Il tuo filtro antispam non legge le tue email. Conta gli indizi.

Google blocca quasi 15 miliardi di messaggi indesiderati al giorno, e lo fa senza nulla che tu riconosceresti come lettura. Nessun modello sta lì seduto a pronunciare le parole del promemoria del tuo dentista. Quell'immagine mentale — un ficcanaso digitale chinato sulla tua inbox, assorbenendo i tuoi segreti — è la paura che la maggior parte delle persone nutre, ed è rivolta al bersaglio sbagliato.

Ecco cosa sta realmente accadendo. Quando un'email colpisce un filtro, il sistema non inizia con la tua prosa. Inizia con l'intestazione. Chi l'ha inviata, e il server di invio ha effettivamente il permesso di usare quel dominio? Sono SPF, DKIM e DMARC — tre controlli che confermano se "billing@yourbank.com" proviene dall'infrastruttura della tua banca o da un server affittato nel seminterrato di qualcuno. Un truffatore può copiare un logo perfettamente e ancora fallire DKIM, e quel singolo mismatch crittografico dice al filtro più di quanto qualsiasi frase nel corpo potrebbe mai fare.

Poi arrivano i segnali più economici. Reputazione del mittente: questo indirizzo IP sta spedendo milioni di messaggi identici? Analisi dei link: il pulsante "clicca qui" punta da qualche parte che il testo visibile non ammette? Età dell'URL, catene di reindirizzamento, tipi di allegati. La maggior parte di un verdetto di spam è decisa prima che il modello pensi seriamente al linguaggio.

Quando il linguaggio entra in gioco, non è comprensione — è matematica. I filtri vecchio stile usavano classificatori bayesiani, l'approccio che Paul Graham ha popularizzato nel suo saggio del 2002 "A Plan for Spam", che assegnava ai messaggi la probabilità che certe parole apparissero in posta indesiderata rispetto a posta reale. La parola "Viagra" aveva un numero. I sistemi moderni vanno oltre con modelli basati su transformer che trasformano il testo in embeddings — lunghe liste di numeri che catturano il significato senza immagazzinare il significato come parole. Per il classificatore, la tua email non è una storia. È un punto in uno spazio ad alta dimensionalità, e la domanda è se quel punto si trovi vicino al cluster etichettato "phishing".

Questa distinzione è importante, perché "l'IA vede le mie parole" e "l'IA converte le mie parole in un vettore e lo confronta con un modello di frode" non sono lo stesso evento di privacy. Uno suona come intercettazione. L'altro è più vicino a un metal detector: reagisce a una firma, non a una confessione.

Quindi la vera domanda non è se un modello tocca il tuo testo. Certo che lo fa — è il lavoro. La domanda è duplice, ed è dove dovresti effettivamente puntare il tuo sospetto. Primo: conservazione. Il contenuto viene archiviato, e per quanto tempo? La politica dell'API di OpenAI, per esempio, afferma che non utilizza i dati dell'API aziendale per addestrare i suoi modelli e li conserva per una finestra limitata prima dell'eliminazione. Anthropic pubblica termini commerciali simili. Quelle politiche sono la cosa che vale la pena leggere, non rassicurazioni su quanto "privato" appaia un logo.

Secondo: dove avviene l'inferenza. Un filtro che esegue la classificazione all'interno dei muri del tuo provider è un profilo di rischio diverso rispetto al testo inviato a un modello di terze parti di cui non hai mai sentito parlare. "On-device o in-tenant" rispetto a "inviato da qualche altra parte" è la biforcazione di privacy che decide chi potrebbe, in teoria, mai vedere qualcosa.

Questo è anche il motivo per cui il panico "scansiona tutto" si ritorce contro. I sistemi che scansionano tutto sono quelli che ti proteggono — i classificatori che bloccano la fattura falsa e la pagina di accesso simile. La scansione pericolosa è il tipo silenzioso: il pixel di tracciamento in una newsletter che invia un ping a un server nel momento in cui lo apri, registrando il tuo IP e l'ora in cui l'hai letto. Quello è un vero ficcanaso, e non è il filtro antispam.

Preoccupati della conservazione. Preoccupati della destinazione. Il modello che legge le tue parole alla ricerca di indizi è il minor problema.

@@END@@