Una ricerca di ETH Zürich e Anthropic pubblicata nel febbraio 2026 mette in discussione una delle assunzioni più comode della data governance: che togliere i nomi equivalga, nella pratica, a rendere una persona non identificabile.

Nel lavoro Large-scale online deanonymization with LLMs, i ricercatori mostrano che gli LLM possono collegare identità pseudonime attraverso testo non strutturato, utilizzando una pipeline che estrae caratteristiche identificative, cerca candidati semanticamente simili e poi usa il reasoning del modello per verificare le corrispondenze.

In determinati esperimenti, il sistema raggiunge fino al 68% di recall con il 90% di precisione, contro risultati prossimi allo zero per i migliori metodi classici confrontati. Non significa che il 68% degli utenti Internet possa essere identificato. Significa qualcosa di più interessante: il costo computazionale della deanonymization di grandi quantità di testo è drasticamente diminuito.

È qui che il concetto di practical obscurity diventa problematico.

Per molto tempo abbiamo considerato ragionevolmente protetto ciò che poteva essere identificato soltanto attraverso un lavoro investigativo lungo, costoso e manuale. La re-identificazione poteva essere teoricamente possibile, ma il costo la rendeva poco praticabile.

L’AI sta cambiando proprio quel rapporto tra possibilità e costo.

Il dato interessante non è quindi soltanto che un modello possa riconoscere una persona. È che può farlo combinando migliaia di piccoli segnali che, presi singolarmente, sembrano innocui: professione, città, interessi, stile linguistico, esperienze personali, riferimenti temporali, comunità frequentate. La singola informazione è debole. La correlazione tra informazioni è il vero identificatore.

Questo ha conseguenze dirette sulla governance dei dati.

Una classificazione come “anonymous”, “de-identified” o “pseudonymised” non dovrebbe essere considerata una proprietà eterna del dataset. È una valutazione relativa alle capacità disponibili, al modello di minaccia e al costo necessario per tentare la re-identificazione.

Quando cambia la tecnologia, deve cambiare anche la valutazione del rischio.

Il problema diventa ancora più serio quando la stessa capacità viene introdotta dentro le organizzazioni. Un AI agent che può interrogare documenti, database, CRM, sistemi HR, cartelle cliniche o archivi finanziari non deve necessariamente ricevere un campo chiamato “nome e cognome” per ricostruire un’identità. Può inferirla.

Questo sposta il problema dalla semplice protezione del dato alla governance del comportamento dell’agente.

Chi può interrogare cosa? Quali inferenze può produrre? Quali dataset può correlare? Quando un’inferenza diventa un dato personale? Quale evidenza rimane dopo l’azione? E soprattutto, possiamo dimostrare a un auditor non soltanto quali dati erano accessibili all’agente, ma quali correlazioni ha effettivamente costruito?

È questo il problema che Beatrix Daros affronto con l’Agentic RAI Blueprint: portare la responsabilità dell’AI dal documento statico al runtime, collegando policy, autorizzazioni, comportamento dell’agente e audit trail.

La compliance tradizionale tende a fotografare il sistema.

L’AI agentico è un sistema che si muove.

Una fotografia scattata prima dell’esecuzione non dimostra cosa sia successo durante l’esecuzione.

La domanda che un’organizzazione regolamentata dovrebbe quindi saper affrontare non è più soltanto: “Questo dataset è anonimizzato?”

La domanda più difficile è: “Possiamo dimostrare che il nostro sistema AI non abbia ricostruito ciò che avevamo dichiarato non identificabile?”

di Beatrix Daros