I nostri dati biometrici valgono solo pochi $

Quando i nostri dati biometrici valgono solo una manciata di dollari

Condividi questo articolo

Tools for Humanity, azienda fondata da Sam Altman di OpenAI, ha recentemente lanciato il servizio World ID che si prefigge di identificare univocamente l’utente sul Web3 tramite il riconoscimento della sua iride. Ma i problemi di riservatezza non mancano

Pubblicato il 18 Ago 2023

Elio Franco

Avvocato, Founder presso Franco, Pirro & Partners

Nelle migliori intenzioni della compagnia, ciò permetterebbe di garantire che la distribuzione della sua criptovaluta Worldcoin possa avvenire solo una volta per soggetto, ma, a quanto pare, la raccolta dei dati biometrici per allenare l’algoritmo di riconoscimento è costellata da diversi problemi di privacy.

Indice degli argomenti

Cos’è Worldcoin…

Nelle intenzioni dei suoi fondatori, tra cui spicca anche Sam Altman, attualmente alla guida di OpenAI, Worldcoin è un progetto che mira a distribuire gratuitamente una nuova criptovaluta a ogni persona sulla Terra, con l’obiettivo di creare una valuta digitale globale e inclusiva che, di fatto, si propone come un vero e proprio reddito di base universale.

WHITEPAPER

Sei sicuro della conformità ESG dei tuoi prodotti? Elimina ogni dubbio scaricando l'eBook!

Contract Management

Privacy/Compliance

Inizio modulo

Leggi l'informativa sulla privacy

Acconsento alla comunicazione dei dati a terzi appartenenti ai seguenti settori merceologici: servizi (tra cui ICT/digitali), manifatturiero, commercio, pubblica amministrazione. I dati verranno trattati per finalità di marketing tramite modalità automatizzate e tradizionali di contatto (il tutto come specificato nell’informativa)

Fine modulo

Infatti, come ha sottolineato lo stesso Altman in più di un’occasione, con Worldcoin possono essere superate le disuguaglianze tipiche delle altre criptovalute, come, ad esempio, il fatto che gli early adopters possano arricchirsi più velocemente rispetto a coloro che entrano nel circuito in seguito.

Usando Worldcoin, invece, ogni utente riceve la stessa quantità di token nel momento in cui decide di aderire al circuito e può riceverla una ed una sola volta, dato che è identificato univocamente con il World ID.

… e il World ID

Il World ID è un sistema di identificazione unico basato sul riconoscimento dell’iride, una parte dell’occhio che è unica per ogni individuo e rimane costante nel corso della sua vita.

Tra l’altro, a differenza di altre caratteristiche biometriche come le impronte digitali, è quasi impossibile da duplicare o da falsificare, rendendola così lo strumento più sicuro per evitare che la criptovaluta possa essere distribuita più volte ad uno stesso soggetto.

Criptovalute e Sybil Attack

Dunque, l’uso del World ID, sempre secondo quanto sostenuto da Tools For Humanity, può risolvere alla base uno dei principali problemi del mondo crypto e, cioè, il cosiddetto Sybil Attack.

Un “Sybil attack” è un tipo di attacco in cui un singolo avversario controlla molti pseudonimi o identità e le usa per compromettere il funzionamento di un sistema di rete. Il nome “Sybil” deriva da un libro del 1973 intitolato “Sybil”, che racconta la storia di una donna con un disturbo di personalità multipla.

Ad esempio, basti pensare ai sistemi di votazione elettronica: se l’attaccante può creare un gran numero di false identità, può influenzare concretamente il risultato della votazione.

Ancora, nelle reti blockchain che usano algoritmi di consenso proof-of-stake o simili, un attaccante potrebbe cercare di controllare una porzione significativa della rete creando identità false, minacciando l’integrità e la sicurezza del sistema.

I dati biometrici raccolti secondo Worldcoin

Il World ID viene creato attraverso l’utilizzo di un dispositivo chiamato “Orb”. Si tratta di un dispositivo sferico progettato per scansionare l’iride delle persone. L’Orb è quindi la componente chiave per la registrazione degli utenti al servizio Worldcoin.

Sul suo sito web, l’azienda ha condiviso la struttura interna dell’Orb che, di fatto, si può riassumere brevemente come un sistema di specchi, di cui uno controllato da un gimbal 2D, e di lenti che sono deputati a raccogliere l’immagine dell’iride del soggetto.

Dunque, sembrerebbe che l’Orb raccolga solo ed esclusivamente l’immagine dell’iride che, poi, viene rielaborata e trasformata in un hash, con un algoritmo proprietario che, a detta di Tools For Humanity, rende impossibile risalire all’immagine da cui deriva.

Dunque, chi mai dovesse entrare in possesso dell’impronta (che l’azienda chiama commercialmente IrisHash), viene salvata all’interno del dispositivo. L’hash non viene mai condiviso, ma solo utilizzato per verificare se l’utente si è già registrato al servizio oppure no: per far ciò, il dispositivo comunica con i server di Worldcoin utilizzando un algoritmo crittografico zero-knowledge proof.

Insomma, se nel mondo crypto si abbandona sempre più il concetto di proof-of-stake per abbracciare quello di proof-of-work, per Worldcoin il futuro è la proof-of-personhood.

Verificata l’identità del soggetto, l’IrisHash viene caricato sui server di Worldcoin e cancellato dal dispositivo.

I dati biometrici effettivamente raccolti secondo il MIT

Lo scorso anno, la più che nota rivista MIT Technology Review ha condotto un’inchiesta su Worldcoin, tentando di comprenderne meglio non solo il mero funzionamento tecnico, ma anche quali dati biometrici fossero effettivamente raccolti e se questi fossero trattati con tutte le cautele del caso.

Senza approfondire l’inchiesta (che, comunque, potete leggere qui: qui, MIT-TR ha scoperto che gli Orb non raccoglievano solo le immagini dell’iride dei soggetti che si sono sottoposti volontariamente alla scansione, ma anche altri dati, quali il corpo, il volto e gli occhi del soggetto stesso. Addirittura, una prima versione dell’informativa privacy avvertiva gli utenti che potevano essere rilevati anche i loro segni vitali, cosa che, comunque, Worldcoin non ha mai eseguito.

Le implicazioni per la privacy

Al termine dell’accennata inchiesta, MIT Technology Review aveva sollevato parecchi dubbi sul trattamento dei dati personali da parte di Tools For Humanity.

Secondo quanto riportato dalla rivista, le scansioni erano retribuite con il pagamento di un importo che, nel massimo, poteva arrivare all’equivalente di 25 dollari, seppur corrisposto nella criptovaluta creata dall’azienda.

Buona parte delle rilevazioni, peraltro, erano state eseguite in paesi in via di sviluppo, in cui, ovviamente, la legislazione a tutela della privacy dei cittadini (o dei consumatori, come piace agli USA) non è così complessa come in occidente.

Anche le informative somministrate ai soggetti che hanno prestato il loro consenso non erano complete, sia perché erano carenti di alcuni elementi che il GDPR impone di inserire (come, ad esempio, le modalità di esercizio dei diritti degli interessati), sia perché non era chiaro se i dati raccolti dall’Orb potessero essere utilizzati per allenare l’algoritmo di machine learning alla base dell’IrisHash o, ancora, se questi potessero essere utilizzati in futuro per altre finalità.

Ciò che sconvolge è che, a distanza di più di un anno e mezzo dall’inchiesta, Tools For Humanity si è solo parzialmente adeguata ai rilievi mossi dalla rivista, correggendo le proprie informative e adeguandosi solo formalmente al GDPR (aggiornando le informative, nominando un DPO e eseguendo una DPIA), visto che le informazioni più rilevanti non sono mai state rese pubbliche.

L’azienda, infatti, si trincera tutt’ora dietro comunicati che non chiariscono l’ulteriore uso dei dati biometrici e se questi sono pure sfruttati per allenare i propri modelli di intelligenza artificiale, con particolare riguardo a quelli raccolti nella prima fase di test.

Tools For Humanity s’è limitata solo a rendere pubblico il codice sorgente dei propri algoritmi, rendendosi disponibile a collaborare con i governi di tutto il mondo per risolvere i problemi relativi alla privacy. Tale atteggiamento non è di certo sfuggito al Garante tedesco e a quello inglese, così come all’esecutivo francese, che hanno aperto tutti una inchiesta sull’azienda. Non ultimo, il Garante keniota ha persino bloccato la sperimentazione di Worldcoin nel suo paese.

Distopia reale

Edward Snowden, in un thread su X (per chi avesse la curiosità di leggerlo è disponibile qui: https://twitter.com/Snowden/status/1451990496537088000?s=20), aveva messo in guardia già dal 2021 sull’uso dei dati biometrici, seppur per prevenire le frodi, visto che “il corpo umano non è un biglietto da visita”.

Effettivamente, l’invasività del trattamento dei dati biometrici eseguita da Tools For Humanity, anche in spregio alle più comuni ed elementari norme di tutela dei dati personali attualmente vigenti, dovrebbe far riflettere sul fatto che la biometria dovrebbe essere evitata quasi sempre: ci sono, infatti, alternative ad essa altrettanto valide e che non invadono la riservatezza degli individui.

Nel mondo ipotizzato da Tools For Humanity e Sam Altman, v’è il concreto rischio di essere tutti quanti schedati per le proprie caratteristiche morfologiche in cambio di qualche spicciolo. E dubito che chiunque fra noi sia disposto a rinunciare alla propria libertà a fronte della promessa di un reddito universale che, seppur nelle migliori intenzioni della compagnia potrebbe ridurre il gap di ricchezza fra Paesi, dall’altro lato non terrebbe nemmeno conto della diversità di ogni individuo, delle sue capacità e delle sue aspirazioni, eliminando con un colpo di spugna il merito e le capacità di ciascuno di noi dall’equazione sociale. Ma questa, forse, è un’altra storia.