Privacy Policy Più Lunghe e Dettagliate? Sì, Grazie agli LLM!

Ammettiamolo, chi legge davvero le informative sulla privacy? Sono quei muri di testo infiniti, scritti in un “legalese” che sembra fatto apposta per non essere capito. E il paradosso è che, nonostante la lunghezza, spesso non ci dicono nemmeno quello che vorremmo sapere davvero. Tipo: “Ehi, app di consegne, esattamente chi saprà che ieri sera ho ordinato sushi vegano mentre ascoltavo musica indie?”. Domanda lecita, no? Eppure, ottenere una risposta chiara oggi è praticamente impossibile.

Le policy attuali sono piene di termini vaghi (“raccogliamo dati sul tuo utilizzo”), elenchi aperti (“come ad esempio”, “incluso”) e non specificano mai chiaramente chi riceve cosa (“condividiamo i tuoi dati con i nostri partner di marketing”). Insomma, anche un esperto con tempo infinito farebbe fatica a capirci qualcosa.

Il Dilemma della Privacy: Troppo Lunghe o Troppo Vaghe?

Parte della colpa, diciamocelo, è delle leggi stesse (come il GDPR in Europa). Chiedono alle aziende di essere contemporaneamente complete (dire tutto su dati, scopi, destinatari) e comprensibili (concise, linguaggio semplice). Un bel rompicapo! Finora, si è sempre pensato che la cosa più importante fosse la comprensibilità, spingendo per testi sempre più corti e semplici. Ma siamo sicuri sia la strada giusta?

Il risultato è che abbiamo policy che, nel tentativo di essere semplici, diventano così generiche da non informare realmente. E se anche fossero dettagliate, chi avrebbe il tempo e la voglia di leggerle?

L’Idea Controintuitiva: Allunghiamo le Policy!

E se vi dicessi che la soluzione, forse un po’ sorprendente, è fare l’esatto contrario? Rendere le informative sulla privacy estremamente dettagliate e complete, anche a costo di farle diventare molto, molto più lunghe. “Ma sei matto?”, potreste pensare. “Già non le legge nessuno!”.

Il punto è che oggi non siamo più soli a doverle leggere. Abbiamo nuovi alleati: i Large Language Models (LLM), come GPT-4 e simili. Questi modelli di intelligenza artificiale sono bravissimi a processare enormi quantità di testo e a estrarre informazioni specifiche.

Immaginate di poter chiedere al vostro smartphone, dopo aver letto una policy (o meglio, dopo che l’ha letta lui per voi): “Riassumimi in 3 punti cosa fanno con la mia geolocalizzazione” oppure “C’è qualche assicurazione che riceve i miei dati?”. Se la policy è scritta in modo chiaro e completo, l’LLM potrebbe darvi risposte precise e su misura per voi.

Mettiamo alla Prova l’AI: L’Esperimento “Orderoo”

Per vedere se questa idea stava in piedi, abbiamo fatto un esperimento. Abbiamo creato una finta informativa sulla privacy per un’app di food delivery immaginaria, “Orderoo Inc.”. Ma l’abbiamo scritta seguendo un nuovo metodo: super dettagliata, senza ambiguità, specificando per ogni singolo tipo di dato (es. “indirizzo email”, “cronologia ordini”, “geolocalizzazione precisa”) esattamente:

• Da dove viene preso (fonte)
• Per quale scopo viene usato (finalità)
• Su quale base legale (es. consenso, contratto)
• Per quanto tempo viene conservato
• Con chi viene condiviso (nome preciso del destinatario)
• Perché viene condiviso con quel destinatario
• Qual è il ruolo del destinatario (titolare, responsabile)

Niente “ad esempio”, niente “potremmo”, solo fatti precisi. Certo, il documento è diventato bello lungo.

Poi abbiamo preso 9 domande tipiche che un utente potrebbe porsi (tipo quelle che ho fatto all’inizio) e le abbiamo date in pasto a due LLM, GPT-4 e Llama2, chiedendo loro di rispondere basandosi *esclusivamente* sulla nostra policy “Orderoo”.

I risultati? Con GPT-4 sono stati sorprendentemente buoni! Ha risposto correttamente e in modo completo a 6 domande su 9, e per le altre 3 ha comunque ottenuto punteggi altissimi (oltre l’85% di precisione e richiamo). Llama2 ha fatto più fatica, ma il punto chiave è emerso: se la policy è ben fatta e completa, l’LLM può diventare il nostro “lettore personale” di fiducia.

La Dura Realtà: Cosa Succede con le Policy Attuali?

Ok, bello l’esperimento con la policy perfetta. Ma cosa succede se chiediamo le stesse cose agli LLM basandoci sulle informative sulla privacy reali di 5 grandi aziende di food delivery (Deliveroo, DoorDash, Glovo, Just Eat, Wolt)?

Un disastro. GPT-4 è riuscito a dare solo 9 risposte corrette su 45 (9 domande x 5 policy). Llama2 ancora peggio, solo 1 su 45. E non è colpa degli LLM! Abbiamo fatto analizzare le stesse policy anche a esperti legali umani: hanno confermato che per la maggior parte delle domande era impossibile dare una risposta certa a causa della vaghezza e delle informazioni mancanti.

Questo dimostra una cosa fondamentale: anche l’AI più avanzata non può inventarsi le informazioni. Se la policy è scritta male o è incompleta, l’LLM non può fare miracoli. Anzi, rischia di dare risposte fuorvianti o incomplete, il che è pure peggio.

Perché Funziona (e Perché Dovremmo Cambiare le Regole)

L’esperimento ci dice che il vero problema non è (solo) la lunghezza o la complessità delle informative, ma il loro contenuto. O meglio, la mancanza di contenuto preciso e completo. Il trade-off tra completezza e comprensibilità, che ci ha tormentato finora, semplicemente non esiste più nel momento in cui possiamo delegare la lettura “pesante” a un LLM.

Per questo, penso che le leggi sulla protezione dei dati dovrebbero cambiare. Dovrebbero imporre alle aziende di fornire informative sulla privacy estremamente dettagliate, chiare e non ambigue. Sì, saranno lunghe, ma non importa più, perché non saremo noi a doverle leggere parola per parola. Potremo interrogarle tramite assistenti AI, ottenendo le risposte che ci servono, quando ci servono.

Non Solo per Noi Utenti: Chi Altro ne Beneficia?

Questa trasparenza forzata non aiuterebbe solo i singoli consumatori. Pensate alle associazioni dei consumatori, ai ricercatori, alle autorità di controllo. Con policy così dettagliate e l’aiuto degli LLM, potrebbero analizzare e confrontare le pratiche delle aziende in modo molto più efficace, scovando più facilmente comportamenti scorretti o poco chiari.

Insomma, stiamo parlando di un potenziale cambio di paradigma. Da documenti inutili e frustranti a fonti di informazione preziose, accessibili grazie alla tecnologia. Certo, la strada è ancora lunga: gli LLM devono migliorare ancora (soprattutto quelli open-source), servono interfacce utente dedicate, e bisogna assicurarsi che le aziende rispettino davvero quanto scrivono.

Ma la direzione mi sembra chiara: smettiamola di chiedere policy più corte e iniziamo a pretendere policy più oneste e complete. Al leggerle, ci penseranno i nostri nuovi amici digitali.

Fonte: Springer