Google prova a spostare il baricentro del confronto con Bruxelles dalla concorrenza alla sicurezza. La Commissione europea sta preparando nuove misure per ridurre il peso della società nei mercati digitali, con un pacchetto che potrebbe imporre ad Android maggiore apertura verso servizi rivali e obbligare il gruppo a condividere dati di ricerca anonimizzati con altre aziende.
Il punto più sensibile riguarda Android e l’integrazione di Gemini. I regolatori vogliono evitare che l’assistente AI di Google resti l’unico servizio integrato a livello di sistema sui dispositivi Android, aprendo la strada a modelli concorrenti con accessi simili. Heather Adkins, vicepresidente della security engineering di Google, sostiene che una misura applicata nei termini oggi descritti potrebbe produrre in poche settimane un aumento significativo delle frodi nell’Unione europea.
Il timore dell’azienda è che l’accesso profondo oggi riservato a Gemini diventi una nuova superficie d’attacco. Il servizio può interagire con file dell’utente, contenuti dello schermo e funzioni vocali avanzate: capacità utili per un assistente integrato, ma delicate se concesse a strumenti non controllati con lo stesso livello di garanzie. Nella lettura di Google, attori malevoli potrebbero sfruttare la nuova apertura per distribuire servizi di AI manipolativi, in grado di sottrarre dati o alterare l’esperienza dell’utente.
L’altro fronte è ancora più vicino al cuore del business: la condivisione di dati di ricerca anonimizzati. La bozza europea prevede che Google metta a disposizione dei concorrenti informazioni simili a quelle visibili internamente, inclusi contenuti delle query, ranking e tassi di clic. Sono dati centrali per il funzionamento della ricerca e, secondo l’azienda, non sono mai stati condivisi prima con questo livello di granularità.
Adkins ha sintetizzato il problema in termini tecnici: l’anonimizzazione è difficile e richiede competenze specialistiche per essere progettata correttamente. Google sostiene che la disponibilità di modelli AI sempre più potenti renda più semplice collegare insiemi di dati apparentemente anonimi a persone reali. I team interni di sicurezza avrebbero dimostrato di poter associare dati anonimi di ricerca a singoli utenti in appena due ore attraverso i cosiddetti linkage attacks.
Il paradosso è evidente. Google usa regolarmente dati aggregati e anonimizzati nei propri servizi, dalle ricerche alla posizione, dalla pubblicità all’uso delle app, spiegando che tecniche come aggregazione per gruppi, combinazione di query e aggiunta di rumore casuale proteggono l’identità degli utenti. Quando però quegli stessi principi vengono applicati a una condivisione imposta con i concorrenti, l’azienda parla di un rischio non sostenibile per la privacy.
Bruxelles si muove nel perimetro del Digital Markets Act, che identifica Google, Meta, Amazon e altri grandi gruppi tecnologici come gatekeeper soggetti a obblighi aggiuntivi. Google ha contestato apertamente il DMA e ha chiesto una revisione della legge. La posizione dell’azienda è inevitabilmente intrecciata al suo peso di mercato, soprattutto nella ricerca web, dove detiene oltre il 90 percento delle quote.
La Commissione dovrà quindi definire rimedi capaci di aprire il mercato senza trasformare dati e accessi di sistema in un punto debole per utenti e imprese. Il periodo per i commenti si è chiuso il 1 maggio e la decisione finale è attesa per il 27 luglio. Fino ad allora restano da chiarire il perimetro dell’accesso AI, il livello di dettaglio dei dati condivisi e le garanzie tecniche che renderanno vincolanti le nuove regole per Google.