L'orologio di chi mi sta davanti sta registrando quello che dico?

Sei seduto davanti a una persona che porta uno smartwatch. State parlando di qualcosa che non vorresti sentire ripetere. E a un certo punto ti viene il pensiero: quell’orologio sta registrando?

La risposta tecnica è sì, può farlo. La risposta utile è più articolata, e secondo me sta altrove. Registrare lo può fare anche il telefono che quella persona ha in tasca da quindici anni, quindi la domanda interessante riguarda quello che succede dopo la registrazione.

Però prima i fatti, modello per modello, perché su questo circolano più leggende che informazioni.

Cosa può fare il microfono di un orologio

Apple Watch. Ha un’app Memo vocali nativa: si avvia la registrazione con un pulsante, si ferma con un pulsante. Durante la registrazione lo schermo mostra un pulsante rosso di stop, il tempo trascorso e la parola “Recording” in alto a destra. La durata massima non è dichiarata nella documentazione Apple. Esiste anche un’icona arancione del microfono nell’area di stato del quadrante, e Apple scrive che compare quando il microfono dell’Apple Watch è in ascolto, cioè quando parli con Siri, registri un memo o usi un’app che attiva il microfono.

Su quell’icona devo essere preciso, perché è il punto in cui un articolo divulgativo rischia di rassicurare più di quanto le fonti permettano. Apple la documenta come icona di stato a schermo, non come un indicatore hardware. E il documento Apple sulla sicurezza delle piattaforme, quello che descrive il controllo dei permessi delle app, elenca il permesso microfono per iOS, iPadOS, macOS e visionOS: watchOS lì non c’è. Quindi la formulazione che posso difendere è questa: Apple documenta un’icona con quella funzione; non ho trovato un documento che garantisca che sia inaggirabile sull’orologio.

Pixel Watch. App Recorder nativa, con un limite dichiarato di 30 minuti per registrazione sull’orologio. La registrazione continua anche a schermo spento. Al primo uso si sceglie se sincronizzarle sul telefono o tenerle sull’orologio, e quale sia l’opzione preselezionata la documentazione non lo dice. Durante la registrazione appare “Currently recording” tra le notifiche dell’orologio. Nessun indicatore luminoso documentato.

Galaxy Watch. App Registratore vocale nativa dalla serie Watch4 in poi, con tre modalità, e si registra tenendo premuto il pulsante. Durata massima non dichiarata: la pagina Samsung dice solo che lo spazio insufficiente può limitare la registrazione. Nessun indicatore di registrazione menzionato.

Garmin. Esiste una funzione Note vocali su diversi modelli, Venu 4, Venu X1, fēnix 9, D2 Air X15 e altri, con la possibilità di taggare la posizione GPS. Durata massima non dichiarata in nessuno dei manuali che ho letto, e nessun indicatore menzionato. Garmin non pubblica un elenco unico dei modelli con microfono, quindi non te lo posso dare.

Fitbit. Il microfono c’è solo su alcuni smartwatch, non sulle fasce di attività, e qui la documentazione dice la cosa più netta di tutte: non esiste una parola di attivazione, l’assistente si apre aprendo l’app, e il microfono si spegne quando l’assistente risponde, quando chiudi, o quando lo schermo si spegne. Sulle fasce tipo Charge o Inspire non ho trovato schede tecniche che dichiarino un microfono, ma non le ho aperte una per una, quindi lo lascio come non verificato.

E poi esistono gli orologi venduti come registratori. Non smartwatch: apparecchi con 8 o 16 gigabyte di memoria interna e registrazione continua o attivata dalla voce, in vendita su marketplace e presso rivenditori di sorveglianza. Qui le fonti che ho sono pagine commerciali, quindi stabiliscono solo che la categoria esiste in commercio. Se qualcuno vuole registrarti di nascosto, non compra un Apple Watch.

Il buco vero: su Wear OS non lo so

Questo è il punto in cui l’articolo rischiava di dirti una cosa falsa, quindi lo isolo.

Android impone dalla versione 12 i cosiddetti indicatori di privacy, cioè l’iconcina del microfono o della fotocamera nella barra di stato quando un’app li sta usando. È il meccanismo per cui sul telefono te ne accorgi. Il documento di Google che lo descrive, però, non menziona gli orologi né alcun formato di dispositivo, e non ho trovato documentazione Google o Samsung che confermi la presenza di quell’indicatore su Galaxy Watch o Pixel Watch. Dal lato opposto, Samsung documenta il pallino verde solo per telefoni e tablet.

Quindi non posso dirti né che su Wear OS il microfono attivo si vede, né che non si vede. È un buco nelle fonti, e qualunque articolo che ti dia una risposta secca su questo punto l’ha inventata. Sto cercando di verificarlo su un orologio vero e aggiornerò.

Ma c’è una cosa che si può dire già adesso, e che risponde alla domanda come la fa una persona normale. Anche dove l’indicatore esiste, è un puntino in un quadrante da tre centimetri e mezzo, al polso di qualcun altro, girato verso di lui. Alla distanza di una conversazione non lo vedi. L’indicatore serve a chi porta l’orologio, non a chi gli sta davanti.

L’ascolto continuo, raccontato per quello che è

Qui c’è una contraddizione che va spiegata invece di scegliere un lato, e la fonte migliore sono gli orientamenti del Comitato europeo per la protezione dei dati sugli assistenti vocali.

Da un lato il Comitato scrive che finché non viene rilevata la parola di attivazione nessun audio esce dal dispositivo, e che l’analisi per riconoscerla avviene in continuo ma esclusivamente in locale. Dall’altro lato, due paragrafi dopo, scrive che quel riconoscimento è probabilistico, che gli sviluppatori tendono a impostare una soglia relativamente bassa per non far mancare le attivazioni volute, e che la conseguenza di un falso riconoscimento può essere l’invio di registrazioni audio. E aggiunge che una seconda verifica della pronuncia avviene lato server, cioè dopo che l’audio è già partito.

Le due affermazioni non si contraddicono: la prima descrive il progetto, la seconda il funzionamento reale. Google lo conferma in proprio, nella pagina sulle registrazioni audio: l’audio può essere salvato se il dispositivo rileva per errore un’attivazione, per esempio un rumore che suona come “Hey Google”. E alcuni dispositivi includono qualche secondo precedente all’attivazione, per catturare la richiesta completa.

Lo stesso documento europeo dice anche la cosa che riguarda te, che non hai nessun orologio al polso: gli assistenti possono catturare accidentalmente l’audio di persone che non intendevano usarli, è altamente improbabile che un’attivazione accidentale possa essere interpretata come un consenso valido, e la voce di terzi può finire raccolta come rumore di fondo. Il Garante italiano, nella sua scheda sugli assistenti digitali, arriva allo stesso punto: i dati possono riguardare anche chi si trova nello stesso ambiente, e consiglia di scegliere una parola di attivazione poco comune, perché le parole di uso quotidiano causano attivazioni involontarie.

Sul lato conservazione, due dati utili e verificati.

Google: l’impostazione che salva le registrazioni vocali è disattivata per default, e lo scrive la pagina ufficiale. Se è spenta, Google elabora comunque l’audio per risponderti ma non lo salva. E se la disattivi adesso, quello già salvato non viene cancellato: va cancellato a parte.

Apple: dichiara di non conservare l’audio delle interazioni con Siri a meno che non si faccia un’adesione esplicita al programma di miglioramento, e nello stesso tempo dichiara che trascrizioni e dati della richiesta possono essere conservati fino a due anni, legati a un identificativo generato dal dispositivo e non all’account. Non è una smentita di sé stessa: l’audio e la trascrizione sono due cose diverse, e tenerle distinte evita di raccontare un falso in entrambe le direzioni.

Sulla causa americana, che viene citata spesso e quasi sempre male: è Lopez e altri contro Apple, tribunale federale della California del Nord, un fondo da 95 milioni di dollari, classe formata da proprietari di dispositivi con Siri negli Stati Uniti per il periodo dal 17 settembre 2014 al 31 dicembre 2024, e l’Apple Watch è espressamente nell’elenco dei dispositivi. Fino a 20 dollari per dispositivo, massimo cinque dispositivi. Nei documenti ufficiali Apple nega tutte le accuse e dichiara che l’accordo non è un’ammissione di responsabilità. Si parla poi di una parte non monetaria, che sarebbe la più interessante: la cancellazione delle registrazioni audio di Siri raccolte prima di ottobre 2019 e una spiegazione più chiara dell’adesione al programma di miglioramento. Qui devo fermarmi: l’avviso ufficiale rivolto alla classe, che è il documento che ho letto, descrive solo la parte economica e non nomina quegli impegni. Li riporto come ricostruzione della stampa specializzata, non come fonte primaria. Se fossero confermati, resterebbe comunque da notare la data: ottobre 2019, mentre il periodo della classe arriva a fine 2024.

Il modo corretto di raccontarlo, quindi, sta lontano da entrambe le versioni che circolano. Apple ha pagato per chiudere una causa sulle attivazioni non intenzionali, negando ogni addebito.

E i sensori di movimento?

C’è un filone di ricerca che viene raccontato male praticamente sempre, e si ridimensiona bene con i numeri dei paper invece che con le impressioni.

L’idea è questa: l’accelerometro e il giroscopio di un dispositivo al polso misurano movimenti minimi, e da quei movimenti si potrebbe dedurre cosa stai digitando. Non serve il permesso microfono, e storicamente non serviva nessun permesso.

Il lavoro più pertinente è MoLe, presentato a MobiCom nel 2015. Condizioni: un orologio Android Wear, solo al polso sinistro, sensori a 200 Hz, tastiera di un portatile, otto volontari, dizionario delle 5.000 parole inglesi più frequenti. Il risultato si misura in posizioni di una lista di ipotesi, e la parola vera finisce in media al ventiquattresimo posto. E ci sono due limiti che chiudono la faccenda. Il primo: il tasso di rilevamento dei tasti battuti con la mano sinistra è tra l’88 e il 98 per cento, quello dei tasti della mano destra tra il 2,6 e il 6,2. L’orologio sente solo la metà di tastiera su cui sta il polso. Il secondo: abbassando la frequenza di campionamento il risultato crolla, e a 20 Hz la posizione media della parola vera passa da 24 a 1.218. Sono gli autori stessi a indicare questo come rimedio.

Un altro studio dello stesso anno, quello di Liu e colleghi presentato alla conferenza CCS, arriva a indovinare un PIN a sei cifre su un terminale di pagamento con percentuali alte, ma solo fornendo una lista di candidati e con il classificatore tarato sugli stessi dati di test, e assumendo che si digiti con la mano che porta l’orologio. Un lavoro del 2018 pubblicato su IEEE Transactions on Mobile Computing, di Maiti e colleghi, misurato su tastierini numerici, dà l’84 per cento quando il sistema è addestrato sulla stessa persona, il 70 quando è addestrato su altri, e scende tra il 52 e il 61 con digitazione naturale invece che dettata, crollando al 23 per cento se la frequenza dei sensori passa a 10 Hz. Lo stesso lavoro segnala che su una tastiera QWERTY la precisione per lettera è intorno al 30 per cento, e che tenere i sensori a quella frequenza consumava il 31 per cento di batteria in un’ora, il che rende l’attacco poco invisibile.

E poi c’è il paper che fonda la leggenda del giroscopio-microfono, Gyrophone, del 2014. Va letto per quello che dice: niente smartwatch, erano smartphone su un tavolo; niente voce umana dal vivo, il parlato veniva riprodotto da altoparlanti a circa 75 decibel; vocabolario di undici parole, le cifre da zero a nove più “oh”. Il riconoscimento delle cifre indipendente da chi parla arriva al 17 per cento con il metodo migliore, contro un 9 per cento di puro caso. Gli autori scrivono che il segnale del giroscopio non è comprensibile all’orecchio umano e che la trascrizione di parlato fluente non è stata dimostrata.

Riassumendo in modo ripetibile: non ho trovato nessuna ricerca che dimostri il riconoscimento di parlato dai sensori di movimento di un dispositivo da polso. Quello che è documentato è l’inferenza di ciò che si digita, in laboratorio, con tastiera nota, postura stabile, polso giusto, frequenza alta e una lista di candidati invece di una risposta. Il rischio reale si concentra sui PIN digitati su tastierini, non sulle conversazioni.

La parte che conta: registrare e pubblicare non sono la stessa cosa

Qui serve una premessa onesta: non sono avvocato, questi sono riferimenti normativi e non un parere legale, e le massime che cito le ho prese da repertori giuridici, non dal testo integrale delle sentenze. Se la questione ti riguarda davvero, servono gli estremi verificati in banca dati e una persona che faccia questo di mestiere.

Il principio di partenza, in Italia, è consolidato dal 2003, quando le Sezioni Unite penali della Cassazione hanno stabilito che la registrazione di una conversazione da parte di uno degli interlocutori, anche all’insaputa dell’altro, non è un’intercettazione, perché manca la terzietà di chi capta, e costituisce prova documentale. Quindi: chi partecipa a una conversazione può registrarla.

L’articolo 615-bis del codice penale, quello sulle interferenze illecite nella vita privata, punisce chi si procura indebitamente notizie o immagini della vita privata altrui usando strumenti di ripresa visiva o sonora. Ha due limiti che vanno detti entrambi. Il primo: vale per i luoghi di privata dimora richiamati dall’articolo 614, quindi non per un bar, una strada, un ufficio aperto al pubblico. Il secondo: la giurisprudenza prevalente lo riferisce al terzo estraneo, non a chi partecipa al momento riservato. Sull’abitacolo dell’automobile, per curiosità, le pronunce divergono.

Ora la parte utile, che è il secondo comma dello stesso articolo: punisce, separatamente, chi rivela o diffonde quelle notizie con qualsiasi mezzo di informazione al pubblico. Sono due condotte distinte, e nella pratica italiana è la seconda quella che viene colpita.

L’esempio più recente lo offre il Garante privacy. Nell’agosto 2025 ha disposto una limitazione urgente nei confronti di un canale YouTube, ordinando la rimozione di un audio e vietandone la riproduzione sotto qualsiasi forma; nel settembre 2026 ha concluso ritenendo illecita la diffusione dell’audio e degli estratti di una chat privata, con una sanzione di 4.950 euro, motivata dalla finalità di spettacolarizzazione, dal danno alla reputazione anche professionale e dall’aggravante della diffusione online. In nessuno dei due provvedimenti il Garante affronta come quell’audio fosse stato ottenuto: colpisce la pubblicazione.

E c’è un limite in più che ridimensiona il “si può sempre registrare”. Nel luglio 2025 la Cassazione ha stabilito, in materia di lavoro, che la registrazione occulta di colleghi può essere lecita solo se è pertinente, necessaria, non sostituibile con mezzi meno invasivi e tempestiva rispetto a un giudizio pendente o imminente. Registrare per precostituirsi prove in generale non basta, e nel caso concreto una registrazione di quasi due ore è stata ritenuta esplorativa, con la sanzione disciplinare giudicata proporzionata. L’onere di provare la finalità difensiva sta su chi ha registrato.

C’è poi una norma penale che si chiama diffusione di riprese e registrazioni fraudolente, introdotta nel 2018, che riguarda proprio il pubblicare una registrazione fatta in modo fraudolento per recare danno. Non l’ho verificata nel testo, quindi mi fermo qui e la segnalo come la cosa che chi vuole approfondire deve leggere.

Cosa puoi fare, se il tuo orologio sei tu a portarlo

Metà di questa domanda, in fondo, riguarda il tuo orologio.

1. Apple Watch, togli le attivazioni vocali: Impostazioni, Siri, e disattiva separatamente "Alza per parlare", "Rileva Siri o Ehi Siri" e "Premi la Digital Crown". Sono tre interruttori distinti e si spengono uno per uno.
2. Apple Watch, cancella la cronologia: Impostazioni, Siri, "Cronologia Siri", "Elimina cronologia di Siri". E sull'iPhone, per uscire dalla conservazione dell'audio e dall'eventuale revisione umana, Impostazioni, Privacy e sicurezza, Analisi e migliorie.
3. Wear OS, togli la parola di attivazione: dall'orologio, scorri dall'alto, Impostazioni, Google, assistente digitale, e disattiva il rilevamento di "Hey Google". La pagina Google esiste solo in inglese, quindi i nomi italiani li leggi sullo schermo.
4. Google, ferma la conservazione: Account Google, Dati e privacy, Impostazioni cronologia, Attività web e app, e togli la spunta all'attività vocale e audio. Ricorda che è già disattivata per default e che togliere la spunta adesso non cancella quello che è già salvato: per quello serve passare da activity.google.com.
5. Controlla i permessi microfono delle app, e qui devo dirti che sull'orologio non ho trovato un percorso documentato. Per Apple la documentazione dice che i permessi si gestiscono dall'iPhone, e il microfono non è nemmeno nominato tra quelli condivisi; su Wear OS non ho trovato niente. Il ripiego documentato è dal telefono: su iPhone Impostazioni, Privacy e sicurezza, Microfono; su Android Impostazioni, Privacy, gestione delle autorizzazioni, Microfono. È il percorso che indica anche il Garante.

Su Pixel Watch c’è un dettaglio che conviene sapere: la parola di attivazione funziona solo mentre lo schermo dell’orologio è attivo. Sui modelli più recenti esiste invece una modalità che si attiva alzando il polso e parlando vicino alla bocca, senza parola di attivazione, e che segnala la disponibilità con un piccolo alone luminoso in basso sul quadrante. Quanto sia visibile quell’alone da un metro di distanza, seduti di fronte a qualcuno, è esattamente una delle cose che voglio provare prima di scriverla.

Per capire cosa c’è sotto

Il tema dei permessi, cioè quali app possono usare cosa e dove si controlla, torna in continuazione: ne ho scritto per la posizione in Google sa dove sono stato: cosa controllare, e il ragionamento sul microfono è identico. Se invece ti interessa il lato opposto, cioè cosa può fare un dispositivo indossabile quando è progettato per guardare e ascoltare, c’è A cosa servono gli occhiali con l’intelligenza artificiale.