X

Le conversazioni con Grok non hanno la crittografia end-to-end e sono conservate in una forma che l'azienda può leggere.

Le FAQ di SpaceXAI dicono che un numero limitato di personale autorizzato può esaminare le conversazioni con Grok (per migliorare i modelli, indagare sugli abusi e rispettare gli obblighi di legge).

La chat crittografata di X (XChat) conserva le chiavi private degli utenti sui server di X, crittografate con un PIN di quattro cifre, e ricercatori di sicurezza e crittografi sconsigliano di fidarsi finché non sarà sottoposta a un audit indipendente.

X è un social network finanziato dalla pubblicità, e il suo proprietario, SpaceXAI, addestra e gestisce anche l'IA Grok usando i post pubblici e i dati di interazione degli utenti di X.

La modifica delle immagini di Grok è stata ampiamente usata per creare immagini sessualizzate di persone reali, comprese donne e, in alcuni casi, minori, a partire dalle loro foto, il che ha portato a indagini della Commissione europea e dell'Ofcom britannica.

A metà gennaio 2026 X ha detto di aver impedito a Grok, su X, di modificare immagini di persone reali per mostrarle in abiti succinti, e di aver bloccato geograficamente questo tipo di generazione dove è illegale. Secondo la stampa, l'app e il sito autonomi di Grok all'inizio non erano coperti. Entrambe le indagini erano ancora aperte all'ultima verifica.

Forbes ha scoperto che più di 370.000 conversazioni di Grok condivise con il pulsante «condividi» erano state indicizzate da Google e da altri motori di ricerca; gli utenti non erano stati avvertiti chiaramente che la condivisione le rendeva ricercabili pubblicamente.

Un bug dell'API di Twitter, corretto a gennaio 2022, ha permesso ad alcuni aggressori di collegare indirizzi email e numeri di telefono agli account; Twitter ha confermato che in questo modo sono stati raccolti dati su 5,4 milioni di account. A gennaio 2023 è stato pubblicato online un elenco di indirizzi email di oltre 200 milioni di utenti, che i ricercatori hanno collegato alla stessa falla, anche se Twitter ha detto di non aver trovato prove che i dati provenissero dallo sfruttamento dei suoi sistemi.

La Data Protection Commission irlandese ha aperto a dicembre 2022 un'indagine sugli insiemi di dati relativi a 5,4 milioni di utenti.

Twitter ha corretto il bug dell'API a gennaio 2022, ma i dati estratti erano già stati raccolti.

Twitter ha accettato di pagare una sanzione civile di 150 milioni di dollari per chiudere le contestazioni della FTC e del Dipartimento di Giustizia secondo cui usava i numeri di telefono e gli indirizzi email forniti dalle persone per la sicurezza dell'account per indirizzare loro annunci.

Secondo la FTC la pratica è durata dal 2013 al 2019 e ha riguardato più di 140 milioni di utenti. L'accordo è stato un provvedimento approvato dal tribunale e depositato dal Dipartimento di Giustizia per conto della FTC; Twitter non ha ammesso illeciti.

X raccoglie i tuoi post, i messaggi diretti (compreso il contenuto per quelli non crittografati), le interazioni e i dati del dispositivo; SpaceXAI raccoglie le tue richieste a Grok, i file che carichi e le informazioni dell'account, e usa i post pubblici e i dati di interazione di X. Le due società possono condividere dati tra loro in quanto affiliate.

Grok offre una modalità di chat privata le cui conversazioni non sono usate per l'addestramento e vengono eliminate entro 30 giorni, e un'impostazione «Improve the model» per rifiutare l'addestramento.

Nel 2024 X ha attivato per impostazione predefinita un'impostazione che le permetteva di usare i post pubblici delle persone per addestrare Grok. La Data Protection Commission irlandese ha portato X davanti all'Alta Corte, e X ha accettato di smettere di trattare per l'addestramento di Grok i post degli utenti di UE/SEE raccolti tra il 7 maggio e il 1° agosto 2024; ad aprile 2025 l'autorità ha aperto un'indagine formale ai sensi del GDPR su questa pratica.

Puoi scaricare un archivio dei tuoi dati di X e disattivare il tuo account.

X pubblica rapporti di trasparenza, anche sulle richieste governative, anche se li ha sospesi dopo il 2022 prima di pubblicare un rapporto globale nel 2024.

In quanto azienda statunitense, X può essere obbligata dalla legge degli Stati Uniti, compreso il CLOUD Act, a consegnare i dati in suo possesso, ovunque siano conservati.