Andy Yen, cofondatore e CEO di Proton, sostiene che intelligenza artificiale e privacy possano convivere. Lumo, l’assistente AI di Proton, mostra però quanto sia importante separare quattro piani diversi: i dati conservati, le chat salvate, l’uso delle conversazioni per addestrare i modelli e ciò che accade mentre una richiesta viene elaborata dalle GPU. La privacy, qui, non è un interruttore. È una pila di protezioni: se manca uno strato, la promessa complessiva cambia.
La scommessa di Proton sull’IA privata
Proton ha lanciato Lumo il 23 luglio 2025 come assistente AI orientato alla privacy. La scelta riflette la posizione di Andy Yen: l’IA è ormai troppo utile per essere semplicemente rifiutata, quindi la sfida consiste nel costruire servizi che raccolgano e conservino il meno possibile.
Proton nasce dall’esperienza di scienziati che lavoravano al CERN e ha costruito la propria identità attorno a servizi come Proton Mail, Proton VPN, Proton Drive e Proton Pass. Con Lumo prova a portare la stessa idea nel campo dei chatbot: non promettere magia, ma ridurre il più possibile la fiducia richiesta all’utente.
È un obiettivo sensato. Ma “privacy” può indicare cose molto diverse. Non conservare una conversazione, cifrare una chat già salvata, non usare i messaggi per addestrare un modello e impedire al fornitore di vedere i dati durante l’inferenza sono obiettivi distinti. Confonderli produce una sicurezza raccontata bene e capita male.
Le promesse pubbliche di Lumo
Secondo Proton, Lumo non conserva sui server i log delle conversazioni e non usa le conversazioni o gli input degli utenti per addestrare i propri modelli linguistici. Le chat salvate sono protette da cifratura zero-access: in questo schema, Proton afferma di non poterle leggere.
Lumo elabora le richieste nei data center europei di Proton e utilizza modelli open source. La ricerca sul web è facoltativa, mentre Proton afferma che i file caricati per l’analisi non vengono conservati dopo l’elaborazione. Per gli utenti autenticati esiste anche la modalità ghost, nella quale la conversazione corrente scompare dopo la chiusura.
Queste promesse rispondono a domande importanti:
- Quanto resta archiviato? Proton afferma che non vengono conservati log server-side delle conversazioni.
- Chi può leggere una chat salvata? Proton descrive le chat salvate come protette da cifratura zero-access.
- Le conversazioni finiscono nell’addestramento? Proton afferma di non usarle per addestrare i modelli.
- La ricerca web è sempre attiva? No: è opzionale e viene attivata dall’utente.
La distinzione essenziale è questa: una policy di conservazione dice come il servizio tratta i dati; la cifratura di una chat salvata protegge i dati archiviati. Nessuna delle due frasi descrive, da sola, ogni passaggio dell’elaborazione di una richiesta in tempo reale.
Il confine dell’inferenza GPU
Quando invii una richiesta a un servizio cloud, il testo deve essere elaborato da infrastrutture di calcolo. Nel caso dei modelli linguistici, questo significa GPU o sistemi equivalenti. La domanda diventa allora più precisa: i dati sono protetti solo prima e dopo l’elaborazione, oppure anche mentre il modello li sta usando?
Durante un’intervista, Andy Yen ha detto che l’infrastruttura per una protezione crittografica più forte di Lumo era in gran parte pronta, ma che mancava ancora l’interfaccia con le GPU. La dichiarazione descriveva lo stato del progetto in quel momento; non autorizza a trattare quel livello come completato oggi.
È il passaggio più delicato dell’intera promessa. La cifratura zero-access delle chat salvate non è automaticamente cifratura end-to-end durante l’inferenza. Sono due problemi tecnici diversi, con due momenti diversi del ciclo di vita dei dati.
Il keynote di Andy Yen sull’IA e la privacy presenta la posizione di Proton e i principi dichiarati per Lumo. È utile per capire l’architettura che l’azienda vuole offrire, ma va letto come una presentazione del suo approccio, non come dimostrazione indipendente di ogni garanzia.
Il limite che nessuna cifratura può risolvere
C’è poi un rischio che non riguarda direttamente i server di Proton: quello degli agenti AI con permessi troppo ampi.
Andy Yen ha osservato che anche la cifratura più forte non può impedire a un agente di divulgare informazioni se l’utente gli concede accesso al dispositivo o agli account e l’agente usa quell’accesso in modo improprio. È una distinzione fondamentale: proteggere i dati quando sono archiviati non significa controllare ogni azione di un software autorizzato a leggerli.
Per questo un agente collegato alla posta, ai file personali o alle credenziali può creare un rischio anche dentro un ecosistema progettato con buone protezioni. Il problema non è soltanto dove vengono elaborati i dati, ma anche quali dati l’agente può leggere e quali azioni può compiere.
IA cloud, IA locale e confine della fiducia
L’IA locale è spesso la risposta più convincente quando il materiale è molto sensibile: se il modello gira sul proprio dispositivo, il testo può restare fuori dai server di un fornitore esterno. Andy Yen la considera una prospettiva sempre più concreta, perché telefoni e computer offrono più capacità di calcolo e modelli più piccoli possono diventare utili.
Ma “locale” non significa automaticamente “privato”. Restano da proteggere il dispositivo, il sistema operativo, la rete, i file dei modelli e le applicazioni collegate. Un malware o un agente con permessi eccessivi può esporre dati anche quando l’inferenza avviene in casa, non nel cloud.
La scelta pratica è quindi graduale:
- Per i dati altamente sensibili, preferisci l’elaborazione locale quando è realmente gestibile.
- Se usi un servizio cloud, invia il minimo indispensabile. Rimuovi password, chiavi API, documenti integrali e altri segreti.
- Controlla le regole su conservazione e addestramento. Non trattare una promessa generica di privacy come se coprisse automaticamente ogni fase tecnica.
- Limita i permessi degli agenti. Un assistente che non può leggere tutto o pubblicare ovunque offre una superficie di rischio più piccola.
- Separa le credenziali dalle conversazioni. Non mettere segreti direttamente nel contesto di un agente quando puoi usare strumenti o autorizzazioni controllate.
Perché la domanda di privacy supera gli schieramenti
Yen ha raccontato che Proton ha osservato aumenti della domanda sia durante l’amministrazione di Donald Trump sia durante quella di Joe Biden. La sua lettura è che la privacy non appartenga a un solo schieramento politico: dipende dalla fiducia che una persona ripone nelle istituzioni e dalla possibilità che regole e poteri cambino nel tempo.
È un argomento che si collega bene all’IA. Un dato innocuo oggi può diventare delicato domani, quando cambia il contesto, il titolare del servizio o l’uso consentito. La protezione non dovrebbe dipendere soltanto dall’idea che l’attuale gestore sia benevolo.
La regola pratica per gli utenti
IA e privacy possono convivere, ma non perché basta applicare l’etichetta “privata” a un chatbot. Lumo mette sul tavolo promesse precise su log, chat salvate, addestramento, ricerca web e infrastruttura europea. Sono elementi utili da valutare, non un lasciapassare per inviare qualsiasi cosa.
La domanda corretta non è soltanto “Lumo è privato?”. È: quale dato sto inviando, quanto a lungo può restare, chi può usarlo durante l’inferenza e quali permessi ho concesso all’agente?
Andy Yen ha ragione sul punto di principio: un’IA rispettosa della privacy è tecnicamente possibile. Ma il caso Lumo ricorda anche la parte meno seducente — e più importante — della storia: la fiducia va scomposta in livelli. Conservazione, cifratura delle chat, inferenza GPU e accesso degli agenti non sono sinonimi. Se vuoi proteggere davvero le tue informazioni, devi valutarli uno per uno.
