Google DeepMind, memoria dell’assistente AI privata anche nel cloud

Memoria dell’assistente AI e privacy, anche aziendale, finora non andavano d’accordo: o un assistente che ricorda tutto su ogni dispositivo, o uno che resta privato perché lavora solo sul telefono. Il 23 settembre 2026 Google DeepMind ha descritto un modo per avere entrambe le cose: le chiavi restano solo sui dispositivi dell’utente e i dati si decifrano soltanto dentro un’enclave sigillata nel cloud. È un’architettura annunciata, non una funzione già disponibile.

In questo articolo scoprirai:

• come funziona la memoria lato server di Private AI Compute;
• cos’è una secure enclave, spiegata senza gergo;
• come attestazione remota e audit rendono verificabile la promessa di Google;
• cosa dice il GDPR e quali rischi per la privacy restano aperti;
• le quattro domande da fare a un fornitore di assistenti con memoria.

Come funziona la memoria privata di Google DeepMind

Google DeepMind ha annunciato una memoria persistente lato server per Private AI Compute, la piattaforma con cui Google porta nel cloud l’elaborazione dei modelli Gemini mantenendo garanzie simili a quelle del telefono. Le chiavi per aprirla, scrive il team di Private AI Compute, sono custodite «esclusivamente sui tuoi dispositivi personali». Il post non indica né date né prodotti: spiega come funziona, non quando arriverà.

Il dilemma è concreto. Un assistente utile deve ricordare il progetto di cui gli hai parlato martedì, anche quando lo riapri dal telefono. Per seguirti su più dispositivi la memoria deve stare in rete. E i modelli più avanzati, quelli che il settore chiama frontier, chiedono più potenza di calcolo di quanta ne offra uno smartphone. Finora la privacy da dispositivo finiva esattamente dove cominciava il cloud.

Private AI Compute nasce per spostare quel confine. L’ha presentata l’11 novembre 2025 Jay Yagnik, vicepresidente AI Innovation and Research di Google, come un sistema che combina «i nostri modelli Gemini più capaci, dal cloud» con le garanzie dell’elaborazione sul dispositivo: i dati restano accessibili solo all’utente, «nemmeno a Google». I primi usi sono stati i suggerimenti di Magic Cue sui Pixel 10 e i riassunti di Recorder in più lingue. La memoria persistente è il passo successivo, e il più delicato.

Secure enclave e chiavi sul dispositivo

Una secure enclave è una zona di calcolo isolata dall’hardware stesso, dove i dati esistono in chiaro solo per la durata di una richiesta: né il resto del server né chi lo amministra può guardarci dentro. Nel sistema descritto da Google DeepMind, ogni accesso alla memoria segue quattro passaggi:

1. il dispositivo apre un canale cifrato e autenticato da un capo all’altro (end-to-end) verso l’enclave;
2. l’enclave decifra temporaneamente i dati in una memoria isolata;
3. gestisce la richiesta e salva l’eventuale nuovo contesto;
4. cifra di nuovo tutto, immediatamente.

A riposo, le informazioni stanno in un database cifrato separato per ogni utente, protetto da chiavi derivate dal dispositivo. Lo schema pubblicato nel post mostra due livelli: una chiave che cifra i dati (DEK, data encryption key) e una che cifra quella chiave (KEK, key encryption key). Chi sottraesse l’archivio senza le chiavi avrebbe in mano solo dati illeggibili.

Sotto c’è lo stack di Google: TPU e Titanium Intelligence Enclaves, secondo l’annuncio del 2025, più un ambiente di esecuzione fidato (TEE) su hardware AMD che, riporta The Hacker News, cifra e isola la memoria dalla macchina che lo ospita. Va chiarito un punto: il modello non ricorda da solo. La «memoria» è contesto che gli viene ripassato a ogni richiesta, come spieghiamo nella guida su come funziona un modello AI. Google chiude a chiave proprio quel contesto.

Attestazione remota e audit indipendente

Con l’attestazione remota il dispositivo controlla, prima di inviare qualsiasi dato, che nel cloud giri davvero il software dichiarato. Secondo Google DeepMind, il telefono verifica che il codice sia «autentico e inalterato» e solo dopo spedisce i dati personali. È la differenza tra fidarsi di una promessa e verificarla prima di consegnare i dati.

Il secondo pezzo è un registro pubblico «a prova di manomissione» del software lato server: permette a chiunque, ricercatori indipendenti compresi, di ripetere lo stesso controllo del dispositivo. Google ha aggiornato anche il technical brief di Private AI Compute, il documento che descrive l’architettura nel dettaglio.

Poi ci sono gli audit. La piattaforma originale è stata esaminata da NCC Group tra aprile e settembre 2025, con dieci consulenti e 100 giorni-persona di lavoro e un rapporto pubblico uscito l’11 novembre 2025. Il perimetro: l’architettura, la sicurezza crittografica della Oak Session Library (la libreria che gestisce le sessioni cifrate), il relay IP-blinding che nasconde l’indirizzo dell’utente, il T-Log, cioè il registro di trasparenza, e il codice del server di frontend. Nel post del 23 settembre Google cita inoltre «i risultati di un audit indipendente» di «una delle principali società di cybersecurity», senza nominarla né precisare se si tratti di una nuova verifica dedicata alla memoria.

Memoria assistente AI, GDPR e dati personali

Sì, l’intelligenza artificiale può trattare dati personali, anche quando li ricorda: servono una base giuridica valida e misure di sicurezza adeguate al rischio. La cifratura è una di queste misure: l’art. 32 del GDPR la nomina espressamente, accanto alla pseudonimizzazione, e l’obbligo vale sia per il titolare sia per il responsabile del trattamento. L’architettura di Google DeepMind va quindi nella direzione chiesta dal regolamento.

Due precisazioni evitano gli equivoci. Cifrare non significa anonimizzare: per chi possiede le chiavi i dati restano personali, e il GDPR si applica per intero. E nessuna tecnologia esonera dagli altri obblighi, dall’informativa ai diritti di accesso e cancellazione, fino alla scelta di cosa far ricordare all’assistente e per quanto tempo.

C’è poi un limite di perimetro. Quella del 23 settembre è un’architettura consumer, nata attorno ai Pixel e ai modelli Gemini: il post di DeepMind non annuncia né un’offerta enterprise né un accordo sul trattamento dei dati (DPA, data processing agreement) per le aziende. Per orientarsi oggi c’è la nostra guida su sicurezza, GDPR e AI. Per obblighi e scadenze dell’AI Act, il regolamento europeo sull’intelligenza artificiale, rimandiamo alla guida su cosa prevede l’AI Act.

Rischi privacy della memoria AI nel cloud

La memoria persistente aumenta il rischio per la privacy perché crea un archivio personale che prima non esisteva: progetti, preferenze, decisioni, documenti, tutto nello stesso posto. L’architettura di Google non elimina quell’archivio. Sposta la fiducia dalla parola del fornitore a hardware, chiavi e verifica, e lascia alcuni punti aperti.

Anche un sistema ben progettato ha le sue falle. Nell’audit del 2025 NCC Group ha trovato un canale laterale temporale (side channel: un’informazione che trapela dai tempi di risposta) nel relay IP-blinding, capace in certe condizioni di «smascherare» gli utenti. Google lo ha giudicato a basso rischio per il «rumore» generato dal sistema multiutente. Sono emersi anche tre difetti nell’attestazione, che potevano causare interruzioni del servizio e vari attacchi al protocollo, con mitigazioni in corso, come riporta The Hacker News.

Il post, poi, non indica date, dispositivi o impostazioni. E non chiarisce cosa succede se si perdono tutti i dispositivi che custodiscono le chiavi: resta da capire se la memoria si recuperi o vada persa con loro. È una domanda aperta, non un difetto accertato. Le stesse domande su cosa si conserva e come si recupera valgono per le memorie già in uso, dalla memoria di ChatGPT alla memoria condivisa di Claude.

Memoria AI: Google contro Apple Private Cloud Compute

La differenza più netta con Apple sta proprio nella memoria. Nel 2024 Apple ha messo la computazione stateless (senza stato) in cima ai requisiti di Private Cloud Compute: dopo la risposta, i dati personali «non devono essere conservati, nemmeno tramite log o per il debug». Google fa la scelta opposta e conserva, dentro un cloud sigillato. Il resto dell’impianto si somiglia (enclave, relay che nasconde l’IP, registri di trasparenza pubblici). Google però, osserva Crypto Briefing, punta su un’integrazione verticale stretta: chip, enclave e hardware consumer tutti suoi. Una memoria che resta è più utile, ma è anche un bersaglio che resta lì.

Memoria assistente AI in azienda: le domande al fornitore

Per un’azienda l’annuncio non è un prodotto da comprare, ma fissa quattro domande da fare a qualsiasi fornitore di assistenti con memoria:

• Chi custodisce le chiavi. Se restano sui dispositivi degli utenti, come nel modello di Google, il fornitore non può leggere l’archivio.
• Se il software lato server è verificabile. Attestazione remota e registro pubblico trasformano la fiducia in un controllo.
• Se esiste un audit pubblico, e chi l’ha fatto. Il rapporto di NCC Group dichiara perimetro, periodo e 100 giorni-persona di lavoro: è il livello di dettaglio da pretendere.
• Cosa si conserva e come si cancella. Quali informazioni entrano in memoria, per quanto tempo restano, con quale procedura si eliminano.

Memoria assistente AI e knowledge management aziendale

Qui l’annuncio incontra il knowledge management, cioè la gestione della conoscenza aziendale. Un assistente che ricorda documenti, decisioni e contesto diventa la memoria interrogabile dell’azienda. Prima di adottarlo, il titolare vuole sempre sapere due cose: cosa saprà ritrovare e se è compatibile con il GDPR. La prima è una questione di progetto. Alla seconda Google DeepMind dà una risposta tecnica seria, che però deve ancora diventare un prodotto.

Tre cose da portarsi via. La novità è una memoria che resta dentro un cloud sigillato, proprio dove Apple aveva scelto di non conservare nulla. La garanzia vale quanto la sua verificabilità: attestazione, registro pubblico e un audit che dica chi l’ha fatto. E le quattro domande valgono per qualunque assistente aziendale con memoria. Per il lato progettuale, cioè come un assistente ritrova il documento giusto tra cartelle e chat sparse, c’è la nostra guida alla RAG, la tecnica con cui l’AI interroga i documenti aziendali.

Se in azienda state valutando un agente AI che ricordi documenti e decisioni, queste quattro domande sono il punto di partenza anche con noi. MIMIR non è solo una piattaforma ma un servizio: affianchiamo il vostro team con un’assistenza dedicata all’onboarding, perché un agente che ricorda va impostato bene fin dal primo giorno.

Se vuoi seguire ogni giorno novità come questa, ascolta MimírCast, il nostro podcast quotidiano sull’AI.

Fonti:

• Google DeepMind: memoria lato server sicura per Private AI Compute (23 settembre 2026)
• Google: l’annuncio di Private AI Compute di Jay Yagnik (11 novembre 2025)
• Google: technical brief di Private AI Compute (PDF)
• NCC Group: rapporto pubblico sulla revisione di Google Private AI Compute
• The Hacker News: il lancio di Private AI Compute e i risultati dell’audit
• Apple Security Research: Private Cloud Compute
• Crypto Briefing: Google Private AI Compute e la memoria sicura
• Regolamento (UE) 2016/679 (GDPR), testo italiano su EUR-Lex