Avvia una prova

Note operative Osservatorio

Perché le conversazioni condivise di Claude sono finite nei risultati di Google

6 min di lettura

Bacheca pubblica in teca di legno su un muro di mattoni, fogli affissi dietro il vetro, accanto una porta chiusa, in bianco e nero
Un foglio affisso in bacheca è pubblico anche quando non passa nessuno. L’indicizzazione non cambia lo stato del foglio: cambia quanti passano di lì.

Nel fine settimana un post su Reddit ha segnalato una cosa che chiunque poteva verificare in dieci secondi: cercando su Google con l’operatore site:claude.ai/share comparivano conversazioni condivise di Claude. Lunedì 27 luglio 2026 la notizia è stata pubblicata da 404 Media e ripresa da TechCrunch e WIRED, che riferisce risultati analoghi anche su Bing. Fra i contenuti trovati: referti e risultati di studi clinici con i nomi dei pazienti, nomi e numeri di telefono di minori, documenti interni di aziende, valutazioni di dipendenti con dati personali, codice e note di lavoro finiti negli Artifacts pubblici. Nel pomeriggio dello stesso lunedì le stesse ricerche non restituivano più risultati. Non è la prima volta: secondo quanto riferito da Forbes, nel settembre 2025 Google aveva indicizzato «poco meno di 600» conversazioni, poi sparite dai risultati.

La posizione di Anthropic, affidata alla portavoce Amie Rotherham, va riportata per intero: «We give people control over sharing their Claude conversations publicly, and in keeping with our privacy principles, we do not share chat directories or sitemaps with search engines» — diamo alle persone il controllo sulla condivisione pubblica delle loro conversazioni e, in coerenza con i nostri principi di riservatezza, non forniamo ai motori di ricerca elenchi di chat né sitemap. I link, aggiunge, non sono indovinabili né scopribili a meno che non siano le persone stesse a condividerli, e compaiono nei risultati solo se pubblicati in posizioni accessibili ai crawler.

La distinzione che regge tutto il resto

Non erano chat private esposte. Erano conversazioni che qualcuno aveva attivamente condiviso, premendo un pulsante che genera un indirizzo pubblico. Nessuna barriera di sicurezza è stata violata, perché non c’era una barriera di sicurezza: c’era l’aspettativa che un indirizzo pubblico restasse difficile da trovare. L’indicizzazione non ha fatto uscire quei dati. Li ha resi trovabili. Erano già usciti nel momento in cui qualcuno ha premuto «condividi».

La causa tecnica, verificata

Abbiamo controllato di persona oggi, 28 luglio. https://claude.ai/robots.txt contiene, sotto User-Agent: *, la direttiva Disallow: /share/*. Una richiesta a un indirizzo claude.ai/share/<id> risponde con l’intestazione HTTP x-robots-tag: none, che equivale a noindex, nofollow. Il percorso /public/artifacts/ non compare in robots.txt, e le sue risposte non contengono alcuna intestazione x-robots-tag.

Qui sta il difetto, ed è un classico. La documentazione di Google Search Central lo scrive in modo esplicito: perché la regola noindex sia efficace, la pagina «non deve essere bloccata da un file robots.txt» e deve restare accessibile al crawler; se è bloccata, «il crawler non vedrà mai la regola noindex e la pagina può comunque comparire nei risultati di ricerca» — per esempio quando altri siti la collegano. Il Disallow ha impedito al crawler di leggere proprio l’istruzione che gli diceva di non indicizzare. Gli Artifacts pubblici non erano coperti né dall’una né dall’altra.

Che cosa se ne ricava, se comprate tecnologia

L’oscurità non è un controllo. «Non indovinabile» descrive la difficoltà di indovinare un indirizzo, non un permesso. Chi ha il link entra, e il link finisce in una cronologia del browser, in un ticket di assistenza, in una chat di gruppo, in un allegato inoltrato. Vale identico per il documento «riservato» il cui indirizzo circola per posta.

Il controllo sta a monte. La domanda utile non è che cosa venga indicizzato, ma che cosa può uscire. Se il prodotto ha una funzione di condivisione pubblica e voi non potete disattivarla a livello di organizzazione, avete una via d’uscita dei dati che non governate. E che il vostro DLP non vede, perché il traffico va verso un dominio legittimo del fornitore, dentro una sessione autorizzata: è shadow AI con la porta aperta dal prodotto, non dall’utente.

Rimuovere dall’indice non è cancellare. Cache, archivi del web, scraper di terze parti e insiemi di dati già raccolti non tornano indietro. Una deindicizzazione è un ritiro dalla vetrina, non un richiamo del prodotto.

La lezione Disallow ≠ noindex non riguarda solo Anthropic. Vale per ogni portale interno, ambiente di collaudo o area riservata che un’organizzazione crede di «proteggere» bloccando i crawler in robots.txt. Se qualcuno collega quell’indirizzo dall’esterno, finisce nell’indice lo stesso. Robots.txt dice ai crawler dove non andare; non dice ai motori che cosa non pubblicare, e non è mai un controllo di accesso.

Chi risponde. Se in quelle conversazioni finiscono dati sanitari, dati di minori o valutazioni di dipendenti, del trattamento non risponde chi fornisce il modello: risponde l’organizzazione che ha consentito quell’uso senza governarlo. Titolare del trattamento è chi decide finalità e mezzi — e lasciare attiva una funzione di pubblicazione è una scelta sui mezzi. Le misure che rendono difendibile un segreto industriale e la disciplina delle impostazioni predefinite come decisione scritta si applicano qui senza modifiche.

Che cosa pretendere dal fornitore

  1. Disattivazione della condivisione pubblica a livello di tenant, decisa da voi e non aggirabile dal singolo utente.
  2. Registro verificabile di chi ha condiviso che cosa e quando, esportabile e conservato per il tempo che decidete voi.
  3. Garanzia contrattuale che nessun contenuto del cliente sia servito su un dominio pubblico del fornitore.
  4. Revoca effettiva dei link già emessi, con verifica successiva che quell’indirizzo non risponda più — non solo un pulsante nell’interfaccia.
  5. La domanda che smaschera tutto: se domani un vostro dipendente condivide una conversazione con dentro un contratto, chi se ne accorge e in quanto tempo? Se la risposta è «nessuno», il resto sono buone intenzioni.

La superficie che non si governa è quella che non esiste

Un sistema che non sta sul web aperto non ha una superficie di condivisione pubblica da governare, perché non ne ha una. Non c’è un pulsante da disattivare, e non c’è un’intestazione HTTP scritta da qualcun altro su cui riporre fiducia. Per questo consegniamo sempre in due modalità, mai una sola: on-premise dentro l’infrastruttura del cliente, oppure su cloud dedicato CSIDIA — un ambiente riservato al singolo cliente, con accesso via VPN dedicata, data center in Italia e locali che presidiamo direttamente. In entrambe le vie d’uscita dei dati sono un elenco finito, scritto e verificabile, ed è il primo documento del nostro metodo.

Volete sapere da quali vie possono uscire i dati dei vostri strumenti di AI, e chi se ne accorgerebbe? Mezz’ora con un nostro esperto per la prima mappa.

Fonti