Il raccoglitore di dati segreto: chi si cela davvero dietro le verifiche di LinkedIn, OpenAI e simili?

Una fuga di codice sorgente rivela: cosa succede davvero ai tuoi dati di identità su Reddit, Roblox e LinkedIn

Oggigiorno, chiunque navighi su internet deve sempre più spesso dimostrare la propria identità. Che si tratti dell'ambita spunta di LinkedIn, dell'accesso ai potenti modelli di intelligenza artificiale di OpenAI, della verifica dell'età su Reddit o di chattare su Roblox, tirare fuori il passaporto e scattare l'immancabile video selfie sta diventando la nuova normalità. Ma mentre gli utenti credono di affidare i propri dati biometrici sensibili direttamente alle rispettive piattaforme, un potere invisibile opera dietro le quinte: la startup statunitense "Persona". Con oltre 300 milioni di identità verificate, l'azienda, sostenuta da investitori influenti, è diventata l'infrastruttura occulta della vita digitale. Ma questo sistema apparentemente comodo presenta un grave difetto: una fuga di codice sorgente sensibile, periodi di conservazione dei dati discutibili e stretti legami con le autorità statunitensi sollevano serie preoccupazioni in materia di privacy dei dati. Cosa succede realmente ai nostri volti e ai nostri documenti d'identità? E perché Discord è stata l'unica grande piattaforma a chiudere i battenti dopo le massicce proteste degli utenti? Un'indagine sulle strutture server nascoste di un gigante dei dati.

La spina dorsale invisibile di Internet: come LinkedIn, Reddit, OpenAI, Roblox e altre piattaforme utilizzano le personas e cosa significa questo per i tuoi dati

Un'unica azienda, 148.000 clienti, 300 milioni di record di dati... e quasi nessuno ne è a conoscenza

Quando un utente di LinkedIn verifica il proprio profilo, crede di parlare con LinkedIn. Quando un utente di Reddit conferma la propria età, si fida di Reddit. Quando un giocatore di Roblox si mostra in videochiamata, lo fa credendo di interagire con Roblox. In realtà, in tutti questi casi si tratta della stessa azienda: Persona Identities, Inc., una startup con sede a San Francisco fondata nel 2018, che è diventata di fatto l'infrastruttura di identità per ampie porzioni di internet. Entro il 2024, Persona aveva completato oltre 300 milioni di verifiche di identità, raddoppiando sia il fatturato che la base clienti. Le piattaforme che utilizzano i servizi di Persona rappresentano uno spaccato della vita digitale moderna, eppure il nome Persona rimane completamente sconosciuto alla maggior parte degli utenti.

Non è una coincidenza. Il modello di business di Persona si basa deliberatamente sull'invisibilità: mentre le piattaforme coltivano le relazioni con gli utenti e costruiscono fiducia, Persona gestisce la verifica vera e propria in background. Con una valutazione di 2 miliardi di dollari dopo il round di finanziamento di Serie D nell'aprile 2025 e investitori come Founders Fund, Ribbit Capital e Index Ventures, l'azienda è tra le più importanti società private di tecnologia per l'identità a livello mondiale. Ciò che agli utenti appare come un comodo processo di verifica è, in realtà, un'infrastruttura concentrata di raccolta dati che va ben oltre quanto sarebbe necessario per un semplice controllo dell'identità.

Correlato a questo:

• Verifica dell'identità | Il tuo volto e i tuoi dati non ti appartengono – Anthropic (Claude), LinkedIn e la nuova economia del controllo biometrico

LinkedIn: 100 milioni di profili verificati e cosa si cela dietro di essi

LinkedIn è stata una delle prime grandi piattaforme a introdurre Persona come partner per la verifica dell'identità. Nel dicembre 2025, la piattaforma ha superato i 100 milioni di profili verificati in tutto il mondo, un traguardo che dimostra quanto Persona sia già profondamente integrata nell'infrastruttura di identità del web professionale. LinkedIn fa promesse chiare: i membri verificati ricevono, in media, il 60% in più di visualizzazioni del profilo e il 50% in più di interazioni. Le pagine aziendali verificate registrano 10,9 volte più visualizzazioni e 7,7 volte più follower. Si tratta di incentivi potenti, e funzionano.

Il processo di verifica vero e proprio avviene tramite l'app di LinkedIn. Agli utenti viene richiesto di connettere il proprio dispositivo a un passaporto dotato di tecnologia NFC, scansionare il chip e scattare un selfie in tempo reale. Le informazioni che LinkedIn riceve sono limitate: il nome così come appare sul passaporto, il tipo di passaporto, il paese di emissione, un identificativo crittografato e la conferma dell'avvenuta verifica. Tuttavia, Persona raccoglie ed elabora dati ben più ampi rispetto a quelli raccolti finora, e la documentazione di LinkedIn si limita a un breve riferimento alla propria informativa sulla privacy. I sub-responsabili del trattamento dei dati autorizzati per la verifica di LinkedIn tramite Persona includono AWS, Confluent, DBT, Elasticsearch, Google Cloud Platform, MongoDB, Sigma Computing e Snowflake. Non è previsto l'archiviazione dei dati su server europei con garanzia di conformità alle normative UE.

La questione della cancellazione dei dati è particolarmente rilevante. Persona conferma nella sua documentazione su LinkedIn che i dati vengono cancellati dopo la verifica, ma non specifica un lasso di tempo preciso. Nell'ambito di altre collaborazioni, ad esempio con Discord, è stato riconosciuto un periodo di conservazione fino a sette giorni, il che contraddice pubblicamente le dichiarazioni della piattaforma. Inoltre, il codice sorgente trapelato dell'infrastruttura governativa di Persona rivela che gli elenchi biometrici facciali possono essere conservati fino a tre anni, più precisamente 1.095 giorni. Nelle comunicazioni pubbliche di Persona, ciò che si applica ai clienti commerciali e ciò che si applica ai clienti governativi viene volutamente mantenuto vago.

Reddit: la verifica dell'età come punto di partenza per il controllo biometrico

Reddit ha introdotto Persona nell'ambito dell'implementazione dell'Online Safety Act (OSA) del Regno Unito, che ha reso obbligatoria la verifica dell'età per le piattaforme online. Il mercato britannico è servito da caso di studio: gli utenti che tentavano di accedere a contenuti con restrizioni di età venivano reindirizzati a Persona per la verifica dell'età. Nella pagina FAQ dedicata di Reddit, Persona spiega di agire come responsabile del trattamento dei dati secondo le istruzioni di Reddit, raccogliendo solo la data di nascita e i dati relativi all'immagine, ed eliminando tutte le altre informazioni entro tre giorni. Inizialmente, questo sembra ragionevole.

La situazione è in realtà più complessa. Gli utenti di Reddit che hanno verificato la propria identità segnalano un processo che va ben oltre la semplice stima dell'età: sono state raccolte scansioni del chip NFC dei passaporti, selfie in tempo reale e dati biometrici comportamentali dettagliati, tra cui velocità di digitazione, esitazioni e se le informazioni vengono copiate. Gli attivisti per la privacy hanno scoperto che il codice sorgente di Persona, identificato da Celeste, veniva eseguito su un server governativo autorizzato da FedRAMP e includeva controlli incrociati con le watchlist di FinCEN, le liste di persone politicamente esposte (PEP) e le liste di sanzioni globali. Tutto ciò avviene parallelamente ai processi di verifica commerciali di Reddit, LinkedIn e altre piattaforme, sulla stessa infrastruttura di base. In seguito alle significative proteste degli utenti nel Regno Unito, Reddit ha temporaneamente sospeso la verifica obbligatoria di Persona per i nuovi utenti, pur mantenendo nel sistema gli utenti già verificati.

OpenAI: la connessione più antica e opaca

La relazione tra OpenAI e Persona è particolarmente rivelatrice, e cronologicamente la più antica tra tutte le principali partnership tra piattaforme. I ricercatori di sicurezza hanno scoperto, tramite i registri di trasparenza dei certificati, che un sistema di watchlist dedicato, sotto il dominio openai-watchlistdb.withpersona.com, era attivo dal novembre 2023, circa 18 mesi prima che OpenAI annunciasse pubblicamente, nell'estate del 2025, l'obbligo di verifica dell'identità per accedere a GPT-5. Nel novembre 2024, OpenAI aveva aggiunto silenziosamente una frase alla sua informativa sulla privacy, relativa alla verifica dell'identità e dell'età da parte di fornitori terzi, senza tuttavia menzionare esplicitamente Persona.

Nel settembre 2024, Persona stessa ha pubblicato una pagina in cui spiegava che OpenAI utilizza Persona per verificare milioni di utenti ogni mese, con oltre il 99% degli utenti verificati automaticamente in background in pochi secondi. Ciò significa che non sono interessati solo gli utenti che si sottopongono attivamente alla verifica, ma anche il controllo in background è continuo. Per accedere all'API di OpenAI e a modelli come GPT-5, gli sviluppatori devono fornire un documento d'identità e scattare tre selfie da diverse angolazioni (sinistra, destra e frontale) per creare un profilo facciale tridimensionale. Forrester Research ha valutato questa decisione come una risposta alle pressioni normative, ai rischi geopolitici di un uso improprio del modello e alla necessità di distinguere tra clienti aziendali legittimi e attori sponsorizzati da stati. La conseguenza: chiunque voglia utilizzare gli strumenti di intelligenza artificiale più avanzati deve affidare il proprio volto a un'infrastruttura di verifica con sede negli Stati Uniti.

Roblox: 151 milioni di utenti giornalieri e scansione facciale obbligatoria

In termini di numero di utenti, Roblox è il client Persona più notevole. Nel gennaio 2026, Roblox ha introdotto la verifica obbligatoria dell'età per tutti gli utenti che desiderano utilizzare la funzione di chat della piattaforma. Con 151 milioni di utenti attivi giornalieri, si tratta di un processo biometrico obbligatorio di portata senza precedenti, soprattutto considerando che una parte significativa della base di utenti è composta da bambini e adolescenti. Il meccanismo è semplice: chiunque voglia chattare deve registrare un video selfie, che Persona analizza algoritmicamente per stimare l'età, oppure, in alternativa, inviare un documento d'identità ufficiale.

Roblox e Persona sottolineano che i dati biometrici e le immagini vengono cancellati immediatamente dopo la stima dell'età. Tuttavia, non esistono verifiche indipendenti a supporto di questa affermazione. Il vero problema risiede altrove: la tecnologia di stima dell'età di Persona non è, da un punto di vista tecnico, una vera e propria verifica dell'età, bensì una stima basata sui tratti del viso senza verificarla con un documento. Ciò significa che gli utenti di Roblox sono sottoposti a una scansione biometrica che non offre né l'accuratezza di un vero controllo dell'identità né la sicurezza di una verifica basata su documenti. Allo stesso tempo, i dati biometrici vengono trasferiti a un'infrastruttura statunitense, il che solleva significative preoccupazioni in materia di GDPR per gli utenti dell'UE, in particolare per i minori. I dati biometrici dei minori sono soggetti a requisiti particolarmente rigorosi ai sensi dell'articolo 9 in combinazione con l'articolo 8 del GDPR, requisiti che Roblox non ha dimostrato pubblicamente di rispettare nella sua attuale implementazione.

La nostra competenza nell'UE e in Germania nello sviluppo aziendale, nelle vendite e nel marketing - Immagine: Xpert.Digital

Aree di interesse del settore: B2B, digitalizzazione (dall'intelligenza artificiale alla realtà aumentata), ingegneria meccanica, logistica, energie rinnovabili e industria

Maggiori informazioni qui:

• Centro di affari esperti

Un hub tematico che offre spunti e competenze:

• Piattaforma di conoscenza che copre le economie globali e regionali, l'innovazione e le tendenze specifiche del settore
• Una raccolta di analisi, approfondimenti e informazioni di base sui nostri principali settori di interesse
• Un luogo di competenza e informazione sugli sviluppi attuali nel mondo degli affari e della tecnologia
• Un punto di riferimento per le aziende che cercano informazioni su mercati, digitalizzazione e innovazioni del settore

Discord: la ritirata più pubblica e ciò che rivela

Discord è l'unica grande azienda ad aver interrotto pubblicamente la sua partnership con Persona, fornendo una spiegazione esplicita: un raro momento di trasparenza nel settore. Nel gennaio 2026, Discord ha lanciato Persona nel Regno Unito per scopi di verifica dell'età, nell'ambito di un programma pilota non divulgato. Quando la partnership è diventata pubblica, ha scatenato una massiccia ondata di proteste da parte degli utenti. Il CTO di Discord, Stanislav Vishnevskiy, ha ammesso che l'azienda aveva fallito nella comunicazione. La vera escalation si è verificata quando i ricercatori di sicurezza non solo hanno scoperto il collegamento con il Founders Fund di Peter Thiel, ma hanno anche trovato una pagina di supporto archiviata che menzionava la conservazione dei dati da parte di Persona per sette giorni, contraddicendo direttamente le precedenti dichiarazioni dell'azienda sulla cancellazione quasi istantanea.

Successivamente, Discord ha formulato una nuova e chiara serie di requisiti per tutti i futuri partner di verifica: i dati biometrici devono essere elaborati interamente sul dispositivo dell'utente e non devono mai lasciare il dispositivo. Persona non ha esplicitamente soddisfatto questo standard e, di conseguenza, è stata esclusa dal contratto. Questo requisito è rivoluzionario sia dal punto di vista tecnico che della protezione dei dati: definisce l'elaborazione sul dispositivo come standard minimo per la verifica biometrica dell'età. Il fatto che nessuno degli altri principali clienti di Persona abbia richiesto pubblicamente questo standard dimostra quanto il settore sia ancora lontano da questa norma. Ad aggravare la situazione, Discord si è trovata ad affrontare anche un'altra violazione dei dati contemporaneamente al caso Persona: presso un altro fornitore di servizi di verifica dell'età, i documenti di identità ufficiali di circa 70.000 utenti sono stati compromessi, una situazione che ha illustrato in modo lampante il rischio strutturale dell'esternalizzazione dei controlli biometrici a fornitori terzi.

VRChat: Verifica dell'identità nella realtà virtuale

VRChat, la piattaforma di realtà virtuale sociale con una solida base di utenti internazionali, ha implementato Persona come partner per la verifica dell'età. A causa dei crescenti requisiti normativi per le piattaforme online, in particolare nel Regno Unito e nell'UE, VRChat è stata costretta ad adottare un sistema di verifica dell'età. Il sistema scelto: Persona. La reazione della community è stata veemente. I forum degli utenti sono stati inondati di analisi dettagliate dell'infrastruttura di Persona, riferimenti al collegamento con il Thiel Founders Fund e un appello collettivo a riconsiderare l'implementazione.

Nelle sue comunicazioni ufficiali, VRChat sottolinea di non ricevere immagini di documenti d'identità o scansioni facciali, ma solo un valore hash che conferma la verifica. Anche Persona afferma di non ricevere alcuna informazione sull'identità dell'utente all'interno di VRChat. Ciò è in linea con l'architettura di protezione dei dati di Persona, ma da una prospettiva di privacy dei dati, si tratta solo di una soluzione parziale: Persona stessa detiene tutti i dati biometrici grezzi, indipendentemente da ciò che viene condiviso con la piattaforma. Gli utenti europei della community di VRChat fanno giustamente notare che la tecnologia eID, che consente la verifica dell'età senza trasmettere dati biometrici, esiste come alternativa sicura, ma è esplicitamente non supportata da Persona. Da una prospettiva europea in materia di protezione dei dati, questo rifiuto è difficile da giustificare.

Upwork: quando la verifica dell'identità diventa un requisito per il lavoro

Su Upwork, la più grande piattaforma di freelance al mondo, la verifica dell'identità ha un impatto economico particolarmente diretto. I freelance sono tenuti a verificare la propria identità, sia in modo proattivo pagando 35 Connects (la valuta interna della piattaforma), sia in modo obbligatorio quando richiedono prestiti, lavori specifici per gli Stati Uniti o in seguito alla sospensione dell'account. Chi non completa la verifica entro sette giorni rischia la sospensione dell'account.

Questo è degno di nota per diversi aspetti. In primo luogo, Upwork collega direttamente la verifica biometrica alla partecipazione economica: chiunque voglia lavorare ed essere pagato deve essere verificato, e questo avviene tramite un'infrastruttura statunitense di terze parti. Per i freelance nell'UE, ciò significa trasferire i propri dati biometrici a un sistema legale statunitense, per il quale non esiste un'alternativa realistica. In secondo luogo, Upwork consente verifiche ripetute di routine: gli utenti segnalano di essere stati invitati a verificare la propria identità più volte, anche in assenza di un motivo apparente. In terzo luogo, la comunicazione di Upwork in merito all'ambito del trattamento dei dati è vaga: la piattaforma descrive la verifica come un controllo dell'identità senza specificare i flussi di dati esatti verso Persona o le sue politiche di archiviazione dei dati.

L'infrastruttura governativa nascosta: cosa rivela la fuga di codice sorgente

L'aspetto veramente inquietante dell'infrastruttura di Persona non è ciò che l'azienda comunica pubblicamente, bensì ciò che un errore di configurazione casuale ha rivelato. Nel febbraio 2026, alcuni ricercatori di sicurezza hanno scoperto che 53 megabyte di codice sorgente della piattaforma governativa di Persona erano accessibili pubblicamente senza alcun attacco o accesso non autorizzato. Il sistema di build Vite aveva reso pubbliche le mappe del codice sorgente, un difetto di progettazione che esponeva l'intera architettura interna.

Ciò che i ricercatori hanno scoperto ha superato le aspettative: 2.456 file sorgente che documentano 269 diversi controlli di verifica. La piattaforma, in esecuzione su un'infrastruttura governativa autorizzata da FedRAMP con il nome ONYX, contiene moduli completi per l'invio diretto di segnalazioni di attività sospette (SAR) a FinCEN, la rete di indagine finanziaria del Dipartimento del Tesoro degli Stati Uniti, e alla sua controparte canadese, FINTRAC. Include database biometrici facciali che vengono confrontati con liste di controllo, moduli di riconoscimento facciale per persone politicamente esposte (PEP) e 13 diversi tipi di liste di tracciamento, tra cui volti, impronte digitali del browser e geolocalizzazione. Il codice mostra esplicitamente che le liste biometriche facciali possono essere conservate fino a 1.095 giorni, ovvero tre anni. Contemporaneamente, un nuovo sottodominio denominato onyx.withpersona-gov.com compare nei registri di trasparenza dei certificati, ed è temporalmente collegato allo strumento Fivecast ONYX, uno strumento di sorveglianza basato sull'intelligenza artificiale che l'ICE ha commissionato per 4,2 milioni di dollari e che genera valutazioni del rischio dei social media e del dark web. Non è stato ancora dimostrato in modo definitivo se questa coincidenza di nomi sia casuale o se si tratti di una connessione strutturale. Ciò che è certo, tuttavia, è che l'infrastruttura governativa di Persona si basa sulla stessa infrastruttura tecnica di quella commerciale che alimenta LinkedIn, Reddit e OpenAI.

Il doppio ruolo di FedRAMP e Persona

Un aspetto che riceve poca attenzione nel dibattito pubblico è la certificazione FedRAMP di Persona. FedRAMP, il Federal Risk and Authorization Management Program, è il sistema statunitense per la certificazione della sicurezza dei servizi cloud per le agenzie federali. Nell'ottobre 2025, Persona ha ottenuto la certificazione FedRAMP Low Impact Authorized ed è sulla buona strada per ottenere la certificazione FedRAMP Moderate Ready. Ciò significa che Persona è ora un fornitore di infrastrutture accreditato per le agenzie federali statunitensi. La piattaforma commerciale che verifica gli utenti di LinkedIn e la piattaforma governativa che fornisce controlli di identità alle agenzie federali sono quindi sotto lo stesso ombrello: tecnicamente separate a livello di implementazione, ma legalmente e organizzativamente sotto la stessa struttura aziendale.

Per gli utenti europei, questo è cruciale perché porta la questione del CLOUD Act a un nuovo livello. Il CLOUD Act obbliga le aziende statunitensi a concedere l'accesso ai dati alle autorità statunitensi su richiesta, indipendentemente dalla posizione dei server. Un'azienda che elabora simultaneamente dati biometrici commerciali di milioni di utenti in tutto il mondo ed è un fornitore di infrastrutture accreditato per le agenzie federali statunitensi rappresenta una combinazione in cui i confini tra servizio commerciale e infrastruttura governativa sono strutturalmente sfumati. Non si tratta di un sospetto, ma della descrizione del modello di business.

Cosa gli utenti devono sapere e fare

Comprendere l'infrastruttura delle buyer persona cambia il modo in cui valutiamo una decisione apparentemente semplice: dovrei verificare il mio profilo LinkedIn? L'aumento del 60% delle visualizzazioni del profilo sembra allettante. Ma la vera domanda è: cosa ci guadagno io? La risposta è complessa.

Chiunque verifichi la propria identità tramite Persona su LinkedIn, Reddit, OpenAI o Roblox sta fornendo dati biometrici a un'azienda statunitense, fornitore di infrastrutture governative certificato FedRAMP, gestita dal Founders Fund di Peter Thiel, che condivide lo stesso presidente fondatore di Palantir e il cui codice sorgente trapelato rivela un'infrastruttura di sorveglianza che va ben oltre la semplice verifica dell'identità. I ​​residenti dell'UE hanno il diritto di accesso, cancellazione e opposizione ai sensi del GDPR. Le richieste di cancellazione dei dati a Persona possono essere inviate direttamente tramite DSAR (Data Subject Access Request), tuttavia, diversi utenti segnalano che Persona risponde a tali richieste con risposte automatiche e vaghe.

Per le piattaforme stesse, la lezione sta nella decisione di Discord: l'elaborazione on-device come standard, non come eccezione. La verifica dell'età non implica necessariamente che i dati biometrici grezzi transitino attraverso un'infrastruttura di server statunitense. I sistemi di identità elettronica europei, i portafogli di identità nazionali e le architetture di verifica decentralizzate esistono come alternative tecniche. Il fatto che non vengano utilizzati è una decisione politica ed economica, non una necessità tecnica.

La questione strutturale: chi sta costruendo l'Internet delle identità?

Questo inventario non fornisce risposte, ma solleva piuttosto una questione che sta diventando sempre più urgente: chi dovrebbe controllare l'infrastruttura di identità di Internet? Entro il 2026, la risposta di fatto è una società privata con sede a San Francisco, finanziata da Peter Thiel, con un duplice ruolo di fornitore commerciale di servizi KYC (Know Your Customer) e di infrastruttura accreditata dal governo statunitense. LinkedIn ha verificato 100 milioni di profili all'interno di questo sistema. Reddit verifica le fasce d'età sotto la pressione del governo britannico e presto anche di quello europeo. Roblox sottopone 151 milioni di utenti giornalieri alla scansione facciale obbligatoria. OpenAI richiede la verifica biometrica per l'accesso ai modelli di intelligenza artificiale più potenti al mondo.

Questa concentrazione non è inevitabile. È il risultato di decisioni di mercato prese in un contesto di debole controllo normativo e con scarsa trasparenza pubblica. L'AI Act dell'UE, il GDPR e il Pacchetto digitale dell'UE forniscono gli strumenti giuridici per regolamentare questa concentrazione e promuovere alternative europee. Ciò che manca è la volontà politica di applicarli, nonché la consapevolezza pubblica che la questione di chi gestisce la propria immagine pubblica non è un dettaglio tecnico, ma una questione fondamentale di autodeterminazione democratica nell'era digitale.