Le identità decentralizzate e la guerra per i nostri dati

Premessa: antiriciclaggio e blockchain

Mi sono occupato di blockchain professionalmente nel 2018, contribuendo a uno dei primi studi italiani sui rischi di riciclaggio insiti nelle criptovalute. 

In occasione della pandemia del 2020, con il team di sviluppatori che avrebbe poi dato vita a Mopso nel 2021, ci siamo occupati di soluzioni tecnologiche per ipotizzare e anticipare quello che sarebbe passato alla storia come Covid pass. Grazie all’incontro con diversi identity provider italiani, abbiamo scoperto il mondo della c.d. Self-Sovereign Identity (SSI): un framework che ci parve adeguato a presidiare sicurezza e privacy, due esigenze fondamentali all’interno dell’ambito sanitario. Poiché molte soluzioni SSI sono basate su blockchain, ho conservato un legame con questo mondo fino a oggi. Naturalmente sapete tutti come andò a finire: il green pass non fu realizzato con tecnologie anti-tampering e finì scansionato nelle chat.

Guerra di dati

Sebbene non sia un amante delle metafore belliche, soprattutto in un periodo di conflitti molto gravi alle porte dell’Europa, credo che quanto stia accadendo nel mondo della Rete sia molto pericoloso per l’autonomia del nostro continente. 

I dati sono centrali per addestrare i modelli di intelligenza artificiale:
non ho le competenze per valutare le problematiche di proprietà intellettuale in cui è recentemente incorsa OpenAI, ma di certo sollevano un interrogativo. 

Con quali dati addestriamo gli LLM, a chi appartengono?

In questa gara di sistemi sempre più performanti, è in vantaggio chi ha avuto anni per accumulare miliardi di informazioni e addestrare i propri modelli di intelligenza artificiale. Parliamo naturalmente delle GAFAM e della forte rendita di posizione di cui si stanno ulteriormente avvantaggiando, mostrandoci che il possesso dei nostri dati personali non è più una semplice questione di “non ho niente da nascondere” ma una sfida geopolitica. Sfida in cui l’Europa parte con un grave ritardo, non avendo dei campioni al momento in grado di competere come motori di ricerca, social network o piattaforme.  

In un’intervista nel podcast di Bill Gates, Sam Altman, fondatore di OpenAI, tra le più importanti realtà dell’intelligenza artificiale, ha raccontato alcuni sviluppi futuri della sua creatura. Li menziono perché molto interessanti rispetto a quanto prospettato:

“La personalizzazione diventerà importante. Le persone vogliono cose molto diverse da ChatGPT. Stili diversi e diversi insiemi di ipotesi. Tutto diventerà possibile.” 

E ancora: “GPT-5 sarà anche in grado di utilizzare i tuoi dati. La capacità di sapere di te, della tua email, del tuo calendario, degli appuntamenti prenotati, della connessione a fonti di dati esterne…”

Da dove raccoglierà i nostri dati GPT-5? Si integrerà con tutti i sistemi che già raccolgono informazioni su di noi? L’ipotesi è al tempo stesso interessante, dal punto di vista di un imprenditore avere simili assistenti virtuali pare davvero utile, e pericolosa: un cattivo uso di informazioni personali può, per esempio, portarci surrettiziamente ad acquistare cose di cui non abbiamo alcun bisogno, a indebitarci, a metterci in difficoltà. 

Come faremo a controllare che l’IA stia raccogliendo le informazioni strettamente necessarie e non, così come è stato finora, tutto ciò a cui può accedere?

Una contromisura nelle identità digitali decentralizzate

Chi ha seguito il dibattito intorno al wallet di identità europeo avrà colto diversi aspetti rilevanti dal punto di vista geopolitico. In primo luogo i wallet nascono con un concetto di privacy-by-design molto solido: rimettono in mano al titolare i propri dati personali.
Mai più dati regalati, pieno controllo del loro uso, nella filosofia del GDPR. 
In secondo luogo, le identità digitali decentralizzate adottano importanti soluzioni dal punto di vista della sicurezza come l’uso di crittografia per emettere e gestire certificati digitali e l’adozione di un codice open source per il wallet. La crittografia serve per garantire la bontà dei dati raccolti sul wallet di identità:
un contrasto alle frodi e un rafforzamento della fiducia nelle interazioni puramente online e digitali. 
La possibilità di avere il codice sorgente pubblico consente un’ampia verifica da parte della comunità informatica al fine di ridurre minacce come gli attacchi zero-day e la presenza di backdoor. 

Posso ora rispondere alla domanda del paragrafo precedente rispetto al controllo nell’uso dei dati: i wallet potranno offrire soluzioni di “selective disclosure”, garantendo che solo le informazioni personali necessarie vengano condivise, addirittura talvolta in forma pseudonima. 

Viene spesso citato come esempio la richiesta di un documento di identità a una giovane cliente di un bar che vuole acquistare dell’alcol:
oggi il barista richiede il documento di identità, dove scopre anche nome e cognome, oltre alla data di nascita. Può approfittare di queste informazioni per cercare la cliente su un social network – ho raccolto molte testimonianze a supporto di uomini non proprio eleganti nel fare ciò. 
Col wallet sarà sufficiente derivare una prova sull’età, e trasmettere l’informazione “sono maggiorenne”, rispettando davvero la privacy della giovane cliente. 

In secondo luogo, ogni volta che una PA o un privato intende chiedere informazioni al vostro wallet, comparirà una finestra (come accade oggi con SPID) in cui verranno specificate le informazioni richieste. Ecco, se provate a confrontare questa tecnologia con quello che oggi un qualunque quotidiano on-line vi chiede quando accettate i cookies, potrete capire che enorme progresso risieda nel wallet e nel modo trasparente con cui vi permetterà di gestire le richieste ai vostri dati personali. 

Il settore finanziario

Il settore bancario e finanziario è sottoposto a crescentirischi di frode: identità sintetiche, documenti rubati sul darkweb, attacchi più o meno sofisticati ai sistemi biometrici.
La battaglia per l’identificazione corretta vale decine di miliardi: quanti finanziamenti oggi spariscono nel nulla perché chi li ha accesi ha usato un’identità rubata? 
Il wallet potrà dare un valido contributo, ma per diventare un’arma vincente dovrà essere impreziosito di diversi attributi della persona. Non solo nome, cognome, luogo e data di nascita, ma informazioni più ampie riguardanti il nostro lavoro, reddito, patrimonio, la situazione familiare. Sono tra i dati più sensibili, perché potrebbero renderci impossibile accedere a servizi centrali per la nostra vita come un mutuo ipotecario. 

Le GAFAM ancora non riescono ad accedere ai nostri redditi e patrimoni: possono inferire l’apparente ricchezza dalle foto che pubblichiamo sui social network ma, ne abbiamo avuto centinaia di esempi, non è difficile acquistare e restituire immediatamente dopo la foto abiti costosi con Yoox o Zalando, viste le loro policy di restituzione molto rapide e vantaggiose. 

Gli usi dei wallet di Apple e Google per i pagamenti sono troppo parziali per dare un ritratto corretto del nostro potere di acquisto: almeno, finora. Dato che anche i giganti citati stanno investendo importanti risorse nel costruire i propri wallet di identità, è importante iniziare il prima possibile un dibattito pubblico su come normare correttamente questa tecnologia. 

Per questo motivo è parere di chi scrive che, all’interno del dibattito legato al Regolamento eIDAS in corso di approvazione formale nelle istituzioni europee, sia necessario discutere anche di come gestire gli attributi diversi dai dati anagrafici. Con questo articolo ho voluto sollevare il tema ma anche attirare l’attenzione di tutti quegli attori privati che potrebbero giovare ampiamente della rivoluzione del wallet: i casi d’uso sono innumerevoli.
Mancano meno di due anni, è il momento giusto per farsi trovare pronti e riflettere correttamente su come preservare degli asset centrali per il futuro del nostro continente.