Una recente indagine, condotta durante le elezioni parlamentari ungheresi del 2026, ha mostrato che le chatbot basate su intelligenza artificiale generativa forniscono indicazioni di voto inaccurate, incoerenti e sostanzialmente inaffidabili.
Il caso va oltre la cronaca elettorale, e riporta al centro dell’attenzione un problema di sicurezza dei sistemi di intelligenza artificiale generativa: la loro vulnerabilità strutturale alla manipolazione dei contenuti su cui si basano per costruire le risposte.
Indice degli argomenti
Chatbot elettorale: rischio di manipolazione alle urne
Lo studio, realizzato dall’organizzazione per i diritti civili Liberties, ha messo alla prova ChatGPT e Gemini, i due sistemi più diffusi nel Paese, chiedendo loro di indicare quale partito votare a partire da cinque profili elettorali fittizi, ciascuno costruito in modo da rispecchiare fedelmente le posizioni di uno dei cinque partiti presenti sulle liste nazionali.
Le posizioni utilizzate per costruire i profili derivano da Voksmonitor, un’applicazione ungherese di orientamento al voto considerata affidabile dai ricercatori.
I risultati hanno mostrato una distorsione sistematica nella visibilità dei partiti.
Nel 90% dei casi in cui veniva sottoposto un profilo allineato al partito Tisza, poi risultato vincitore dopo sedici anni di governo di Viktor Orbán, ChatGPT non lo includeva tra le raccomandazioni; nel 96% delle risposte comparivano invece partiti non presenti sulla scheda elettorale, e le stesse domande, poste più volte in modo identico, restituivano risultati definiti dai ricercatori “materialmente diversi” tra loro.
Le tecniche di manipolazione
Le cause indicate dai ricercatori, come le lacune nei dati di addestramento e filtri di sicurezza troppo rigidi, spiegano solo una parte del fenomeno.
Il nodo di fondo, riconosciuto dalla comunità della sicurezza informatica, riguarda l’architettura stessa dei modelli linguistici.
Nella maggior parte delle applicazioni, l’istruzione impartita dall’utente e il contenuto recuperato dal web durante la generazione della risposta viaggiano sullo stesso canale, senza una separazione netta tra dato e comando.
L’Open Web Application Security Project colloca da almeno tre edizioni consecutive il prompt injection al primo posto nella propria classifica dei rischi più critici per le applicazioni basate su modelli linguistici, definendolo come la capacità di un contenuto esterno non attendibile di essere interpretato dal sistema come un’istruzione legittima anziché come semplice informazione da elaborare.
Nei sistemi dotati di capacità di azione autonoma la stessa OWASP colloca
un rischio correlato, l’eccesso di agentività, che riguarda la possibilità che un assistente venga indotto a eseguire comandi non richiesti anziché limitarsi a rispondere.
Quando una chatbot naviga sul web per rispondere, o richiama strumenti di ricerca in tempo reale, questa debolezza si traduce in una superficie di attacco concreta: chiunque pubblichi un contenuto costruito ad arte può, in teoria, condizionare la risposta che il sistema fornirà a un utente ignaro.
Questa pratica è l’equivalente per l’era delle chatbot delle tecniche di manipolazione dei motori di ricerca tradizionali, ma resa più efficace dal fatto che l’utente riceve una risposta sintetica già confezionata, senza l’elenco di link che gli permetterebbe di verificarne autonomamente la fonte.
Le inchieste
Due inchieste della BBC hanno mostrato quanto sia bassa la soglia tecnica necessaria per sfruttare questa debolezza.
Nella prima, un giornalista ha pubblicato in circa venti minuti un contenuto inventato su un blog personale, e nel giro di ventiquattro ore ChatGPT, Gemini e le sintesi automatiche di Google avevano già ripreso parte del contenuto fabbricato come fosse informazione verificata.
Nella seconda, la stessa Google ha confermato di monitorare pagine web costruite appositamente per contenere istruzioni capaci di condizionare le risposte dei propri sistemi di intelligenza artificiale, orientandone raccomandazioni e risultati.
L’azienda ha ampliato le proprie regole antispam per includere esplicitamente i tentativi di manipolare le risposte generate automaticamente.
Il rischio non si esaurisce nella disinformazione: gli stessi meccanismi di iniezione indiretta possono, nei sistemi dotati di capacità di azione autonoma, indurre un assistente a eseguire comandi non richiesti.
Il quadro normativo
Sul piano normativo, il regolamento europeo sull’intelligenza artificiale impone ai fornitori di modelli di uso generale classificati a rischio sistemico, soglia che comprende i sistemi più avanzati disponibili sul mercato, di condurre test avversariali per individuare vulnerabilità di questo tipo, di valutare e mitigare i rischi sistemici a livello europeo, di segnalare senza ritardo gli incidenti gravi all’Ufficio europeo per l’intelligenza artificiale e di garantire un livello adeguato di sicurezza informatica del modello e dell’infrastruttura che lo ospita.
L’inadempienza espone i fornitori a sanzioni fino a 15 milioni di euro o al 3% del fatturato globale annuo, a seconda di quale importo sia più elevato.
Il regolamento sui servizi digitali, dal canto suo, impone alle piattaforme di dimensioni molto grandi di valutare e mitigare annualmente i rischi sistemici che i propri servizi possono generare per i processi elettorali e il dibattito civico.
I chatbot conversazionali autonomi, tuttavia, non rientrano tipicamente in questa categoria, poiché non sono piattaforme di condivisione di contenuti nel senso previsto dalla normativa.
Ne risulta uno scarto tra i due regimi: i modelli più avanzati rispondono di rischi sistemici generici, le piattaforme di grandi dimensioni rispondono specificamente di rischi elettorali, ma nessuno dei due copre in modo esplicito un assistente conversazionale che fornisce, di propria iniziativa, indicazioni di voto personalizzate.
Lo stesso primo rapporto ufficiale sui rischi sistemici pubblicato ai sensi del regolamento sui servizi digitali riconosce che le chatbot di intelligenza artificiale generativa possono rispondere in modo errato a domande relative alle elezioni, segno che il problema è già sul radar delle istituzioni europee pur restando fuori da obblighi specifici.
Le autorità nazionali iniziano a colmare questo scarto in autonomia.
Il caso dei Paesi Bassi
L’Autorità per la protezione dei dati dei Paesi Bassi ha testato quattro chatbot poco prima delle elezioni legislative dell’ottobre 2025, rilevando che oltre la metà delle interazioni indirizzava gli elettori verso solo due partiti agli estremi opposti dello spettro politico, e ha chiesto ai fornitori di trattare questi sistemi secondo i requisiti previsti per gli usi ad alto rischio.
Nel Regno Unito
Nel Regno Unito, un’analisi del think tank Demos condotta durante le elezioni scozzesi del 2026 ha rilevato errori fattuali nel 34% delle risposte fornite da cinque servizi di intelligenza artificiale a domande di base sul processo elettorale.
Brevi conversazioni con un chatbot elettorale spostano le preferenze di voto
Invece uno studio pubblicato su Nature alla fine del 2025 ha mostrato come conversazioni anche brevi con una chatbot possano spostare in modo misurabile le preferenze di voto degli elettori.
Il filo che collega questi episodi non è la solainaccuratezza delle chatbot, ma la loro esposizione a manipolazioni esterne che nessun quadro normativo attuale è in grado di intercettare in modo sistematico.
Finché la sicurezza dei contenuti che alimentano le risposte non verrà trattata con lo stesso rigore riservato alla sicurezza del modello, gli assistenti conversazionali resteranno un bersaglio praticabile per chiunque voglia condizionare, anche solo temporaneamente, ciò che milioni di utenti leggono come risposta autorevole.
Partecipa alla community