# Dark pattern

In informatica, un dark pattern o modello oscuro (inteso come malevole, cattivo), noto anche come modello di progettazione ingannevole (deceptive design in inglese) è un'interfaccia utente che è stata accuratamente studiata e realizzata per indurre gli utenti a compiere azioni indesiderate e svantaggiose per loro, come acquistare un'assicurazione troppo costosa o iscriversi a servizi in abbonamento non voluti.
Il progettista dell'esperienza utente Harry Brignull ha coniato il neologismo dark pattern il 28 luglio 2010 con la registrazione del dominio darkpatterns.org, una "libreria di pattern con l'obiettivo specifico di individuare e svergognare interfacce utente ingannevoli".
Nel 2021 la Electronic Frontier Foundation e Consumer Reports hanno aperto agli utenti la possibilità di segnalare per poter raccogliere informazioni sui modelli oscuri.

## Descrizione di alcuni modelli
### Privacy Zuckering

"Privacy Zuckering" – dal nome del co-fondatore di Facebook e CEO di Meta Platforms Mark Zuckerberg – è una pratica che induce l'utente a condividere più informazioni di quelle che intendeva. Gli utenti possono rinunciare alla riservatezza di queste informazioni senza accorgersene, oppure non compiendo le azioni concepite per rendere difficoltosa o ritardare la possibilità di rinunciare alla condivisione delle proprie informazioni private. La California ha approvato regolamenti che limitano questa pratica da parte delle aziende nel California Consumer Privacy Act.
Per quanto riguarda l'Europa, l'adozione del regolamento generale sulla protezione dei dati (GDPR) prevede, all'art. 25, l'introduzione dei concetti di privacy by design e privacy by default, che prevedono, rispettivamente, che il software e la sua interfaccia debbano garantire la privacy dell'utente sin dal momento della sua progettazione, e in ogni caso con le opzioni di configurazione selezionate in modo predefinito per garantire la massima privacy.
"Privacy Zuckering" per l'addestramento dei modelli di IA
A metà del 2024, Meta Platforms ha annunciato l’intenzione di utilizzare i dati degli utenti di Facebook e Instagram per addestrare le sue tecnologie di intelligenza artificiale, inclusi i sistemi generativi. Questa iniziativa prevedeva l’elaborazione di dati provenienti da post pubblici e non pubblici, interazioni e persino account abbandonati. Gli utenti avevano tempo fino al 26 giugno 2024 per opporsi a questo trattamento dei dati. Tuttavia, i critici hanno sottolineato che il processo era pieno di ostacoli, tra cui notifiche e-mail fuorvianti, reindirizzamenti a pagine di accesso e moduli di rinuncia difficili da trovare. Anche quando gli utenti riuscivano a individuare i moduli, era richiesto di fornire una motivazione per l’opzione di rinuncia, nonostante la politica di Meta affermasse che qualsiasi motivo sarebbe stato accettato, sollevando dubbi sulla necessità di questo passaggio aggiuntivo.
Il Centro Europeo per i Diritti Digitali (Noyb) ha risposto alle pratiche controverse di Meta presentando reclami in 11 paesi dell’UE. Noyb ha accusato Meta di utilizzare "dark patterns" per compromettere il consenso degli utenti, in violazione del Regolamento Generale sulla Protezione dei Dati (GDPR). Questi reclami hanno evidenziato che il processo di rinuncia ostacolante di Meta includeva moduli nascosti, meccanismi di reindirizzamento e requisiti inutili, come fornire motivazioni per rinunciare — tattiche che esemplificano i "dark patterns", progettate deliberatamente per scoraggiare gli utenti dal rinunciare. Inoltre, Meta ha ammesso di non poter garantire che i dati degli utenti che hanno scelto di rinunciare fossero completamente esclusi dai suoi set di dati per l’addestramento, sollevando ulteriori preoccupazioni sulla privacy e la conformità alle normative sulla protezione dei dati.
Di fronte alla crescente pressione normativa e pubblica, la Commissione irlandese per la protezione dei dati (DPC) è intervenuta, portando Meta a sospendere i suoi piani di elaborazione dei dati degli utenti dell'UE/SEE per l’addestramento dell’IA. Questa decisione, sebbene significativa, non ha portato a una modifica giuridicamente vincolante della politica sulla privacy di Meta, lasciando aperte domande sull’impegno a lungo termine dell’azienda nel rispettare i diritti sui dati nell’UE. Al di fuori dell’UE, tuttavia, Meta ha proceduto con l’aggiornamento della sua politica sulla privacy come previsto il 26 giugno 2024, spingendo i critici a mettere in guardia sulle implicazioni globali di tali pratiche.
Questo episodio ha evidenziato il problema pervasivo dei "dark patterns" nelle impostazioni sulla privacy e le sfide nel rendere responsabili le grandi aziende tecnologiche per le loro pratiche sui dati. I gruppi di advocacy hanno richiesto quadri normativi più rigorosi per prevenire tattiche ingannevoli e garantire che gli utenti possano esercitare un controllo significativo sulle proprie informazioni personali.

### Bait-and-switch

I modelli esca-con-cambio (Bait-and-switch in inglese) pubblicizzano un prodotto o servizio gratuito (o a un prezzo notevolmente ridotto) che in realtà non è disponibile oppure lo è in quantità molto ridotte (utilizzato quindi solo come esca). Dopo aver annunciato l'indisponibilità del prodotto desiderato, la pagina presenta prodotti simili a prezzo superiore o di qualità inferiore.

### Confirmshaming

La conferma imbarazzante (Confirmshaming in inglese) usa la risposta emotiva per indurre gli utenti a provare vergogna nel compiere, ovvero confermare, l'azione di rifiuto. Ad esempio, quando un sito web mostra un'opzione per rifiutare l'iscrizione ad una newsletter via e-mail in un modo tale da spingere i visitatori ad accettare anziché rifiutare, per esempio prospettando la possibilità che rifiutando il fornitore potrebbe non essere più in grado di continuare a offrire il servizio richiesto in quanto da tale iscrizione dipende in parte il suo sostentamento.

### Misdirection

Tecnica comunemente impiegata nei software di installazione di altre applicazioni (installer), il depistaggio (misdirection in inglese) presenta all'utente un pulsante simile a un tipico pulsante di avanzamento dell'installazione, ma l'inganno consiste nel mostrare all'utente un pulsante "Accetto questi termini" in primo piano con lo scopo di chiedergli di accettare i termini di un programma diverso e non correlato a quello che stava tentando di installare. Poiché l'utente in genere accetta i termini per forza d'abitudine, il programma "intruso" viene installato insieme a quello principale che invece era l'unico che l'utente desiderava ottenere con quell'installer.
Gli autori dell'installer lo hanno progettato in questo modo in quanto vengono pagati dagli autori del programma non correlato/estraneo per ogni installazione che effettuano per conto loro. Il percorso alternativo previsto dall'installer, che consente all'utente di evitare l'installazione del programma indesiderato, è visualizzato in modo molto meno evidente, o sembra controintuitivo (come rifiutare i termini di servizio).
Anche alcuni siti web, quando richiedono informazioni non necessarie, utilizzano il depistaggio. Ad esempio, si inserisce un nome utente e una password su una pagina e, dopo aver fatto clic sul pulsante "Avanti", la pagina successiva chiede all'utente il proprio indirizzo e-mail con un altro pulsante "Avanti" come unica opzione. In questo modo viene nascosta all'utente la possibilità di premere "avanti" potendo accedere ugualmente al servizio anche senza dover inserire le ulteriori informazioni, come l'indirizzo email.
In alcuni casi, la pagina mostra il metodo per saltare il passaggio come un piccolo link in grigio anziché come un pulsante, in modo che non risulti evidente per l'utente. Altri esempi includono siti che offrono un modo per invitare amici inserendo il loro indirizzo e-mail, per caricare un'immagine del profilo o per identificare interessi personali a scopo di profilazione.
Possono anche essere utilizzate formulazioni confuse per indurre gli utenti ad accettare formalmente un'opzione che secondo loro aveva il significato opposto, ad esempio un consenso al trattamento dei dati personali presentato con una casella di controllo con la dicitura "non vendere le mie informazioni personali" abbinato ad un pulsante "Conferma" o "Accetta": gli utenti selezionando la casella e premendo il pulsante pensavano di negare il trattamento di tutti i propri dati personali riservati mentre invece vi hanno acconsentito, con la sola eccezione della vendita di essi.

### Roach motel

Un motel di scarafaggi (roach motel in inglese) o una progettazione a modello rete da pesca fornisce un percorso facile o diretto per entrare (nel servizio) ma un percorso difficile per uscirne. Gli esempi includono aziende che richiedono agli abbonati di stampare e spedire per posta ordinaria cartacea la loro richiesta di rinuncia o cancellazione ad un servizio per l'iscrizione al quale bastava un semplice click.
Di recente, negli Stati Uniti, la Federal Trade Commission (FTC) ha annunciato che aumenterà il controllo contro l'applicazione di modelli oscuri come il roach motel che inducono i consumatori a sottoscrivere abbonamenti e/o ne rendono difficile la cancellazione. La FTC ha stabilito requisiti chiave relativi alla trasparenza e alla chiarezza delle informazioni, al consenso informato espresso e alla cancellazione semplice e facile.

### Sneak into basket

L'intrufolarsi nel cestino (sneak into basket in inglese) è l'aggiunta di prodotti o servizi non richiesti, oltre a quelli che sono stati scelti, nella lista finale dei prodotti selezionati per l'acquisto, detta carrello o cestino (basket in inglese), in analogia al contenitore con cui si raccolgono i prodotti da acquistare in un negozio fisico. Questo è avvenuto grazie alla preselezione di caselle di controllo che l'utente avrebbe dovuto deselezionare nelle pagine precedenti affinché i prodotti non richiesti non venissero aggiunti al carrello (negative billing option). Questa tecnica è diventata illegale nel Regno Unito e in molti Paesi dell'Unione europea.

### Hidden costs

I costi nascosti (hidden costs in inglese) sono quelli che non appaiono mai durante tutto il processo di scelta dei prodotti o dei servizi da acquistare (tipicamente da un sito di e-commerce, di prenotazione voli, hotel, noleggio veicoli e anche combinazioni fra queste), ma solo nell'ultima pagina del pagamento finale con il riepilogo dei prodotti o servizi acquistati (checkout), e solo dopo aver inserito tutti i dati del metodo di pagamento e i dati personali (ad esempio le spese di spedizione, di servizio, le commissioni, tasse supplementari ecc.). L'utente può essere indotto a confermare l'acquisto con i costi nascosti per non dover tornare indietro nelle pagine precedenti e modificare le proprie scelte, ricompilando nuovamente tutti i dati con notevole ulteriore perdita di tempo e impegno o ricominciare dall'inizio il processo di acquisto presso un altro sito.

## Ricerca

Nel 2016 e nel 2017 la ricerca ha documentato pratiche anti-privacy sui social media che utilizzano modelli oscuri. Nel 2018 il Norwegian Consumer Council (Forbrukerrådet) ha pubblicato "Deceived by Design", un rapporto sui design ingannevoli dell'interfaccia utente di Facebook, Google e Microsoft. Uno studio del 2019 ha esaminato le pratiche su 11000 siti web di shopping, identificando 1818 modelli oscuri in totale e li ha raggruppati in 15 categorie.
Una ricerca dell'aprile 2022 rileva che i modelli oscuri sono ancora comunemente utilizzati sul mercato, evidenziando la necessità di un ulteriore controllo di tali pratiche da parte del pubblico, dei ricercatori e delle autorità di regolamentazione.
Ai sensi del Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea, tutte le aziende devono ottenere un consenso libero e inequivocabile dai clienti prima di raccogliere e utilizzare ("elaborare") le loro informazioni di identificazione personale.
Uno studio del 2020 ha rilevato che le aziende "big tech" spesso utilizzavano interfacce utente ingannevoli per scoraggiare i propri utenti dall'opt-out. Nel 2022 un rapporto della Commissione europea ha rilevato che "il 97% dei siti Web e delle app più popolari utilizzati dai consumatori dell'UE ha implementato almeno un modello oscuro".

## Legalità

Bait-and-switch è una forma di frode che viola la legge statunitense. Nell'Unione europea, il GDPR richiede che il consenso informato di un utente al trattamento delle proprie informazioni personali sia inequivocabile, dato liberamente e specifico per ogni utilizzo delle informazioni personali. Questo ha lo scopo di impedire che gli utenti accettino inconsapevolmente tutto il trattamento dei dati per impostazione predefinita (che viola il regolamento).
Nell'aprile 2019, l'Information Commissioner's Office (ICO) del Regno Unito ha emesso una proposta di codice di progettazione per le operazioni dei servizi di social networking quando utilizzati da minori, che vieta l'uso di "nudge" per attirare gli utenti in opzioni con impostazioni di privacy basse. Questo codice sarebbe applicabile ai sensi del GDPR.
Il 9 aprile 2019, i senatori statunitensi Deb Fischer e Mark Warner hanno introdotto il Deceptive Experiences To Online Users Reduction (DETOUR) Act, che renderebbe illegale per le aziende con più di 100 milioni di utenti attivi mensili l'utilizzo di modelli oscuri quando cercano il consenso per utilizzare le loro informazioni personali.
Nel marzo 2021, la California ha adottato emendamenti al California Consumer Privacy Act, che vieta l'uso di interfacce utente ingannevoli che hanno "l'effetto sostanziale di sovvertire o compromettere la scelta di un consumatore di rinunciare".
Nell'ottobre 2021, la Federal Trade Commission ha rilasciato una dichiarazione sulla politica di applicazione, annunciando un giro di vite nei confronti delle aziende che utilizzano modelli oscuri che "ingannano o intrappolano i consumatori nei servizi in abbonamento". A seguito dell'aumento del numero di reclami, l'agenzia sta rispondendo applicando queste leggi sulla protezione dei consumatori.
Secondo il Comitato europeo per la protezione dei dati, il "principio del trattamento leale di cui all'articolo 5, paragrafo 1, lettera a) del GDPR funge da punto di partenza per valutare se un modello di progettazione costituisca effettivamente un 'dark pattern'".
Nel 2022, il procuratore generale di New York Letitia James ha multato Fareportal di 2,6 milioni di dollari per aver utilizzato tattiche di marketing ingannevoli per vendere biglietti aerei e camere d'albergo e la Corte federale australiana ha multato Trivago di Expedia Group per 44,7 milioni di dollari per aver indotto i consumatori a pagare prezzi più alti per le prenotazioni delle camere di albergo.