Sembrava un’idea tenera e innocua: un dinosauro di peluche capace di conversare con i bambini grazie all’intelligenza artificiale. Si chiama Bondu e promette compagnia, affetto e dialoghi personalizzati attraverso un sistema di chat vocale AI. Ma dietro questa apparenza rassicurante si è nascosto un grave problema di sicurezza.

L’allarme è partito dagli Stati Uniti. L’esperto di sicurezza informatica Joseph Thacker, noto per i suoi studi sui rischi legati all’uso dell’IA da parte dei minori, ha deciso di analizzare il prodotto dopo che una vicina gli aveva parlato con entusiasmo del nuovo giocattolo del figlio. Insieme al collega Joel Margolis, Thacker ha scoperto qualcosa di inquietante: sul portale online del produttore, chiunque poteva accedere ai registri completi delle chat dei bambini.

Offerta

Novità! DREAME L10s Ultra Gen 3

Kit Robot Aspirapolvere e Lavapavimenti, Aspirazione da 25.000 Pa, Spazzola

455€ invece di 599€
-24%
Amazon 🛒

50.000 conversazioni accessibili a chiunque

Non servivano tecniche di hacking né forzature informatiche: bastava registrarsi con un account Google qualsiasi per entrare nel sistema. Una volta dentro, i due ricercatori si sono trovati davanti oltre 50.000 trascrizioni di conversazioni tra i piccoli utenti e il loro “amico dinosauro”.

Nei log comparivano nomi, età, interessi personali, ma anche informazioni familiari e obiettivi educativi impostati dai genitori tramite l’app. Tutto questo assolutamente accessibile a chiunque, senza alcun filtro di autenticazione o protezione dei dati. “È stato come leggere il diario segreto di migliaia di bambini”, ha commentato Thacker, evidenziando l’impatto emotivo e la gravità dell’esposizione.

La risposta di Bondu: patch immediata ma dubbi che restano

Dopo la segnalazione, l’azienda Bondu Inc. ha reagito rapidamente. Il portale è stato disattivato nel giro di pochi minuti e, secondo le dichiarazioni del CEO Fateen Anam Rafid, la vulnerabilità è stata corretta “nel giro di poche ore”. Il sito è poi tornato online con una gestione più rigida degli accessi e un audit della sicurezza in corso.

Stando a quanto affermato dall’azienda, solo i due esperti hanno avuto accesso ai dati e non ci sono prove di intrusioni malevole esterne. Tuttavia, l’incidente ha lasciato aperti molti interrogativi, soprattutto sul modo in cui le aziende che producono giocattoli AI gestiscono dati così delicati.

Oltre il singolo caso: il rischio dei giocattoli AI

Per Thacker e Margolis, il problema va ben oltre Bondu. Questi dispositivi, pensati per intrattenere e “dialogare” con i bambini, creano enormi quantità di dati intimi, spesso registrati e inviati a server remoti per l’elaborazione. Anche ammesso che siano protetti, resta incerto chi all’interno delle aziende possa accedervi e come tali informazioni vengano archiviate o riutilizzate.

In più, Bondu non utilizza un’intelligenza artificiale proprietaria. I suoi dialoghi si basano su modelli esterni, come quelli forniti da Google e OpenAI. Di conseguenza, parte delle conversazioni dei bambini viene analizzata da questi sistemi, ufficialmente in modo controllato e nel rispetto delle normative, ma sempre con un rischio intrinseco di diffusione non intenzionale dei dati personali.

Bambini e consapevolezza digitale: una combinazione fragile

Il vero nodo, secondo gli esperti, è la asimmetria di consapevolezza. I bambini non hanno strumenti per capire che stanno dialogando con un sistema automatizzato e che ogni parola viene analizzata, archiviata e potenzialmente condivisa. Pensano di confidarsi con un giocattolo, non con un’infrastruttura dati gestita da adulti, ingegneri e algoritmi su larga scala.

In questo contesto, parlare di consenso informato o tutela della privacy diventa quasi impossibile. Se un bambino racconta paure, desideri o episodi familiari, quei contenuti – anche se apparentemente innocui – possono essere profilati, tracciati e reinterpretati al di fuori del controllo dei genitori.

Normative ancora indietro

Nonostante esistano regole chiare sull’uso dei dati dei minori, come il COPPA Act negli Stati Uniti o il GDPR europeo (che prevede livelli di protezione più alti per i bambini), la rapidità con cui il mercato dei giocattoli connessi sta crescendo rende difficile mantenere il passo. Molte startup, come Bondu, non hanno competenze IT sufficientemente mature per gestire la sicurezza a livello enterprise.

E quando si parla di AI integrata in prodotti destinati ai più piccoli, il rischio non è solo tecnico, ma etico ed educativo. Chi garantisce che l’algoritmo non influenzi le risposte emotive del bambino? Chi decide quali informazioni restano private e quali vengono elaborate per “migliorare il servizio”?

Un settore che richiede regole nuove

Il caso Bondu è un campanello d’allarme che il settore non può ignorare. Gli AI toys rappresentano una frontiera affascinante, oggetti in grado di apprendere, interagire e stimolare la fantasia, ma senza standard di sicurezza chiari e una gestione trasparente dei dati, rischiano di diventare strumenti di sorveglianza, anche involontaria.

Proprio come è accaduto con le app educative, i dispositivi connessi dovranno essere progettati “privacy by design”, ovvero con la tutela dei dati integrata fin dalla prima riga di codice. Altrimenti, l’idea di un peluche che ascolta e parla con amore potrebbe trasformarsi, ancora una volta, in un incubo digitale.

I nostri contenuti da non perdere: