Abbiamo spento il vocale, e perché lo diciamo

Konnexa aveva una funzione di dettatura: si premeva il microfono e si riempiva un campo parlando. Comoda soprattutto nella creazione di un'azienda da visura, dove i dati da trascrivere sono tanti e noiosi.

Da fine luglio 2026 non c'è più. Non perché fosse rotta — funzionava — ma perché ci siamo accorti di una cosa che avremmo dovuto vedere prima di accenderla.

Il buco

La trascrizione la faceva un servizio esterno che si paga a minuto di audio. Nel nostro codice non c'era niente che limitasse quante richieste potesse fare un singolo account autenticato.

Non serve un attacco per farsi male con una cosa del genere. Basta un pulsante che resta premuto, uno script scritto male, o semplicemente un uso molto più intenso del previsto: la spesa non ha un tetto e cresce mentre nessuno la guarda. Il rischio non era la sicurezza dei dati — l'audio passava da un proxy nostro, la chiave non arrivava mai al browser, niente veniva conservato — era la fattura.

La scelta è stata spegnere subito e riaccendere quando ci sono le protezioni, invece del contrario. Una funzione comoda che può costare una cifra arbitraria non è pronta, per quanto funzioni bene.

L'interruttore, e perché sta nel posto giusto

La funzione è dietro una variabile d'ambiente. Non valorizzata, il vocale è spento: i pulsanti non vengono nemmeno generati nell'HTML.

È una differenza che conta. Se il pulsante restasse in pagina disabilitato via CSS o JavaScript, l'endpoint dietro sarebbe ancora raggiungibile e il problema resterebbe intero, solo meno visibile. Spegnere una funzione vuol dire spegnere quello che fa, non quello che si vede.

Se togli una funzione nascondendo il bottone, non l'hai tolta. L'hai resa più difficile da trovare per le persone oneste.

L'effetto collaterale che quasi ci sfuggiva

La dettatura era l'unico punto in cui la piattaforma usava un sistema di intelligenza artificiale. Spegnendola, quel capitolo si è chiuso per intero — e con esso gli obblighi che ne discendono.

Ma vale anche il verso opposto, che è la parte che ci ha insegnato di più: nella stessa occasione abbiamo tolto dall'informativa privacy i paragrafi che descrivevano il trattamento dei dati vocali, perché descrivevano una cosa che non avveniva più. Ora quei paragrafi vanno rimessi prima di riaccendere il flag, e la cosa è scritta in cima al documento come primo punto di una checklist.

Sembra pedanteria. È l'errore più facile del mondo: riaccendere una funzione perché "c'era già" e ritrovarsi a trattare dati che non si sono più dichiarati da nessuna parte. Uno spegnimento non documentato produce, mesi dopo, una riaccensione che è messa peggio della situazione di partenza.

Cosa non era IA, e viene scambiato per tale

Approfittiamo per chiarire tre cose che nella stessa piattaforma sembrano intelligenza artificiale e non lo sono:

• l'estrazione dei dati da una visura camerale in PDF: sono regole deterministiche su testo, scritte da qualcuno. Se sbagliano, sbagliano sempre allo stesso modo — ed è per questo che si possono correggere;
• il calcolo delle scadenze di formazione e sorveglianza sanitaria: è aritmetica su date. Nessuna stima, nessuna probabilità;
• il login con Google: autenticazione, niente di più.

La distinzione non è accademica. Un sistema deterministico si può verificare leggendo la regola; uno probabilistico va sorvegliato in un altro modo, dichiarato, e chi lo usa deve saperlo. Chiamare IA tutto ciò che è automatico rende impossibile discutere seriamente dell'unica parte che lo è davvero.

Cosa serve per riaccenderla

La lista sta scritta, e non è lunga: un limite di frequenza per utente sull'endpoint, un tetto alla dimensione di ciò che si può mandare, una quota e un avviso di budget sul progetto esterno, e i paragrafi dell'informativa rimessi al loro posto.

Finché quelle caselle non sono spuntate la funzione resta spenta, anche se riaccenderla sarebbe questione di una riga. Il costo di una riga non è la riga: è tutto quello che quella riga rimette in moto.