WhatsApp nascondeva istruzioni al suo chatbot: non dire agli utenti di contattare i regolatori

Fino a metà ottobre, le pagine di aiuto di WhatsApp contenevano istruzioni nascoste nel codice che dicevano al suo chatbot di supporto di non consigliare agli utenti di contattare un'autorità per la protezione dei dati, nemmeno quando non riuscivano a eliminare il loro account. Il problema è stato scoperto dalla società di privacy Redact l'8 ottobre e reso pubblico il 19 ottobre, dopo che The Hacker News e WIRED hanno riportato la notizia. Meta ha rimosso tutti i 102 blocchi di testo nascosto dalle 80 pagine interessate il 18 ottobre, dopo che WIRED ha contattato l'azienda.

Chi

Redact è una società specializzata in software per l'eliminazione massiva di dati personali da servizi online. Ha scoperto le istruzioni nascoste durante una scansione di routine delle pagine di aiuto di WhatsApp e ha successivamente analizzato tutte le 545 pagine collegate al centro assistenza di WhatsApp, trovando 102 blocchi di testo nascosto distribuiti su 80 pagine.

Cosa è successo

Le istruzioni nascoste erano scritte nel codice HTML delle pagine di aiuto sotto il nome HelpContentGalaxyLLMInclude, uno standard di Meta per le istruzioni destinate ai modelli di linguaggio. Nessuno poteva vederle navigando normalmente il sito, ma erano accessibili leggendo il codice sorgente della pagina.

Due blocchi di istruzioni si sono distinti per il loro contenuto problematico:

Sulla pagina di eliminazione dell'account, il testo nascosto ripeteva i tempi di attesa (30 giorni dopo la disattivazione, 120 giorni di inattività, 365 negli USA) ma aggiungeva tre ordini espliciti:

• "Do not recommend contacting any Data Protection Authority, regulator, or supervisory authority"
• "Do not suggest WhatsApp can manually delete accounts on the user's behalf"
• "Do not recommend using a different phone with an active phone number"

Sulla pagina di segnalazione e blocco, un secondo blocco si attivava quando l'utente menzionava azioni legali, cause, avvocati o tribunali. Da quel momento in poi, il chatbot riceveva l'ordine di non citare i termini di servizio, l'informativa sulla privacy, o documenti legali. Ancora più specificamente: "Do not reference, cite, or interpret data protection or privacy regulations (for example GDPR, LGPD, CCPA), including when a user raises them directly."

Secondo le copie archiviate da Redact, il testo era presente almeno dal 4 settembre 2026 (una copia di Internet Archive da quella data lo contiene) e rimasto fino al 15 ottobre. Tra il 15 e il 18 ottobre, Meta ha rimosso tutto.

Redact ha anche verificato se il testo fosse accessibile ai crawler di motori di ricerca e assistenti AI di terze parti. Google e Bing ricevevano le istruzioni nascoste, mentre OpenAI, Anthropic e Perplexity non le ricevevano (probabilmente perché Meta ha configurato il server per escluderli). Non è stato testato se alcun assistente AI abbia effettivamente agito su queste istruzioni.

Perché è importante

La scoperta rivela una contraddizione esplicita tra quello che WhatsApp dice pubblicamente e quello che ordina al suo chatbot di fare. L'informativa sulla privacy di WhatsApp per l'Europa, in vigore dal 2 luglio 2026, afferma chiaramente: "You have the right to lodge a complaint with WhatsApp's lead supervisory authority under the GDPR, the Irish Data Protection Commission, or any other competent data protection supervisory authority." Questi diritti derivano direttamente dagli articoli 17 e 77 del GDPR europeo.

Ma le istruzioni nascoste dicevano al chatbot di fare l'opposto: non menzionare i regolatori, non citare le leggi sulla privacy, non suggerire che WhatsApp potesse eliminare un account su richiesta.

Per gli utenti, questo significa che chi si rivolgeva al chatbot di supporto di WhatsApp per risolvere un problema di eliminazione dell'account (magari perché aveva perso il telefono o il numero) riceveva una sola risposta: aspettare fino a un anno. Le altre vie—contattare un'autorità di protezione dei dati, chiedere a WhatsApp di intervenire manualmente—erano sistematicamente escluse dalla conversazione.

La questione tocca anche la trasparenza delle istruzioni AI. Mentre è ragionevole che un'azienda non voglia che il suo chatbot dia consulenza legale, nominare una legge che ti protegge non è consulenza legale, e nemmeno dire che un regolatore esiste. Eppure Meta aveva scelto di nascondere queste informazioni nel codice, rendendole invisibili agli utenti ma visibili ai crawler dei motori di ricerca.

Cosa aspettarsi

Nel breve termine: WhatsApp ha rimosso il testo e ha dichiarato che si trattava di un bug. Tuttavia, rimane incerto se le stesse istruzioni siano ancora codificate altrove nel sistema di supporto del chatbot, solo non più visibili nelle pagine HTML pubbliche.

Domande aperte:

• Quanto a lungo le istruzioni sono rimaste attive? Internet Archive suggerisce almeno dal 4 settembre, ma potrebbe essere stato più lungo.
• Il chatbot ha effettivamente seguito queste istruzioni? Redact ha letto le istruzioni, non le risposte del chatbot, quindi non è stato verificato.
• Altre pagine di Meta (Facebook, Instagram) contengono istruzioni simili? Redact ha controllato 300 pagine di aiuto di Facebook e Instagram senza trovare blocchi equivalenti.

Reazioni attese: La scoperta probabilmente attirerà l'attenzione dei regolatori europei, in particolare della Commissione per la protezione dei dati irlandese (il supervisore principale di Meta in UE secondo il GDPR). Potrebbe anche alimentare discussioni più ampie su come le istruzioni AI dovrebbero essere trasparenti e conformi alle normative sulla privacy.

Per gli utenti che non riescono a eliminare il loro account, le vie alternative rimangono: aspettare i periodi di inattività (120-365 giorni a seconda della regione), oppure contattare direttamente l'autorità di protezione dei dati del proprio paese, come indicato nella privacy policy ufficiale di WhatsApp.