Local Is Not a Sufficient Privacy Boundary: Governing OS-Integrated On-Device AI

Sintesi Tecnica: Il Locale non è un Confine di Privacy Sufficiente: Governare l'IA Integrata nel Sistema Operativo (OS)

Definizione del Problema
L'integrazione dei sistemi di IA direttamente nei sistemi operativi (OS) altera fondamentalmente il panorama della privacy. Mentre le narrazioni pubbliche e industriali spesso trattano l' "esecuzione on-device" (sul dispositivo) come una garanzia di privacy sufficiente, questo documento sostiene che l'inferenza locale affronta solo la posizione del calcolo, non l'ambito del rischio per la privacy. Nelle implementazioni integrate nel sistema operativo, l'unità di analisi rilevante si sposta dai confini isolati delle singole applicazioni a uno strato di mediazione a livello di piattaforma. Questo strato può accedere, combinare e agire su segnali provenienti dall'intero ambiente del dispositivo dell'utente (file, email, calendari, sensori).

Il problema centrale è che l'esecuzione locale non limita intrinsecamente:

1. Assemblaggio del Contesto: Quanto contesto il sistema raccoglie o come combina fonti di dati disparate (ad esempio, fondendo metadati del calendario con bozze di documenti).
2. Persistenza dello Stato Derivato: Per quanto tempo le informazioni inferite (embedding, riassunti, fatti) persistono dopo l'interazione.
3. Autorizzazione all'Azione: Quali strumenti l'assistente può invocare o come instrada le richieste.
4. Deriva della Governance: Come le proprietà della privacy cambiano dopo aggiornamenti del sistema, modifiche ai flag delle funzionalità o modifiche alle policy.

Di conseguenza, la privacy in questo contesto non può essere ridotta a un attributo di deployment (locale vs. cloud), ma deve essere trattata come un problema di responsabilità istituzionale che coinvolge flussi di informazioni vincolati, autorità limitata e governance verificabile.

Metodologia
Lo studio impiega una sintesi strutturata limitata e un'analisi di documenti pubblici. Integra cinque filoni di letteratura adiacenti: privacy-by-design, modellazione delle minacce alla privacy, sistemi di permessi per dispositivi mobili/OS, governance/audit dell'IA e sicurezza degli agenti LLM.

Gli autori identificano sei "superfici di mediazione" come categorie sensibilizzanti: assemblaggio del contesto, persistenza della memoria, azione delegata, telemetria, instradamento di fallback e cambiamento post-deployment. Questi concetti sono mappati su quattro elementi (asset, confine di fiducia, modalità di guasto, controllo) per costruire un framework.

La metodologia include:

1. Modellazione delle Minacce: Definizione di un fornitore di piattaforma semi-affidabile e identificazione dei modi di guasto oltre gli attacchi espliciti (ad esempio, opacità, deriva istituzionale).
2. Tipologia delle Funzionalità: Distinzione tra cinque tipi di funzionalità (API per modelli locali, Indice Semantico Ambientale, Strato Assistente/Strumenti, Fallback Cloud-Privato, Acquisizione Gestita dall'Enterprise) per garantire confini di valutazione precisi.
3. Valutazione Basata su Documenti: Applicazione di una rubrica di audit a quattro livelli alla documentazione pubblica di tre piattaforme contemporanee: Apple Intelligence/Foundation Models, Android AICore/Gemini Nano e Microsoft Recall. La valutazione si concentra su prove pubbliche ispezionabili piuttosto che sulla verifica dell'implementazione.

Contributi Chiave
Il documento fornisce quattro contributi primari:

1. Modello di Minaccia Centrato sul Sistema Operativo: Un modello focalizzato sui danni alla privacy emergenti dall'accesso al contesto, dalla memoria, dall'invocazione di strumenti, dalla telemetria, dal comportamento di fallback e dalla governance del rilascio. Tratta il fornitore della piattaforma come un attore semi-affidabile i cui default e processi di aggiornamento sono soggetti legittimi di audit.
2. Tassonomia del Rischio della Privacy in Sei Parti: Una sequenza ciclica di rischi dove l'IA locale può comunque diventare invasiva:
   • Espansione dell'Accesso: Allargamento dello scope di input attraverso applicazioni isolate.
   • Assemblaggio e Collasso del Contesto: Combinazione di contesti personali e professionali, violando l'integrità contestuale.
   • Amplificazione dell'Inferenza: Derivazione di tratti sensibili da frammenti banali.
   • Persistenza e Uso Secondario: Ritenzione degli stati derivati (embedding, riassunti), consentendo future violazioni o riutilizzo.
   • Divulgazione Azionabile: Esposizione di inferenze sensibili al momento sbagliato o alla parte sbagliata tramite azioni degli strumenti.
   • Deriva della Governance: Perdita di ricorso per l'utente a causa di aggiornamenti o modifiche delle policy.
3. Framework di Privacy-by-Architecture: Un framework di controllo a strati che mappa i rischi su punti di enforcement:
   • Broker del Contesto: Decide l'eleggibilità della fonte in base al compito, alla sensibilità e alla provenienza prima del recupero.
   • Gestore della Memoria: Distingue tra prompt transitori e memoria duratura, imponendo il collegamento alla fonte e la propagazione della cancellazione.
   • Broker di Strumenti e Fallback: Media le azioni in uscita e l'instradamento remoto, richiedendo controlli di provenienza e bloccando le divulgazioni fuori ambito.
   • Governance del Rilascio: Garantisce la responsabilità attraverso log di audit, test di regressione e percorsi di rollback dopo gli aggiornamenti.
4. Rubrica di Audit a Quattro Livelli: Un sistema di punteggio (da 0: Assente a 3: Robusto) per valutare le affermazioni sulla privacy basandosi su prove concrete (ad esempio, mappe dei flussi di dati, manifesti di contesto, log di diniego) piuttosto che su dichiarazioni di policy. Distingue tra affermazioni nominali e controlli operativi.

Risultati
L'applicazione della rubrica alla documentazione di Apple, Android e Microsoft rivela diverse scoperte critiche:

• Le Affermazioni di Località dipendono dai Confini: Le affermazioni di esecuzione locale sono più forti per le API orientate alle applicazioni (ad esempio, Android AICore) ma più deboli per i sistemi di cattura ambientale (ad esempio, Microsoft Recall) dove l'archiviazione locale crea distinti rischi di ritenzione e forensi.
• Gli Indici Persistenti Creano Nuove Superfici: Gli indici locali (come Recall) sollevano questioni di privacy riguardanti la ritenzione, l'accesso da parte di altri utenti e la governance aziendale che sono distinte dall'inferenza del modello.
• La Trasparenza del Fallback è un Controllo di Governance: Sebbene esista la reportistica su Private Cloud Compute (PCC), un punteggio robusto richiede la provenienza della fonte ispezionabile e regole di blocco, non solo log di instradamento.
• Spostamento della Responsabilità: Le API locali rivolte agli sviluppatori spostano la responsabilità a valle; l'isolamento della piattaforma può essere forte, ma la limitazione dello scopo a livello di applicazione e il ricorso dell'utente rimangono spesso non documentati o deboli.

Il confronto evidenzia che "on-device" non è un'architettura monolitica; diversi confini delle funzionalità richiedono diverse prove e controlli.

Significatività
Il documento afferma che la sua significatività risiede nel ricentrare la privacy per l'IA integrata nei sistemi operativi come un problema di governance. Sostiene che trattare il "locale" come una scorciatoia per l'affidabilità rischia di far collassare il discorso sulla privacy in argomenti simbolici sulla posizione del deployment, potenzialmente spostando l'onere della protezione sugli utenti.

Trattando il sistema operativo come un attore di governance, il framework fornisce un meccanismo per:

• Tradurre principi astratti di privacy in controlli tecnici concreti (ad esempio, broker di contesto, gestori di memoria).
• Rendere le affermazioni sulla privacy verificabili e contestabili per ricercatori, regolatori e amministratori aziendali.
• Affrontare le specifiche dinamiche di potere dei fornitori di piattaforme che strutturano ciò a cui le applicazioni possono accedere e come i default modellano l'esperienza dell'utente.

Gli autori sottolineano che una privacy significativa nell'IA on-device dipende da flussi di informazioni vincolati, autorità limitata, controllo visibile per l'utente e governance verificabile durante l'intero ciclo di vita del sistema operativo, piuttosto che semplicemente da dove avviene il calcolo. Il lavoro funge da framework concettuale e valutativo piuttosto che da certificazione di specifiche implementazioni dei vendor.