessuale: è stata questa la conseguenza di una grave esposizione di dati personali riconducibile a due applicazioni di compagnia virtuale, Chattee Chat e GiMe Chat, entrambe sviluppate dalla società hongkonghese Imagime Interactive Limited.

L’infrastruttura di streaming e distribuzione dei contenuti, basata su Apache Kafka, trasmetteva in tempo reale messaggi, immagini e video senza alcuna forma di autenticazione o controllo degli accessi, così chiunque fosse in possesso dell’indirizzo di connessione poteva accedere ai flussi di dati e visualizzare conversazioni tra utenti e istanze di intelligenza artificiale progettate per simulare relazioni affettive.

Il caso Chattee: i dettagli del data breach

L’incidente, scoperto il 28 agosto 2025 e risolto il 19 settembre, è stato causato da una configurazione errata del broker Kafka, un server di streaming dati, privo di autenticazione e restrizioni sugli indirizzi IP.

I log esposti comprendevano anche indirizzi IP, identificatori dei dispositivi e registrazioni di transazioni economiche con spese individuali che in alcuni casi superavano i 18.000 dollari. È stato rilevato che la maggioranza degli utenti risiedeva negli Stati Uniti, ma la portata della violazione è globale.

Il server vulnerabile era inoltre indicizzato da motori di ricerca IoT, elemento che facilitava l’individuazione da parte di attori malevoli e, sebbene non risultino prove di sfruttamento diretto dei dati, la combinazione di informazioni testuali, visive e comportamentali ha esposto gli utenti a rischi concreti di spear phishing, sextortion e danni reputazionali.

La società sviluppatrice aveva dichiarato nei propri Termini di Servizio che la tutela dei dati personali era “di fondamentale importanza”, formula che suona totalmente vuota, visto che l’evidenza tecnica mostra il contrario.

L’intimità come dato e come bene giuridico

In questo caso il dato esposto è molto più che un semplice elemento informativo, ma una traccia identitaria. Ogni messaggio inviato a un assistente conversazionale di tipo “companion” contiene infatti componenti semantiche, emotive e comportamentali che costituiscono una vera e propria profilazione affettiva, molto più precisa di quella derivante dalle ordinarie interazioni digitali.

In questo contesto la privacy va intesa come protezione da un uso improprio dei dati, ma soprattutto come difesa della sfera relazionale mediata da sistemi algoritmici.

Si tratta, di fatto, di una dimensione nuova, che sfugge alle definizioni tradizionali di dato sensibile e si avvicina a ciò che potremmo chiamare “dato esistenziale”, in grado di includere anche espressioni di desideri, vulnerabilità, fantasie e necessità di riconoscimento.

Nel caso in oggetto, il fatto che questa sfera sia stata violata per pura disattenzione rende questa negligenza ancora più grave, perché si trattava di un ambiente in cui l’utente depositava parti intime della propria identità.

Il danno non è soltanto potenziale, in quanto le conversazioni, combinate con gli indirizzi IP e i device ID, possono consentire l’identificazione indiretta delle persone e l’uso dei contenuti per pratiche di sextortion, doxxing o ricatto reputazionale.

Genealogia della fiducia digitale: da Ashley Madison all’AI relazionale

Nel 2015, il leak della piattaforma Ashley Madison aveva già mostrato come il desiderio espresso in un contesto digitale possa trasformarsi in vulnerabilità pubblica. Gli utenti credevano di agire in uno spazio discreto, ma scoprirono presto che la riservatezza promessa era solo un’illusione contrattuale.

L’episodio di Chattee Chat e GiMe Chat appartiene alla stessa genealogia, ma la relazione è cambiata, perché, mentre in Ashley Madison le interazioni si realizzavano tra persone, in questo caso la relazione si instaura tra umano e sistema artificiale e il tradimento è operato da un’infrastruttura, non da un interlocutore reale.

La fiducia, un tempo interpersonale, si è spostata sul piano tecnico e commerciale.

Inoltre, quando il destinatario delle confidenze è un algoritmo, il concetto di consenso si svuota in quanto non esiste reciprocità né comprensione, ma solo archiviazione.

La continuità con il caso Ashley Madison risiede però nel carattere reputazionale del danno, dal momento che ciò che viene violato è l’integrità della persona digitale e non la segretezza dei dati e l’utente è compromesso come individuo che ha manifestato una parte fragile di sé, più che come semplice utente di un servizio. La fuga di dati, in questo contesto, costituisce una violazione di dignità.

La banalità della distopia: Her e la negligenza industriale

Nel film Her (2013), l’intelligenza artificiale “Samantha” rappresentava la possibilità di un’intimità mediata ma comunque assolutamente sincera.

In quel caso l’interazione era costruita sul riconoscimento emotivo, sulla simulazione dell’empatia, sull’illusione di un ascolto autentico.

Dodici anni dopo, la realtà si presenta più prosaica, perché non esiste nessuna superintelligenza, ma esclusivamente un’architettura tecnica gestita con superficialità. Il dato più emblematico è il fatto che la distopia deriva dalla gestione mediocre dell’IA, anziché dall’eccesso di potenza di questa ed è l’errore umano a diventare il punto di cedimento dell’intimità.

L’immaginario di Her si fondava sulla paura di un’IA troppo autonoma, mentre il caso delle chat di compagnia virtuale mostra il rischio opposto, ovverossia quello derivante da sistemi troppo dipendenti da pratiche di sviluppo irresponsabili.

La responsabilità come architettura morale

In ambito giuridico, il principio di accountability previsto dal GDPR impone che chi tratta dati personali sia in grado di dimostrare la conformità al diritto, non essendo sufficiente soltanto dichiararla. Tuttavia, nel contesto delle AI companion, il concetto deve essere ampliato perché la diligenza dovrebbe assumere un ruolo ancora più rilevante in quanto occorre proteggere la fiducia che accompagna i dati.

L’errore di configurazione di un broker Kafka, lungi dall’essere un evento imprevedibile, è una conseguenza diretta di un approccio industriale che privilegia la rapidità del rilascio rispetto alla qualità della sicurezza. Nel lessico dell’ingegneria del software, si parla di security by default e privacy by design; nella pratica, si tratta di principi spesso enunciati ma che raramente trovano applicazione.

L’assenza di autenticazione in un sistema che gestisce dati affettivi costituisce una violazione strutturale del principio di proporzionalità del rischio, dato che il livello di protezione deve essere commisurato alla delicatezza delle informazioni trattate.

Oltre alla responsabilità legale, occorre proteggere la fiducia tecnologica che si fonda su una dimensione etica che precede la norma, con la consapevolezza che ogni architettura digitale ospita parti dell’identità altrui e che, in tale architettura, la sicurezza è una forma di rispetto, oltre che requisito tecnico.

L’economia dell’attaccamento artificiale

I log delle transazioni degli utenti delle piattaforme Chattee Chat e GiMe Chat mostrano che alcuni utenti hanno speso migliaia di dollari in valute virtuali per “sbloccare” funzioni emotive, come risposte più affettuose, interazioni personalizzate, avatar più espressivi. Questo evidenzia come la monetizzazione dell’intimità digitale abbia raggiunto livelli che trasformano il legame affettivo in prodotto computazionale.

La spesa economica è forse l’aspetto più visibile di un meccanismo profondo, cioè la dipendenza affettiva indotta da algoritmi che apprendono le abitudini comunicative dell’utente e modulano la propria disponibilità in base al livello di pagamento.

Questa dinamica solleva questioni che riguardano la tutela della libertà relazionale in ambienti controllati da logiche di mercato.

La pubblicità di Imagime Interactive assicurava agli utenti il trattamento prudente delle loro informazioni personali, mentre è emersa la fragilità di un ecosistema economico costruito sulla la riduzione dell’etica a variabile di costo.

Il vuoto normativo dell’intimità digitale

Il quadro regolatorio europeo, pur robusto, resta parziale: il GDPR tutela la sfera personale, senza però definire una categoria specifica per i dati affettivi o relazionali; l’AI Act introduce il concetto di sistemi ad alto rischio, ma non considera come tali le applicazioni destinate a creare legami emotivi, sebbene si tratti di sistemi in grado di influenzare comportamenti e percezioni.

Per questi motivi, si rende necessaria una riflessione normativa su un nuovo ambito e cioè la tutela dell’intimità digitale, quale concetto che non coincide con la protezione della vita privata ma è piuttosto correlato alla salvaguardia delle interazioni in cui l’utente si espone psicologicamente a un sistema algoritmico.
Le imprese che sviluppano IA conversazionali dovrebbero essere infatti soggette a audit etici periodici, oltre alle verifiche di sicurezza informatica.

Tali controlli dovrebbero includere:

• la valutazione della trasparenza nelle interazioni con l’utente;
• la gestione dei dati affettivi e del loro eventuale utilizzo per fini di marketing;
• l’adeguatezza delle misure tecniche rispetto al contenuto relazionale trattato.

Benessere digitale e obblighi di progettazione responsabile

Le politiche per il benessere digitale, oltre a contemplare la prevenzione dell’abuso di schermi o la moderazione dei contenuti, dovrebbero ormai estendersi alla protezione della salute emotiva negli ambienti dove la simulazione di empatia viene offerta come servizio.

La progettazione di sistemi di compagnia artificiale richiede un approccio multidisciplinare che unisca competenze di sicurezza informatica, psicologia digitale e diritto della persona, dal momento che si tratta di un’architettura che gestisce milioni di confessioni affettive e che, anche per questo, non può essere trattata come una piattaforma di mero intrattenimento.

Occorrerebbe pertanto una regolamentazione che segua criteri analoghi a quelli previsti per i servizi di assistenza psicologica o per i trattamenti di dati biometrici.

La fiducia come infrastruttura

I leak che hanno riguardato Chattee e GiMe sono sintomo di una cultura tecnologica che considera la privacy come un costo secondario. L’accessibilità totale dei sistemi, giustificata dalla comodità dello sviluppo, finisce per produrre vulnerabilità sistemiche.

La fiducia, intesa come predisposizione dell’utente a credere nella discrezione dell’IA, diventa la prima vittima. Per questi motivi, ogni infrastruttura digitale che gestisce forme di intimità dovrebbe essere progettata trattando l’emozione come un dato critico.

Quando la divulgazione può compromettere l’integrità della persona, la differenza tra un dato sanitario e una confidenza affettiva diventa irrilevante.

Dignità, misura della tecnologia

Dal leak di Ashley Madison al sogno digitale di Her, fino all’esposizione di Chattee e Gime Chat, l’evoluzione dell’intimità tecnologica racconta che la fiducia umana è diventata una risorsa informatica, manipolabile e spesso trascurata.

L’etica della progettazione tecnologica consiste nel riconoscere la gravità di ciò che si custodisce, non nel non commettere errori, perché un server senza password è la manifestazione di un vuoto morale, non un dettaglio tecnico.

Il futuro dell’intelligenza artificiale dipenderà dalla capacità di chi la sviluppa di comprendere che la protezione dei dati è una forma di rispetto dell’umano.