Gli strumenti di coding con AI inviano il tuo codice al cloud?

La maggior parte degli strumenti di coding con AI invia il tuo codice al cloud — non solo la riga che stai scrivendo, ma il file circostante, i file vicini, la struttura del repository e la telemetria d'uso. Quanto lascia il tuo computer dipende dallo strumento, e puoi verificarlo da solo. Questa guida spiega cosa viene inviato, perché, come controllare qualsiasi strumento in pochi minuti e come tenere il codice sul tuo computer quando serve.

La risposta breve e onesta: se uno strumento usa un modello ospitato (GPT, Claude, Gemini e la maggior parte degli IDE "AI"), il tuo prompt deve raggiungere i server di quel modello per ottenere un completamento — è così che funziona l'inferenza ospitata. Le vere domande sono quanto contesto viaggia insieme al prompt, che altro viene raccolto in parallelo e se esista un'opzione locale.

Cosa significa davvero "inviare al cloud"

Raramente si tratta solo del tuo prompt. Per offrire buoni completamenti, la maggior parte degli strumenti di coding con AI allega del contesto, ed è lì che la privacy fa acqua. I payload tipici comprendono:

• Il file corrente — spesso per intero, non solo la riga del cursore.
• File vicini o "rilevanti" — molti strumenti indicizzano il tuo repository e inviano frammenti che ritengono pertinenti (retrieval/embedding).
• Metadati del repository — albero dei file, linguaggio, a volte i remote git.
• Telemetria — eventi, latenza, utilizzo delle funzioni, report di crash e talvolta campioni di prompt/risposte per il "miglioramento del modello".
• Le tue chiavi API — conservate sul dispositivo dai buoni strumenti, ma alcuni sincronizzano le impostazioni con un account del fornitore.

Due strumenti con chat identiche possono comportarsi in modo completamente diverso: uno invia un prompt di 30 righe, l'altro carica silenziosamente dieci file più un indice di embedding dell'intero repository. Per un progetto hobbistico può andare bene. Per codice proprietario, di clienti o soggetto a regolamentazione, spesso è un problema contrattuale o legale.

Perché gli strumenti lo inviano (e dove sta il confine)

Ci sono tre cose distinte che spesso si confondono:

1. Inferenza — il modello che genera il completamento. Con un modello ospitato avviene necessariamente sui server del fornitore, quindi il tuo prompt lascia il computer. Con un modello locale avviene sulla tua CPU/GPU e nulla esce.
2. Raccolta del contesto — decidere cosa allegare al prompt. È una scelta di prodotto, non una legge di natura. Uno strumento può allegare un solo file o l'intero repository.
3. Telemetria — analytics non collegati alla generazione della tua risposta. Da parte del fornitore è quasi sempre opzionale, anche quando è attiva di default.

Con un modello ospitato non puoi evitare il punto 1 — è il prezzo da pagare per usarlo. Ma i punti 2 e 3 sono quelli in cui gli strumenti differiscono enormemente, ed è lì che gli strumenti "zero telemetria, modello locale" si collocano all'estremo opposto di "tutto indicizzato nel cloud".

Come controllare qualsiasi strumento in cinque minuti

Non fidarti del testo di marketing. Verifica. Tre livelli, dal meno costoso.

1. Leggi l'informativa sulla privacy e le impostazioni — cerca la riga sulla conservazione dei dati. Cerca nell'informativa "retention", "train", "improve", "zero data retention". Nell'app, apri le impostazioni e cerca gli interruttori della telemetria e un'opzione di "code indexing" / "codebase". Disattiva ciò che non vuoi.

2. Osserva la rete. La verità sta in ciò che il processo invia davvero. Su qualsiasi sistema operativo puoi elencare le connessioni attive:

# Linux / macOS — who is the editor talking to?
lsof -i -nP | grep -i -E 'code|cursor|node' 

# any platform, point-in-time
netstat -anp 2>/dev/null | grep ESTABLISHED

Per vedere il contenuto, fai passare lo strumento attraverso un proxy che ispeziona l'HTTPS e leggi i corpi delle richieste:

# mitmproxy: start it, then point the editor's HTTP proxy at 127.0.0.1:8080
mitmproxy --listen-port 8080
# trigger a completion, then inspect the flows to api.*/v1/* — that payload IS what you sent

Se nel corpo della richiesta verso un dominio del fornitore vedi il contenuto dei tuoi file (o di più), hai la tua risposta.

3. Bloccalo e guarda cosa smette di funzionare. Aggiungi i domini di telemetria del fornitore al file hosts o al firewall e continua a lavorare. Se i completamenti funzionano ancora ma le chiamate di "analytics" falliscono, hai separato l'inferenza dalla telemetria:

# quick, reversible block of a telemetry host
echo "0.0.0.0 telemetry.example-vendor.com" | sudo tee -a /etc/hosts

Cinque minuti così ti dicono più di qualsiasi landing page.

Come tenere il tuo codice sul tuo computer

Se la verifica ti preoccupa, hai opzioni concrete — lungo uno spettro, non tutto o niente:

• Disattiva indicizzazione e telemetria. La vittoria più economica. Molti strumenti cloud smettono di caricare il tuo repository una volta disattivati il "contesto del codebase" e gli analytics. L'inferenza esce comunque, ma con molto meno al seguito.
• Usa un modello locale. Esegui il modello stesso sul tuo computer con un runtime come Ollama, LM Studio, llama.cpp o vLLM, e collega un agente indipendente dal modello. Così l'inferenza avviene in locale e nulla va a un fornitore:

# pull and run a coding model locally with Ollama
ollama pull qwen2.5-coder:14b
ollama run qwen2.5-coder:14b
# exposes an OpenAI-compatible endpoint at http://localhost:11434

• Dividi il lavoro. Tieni un modello locale per il codice privato e uno ospitato per il lavoro usa e getta o pubblico. Gli strumenti indipendenti dal modello ti permettono di cambiare a seconda dell'attività.
• Tieni le chiavi sul dispositivo. Verifica che le chiavi API siano conservate in locale e non sincronizzate con un account del fornitore, così una violazione del fornitore non può esporle.

La combinazione che non perde nulla: un modello locale + nessuna telemetria + chiavi sul dispositivo + oscuramento dei segreti (così i file .env e i token non finiscono mai in un prompt, nemmeno nei log di un modello locale).

Dove si colloca NoTrack Coder

NoTrack Coder è pensato per l'estremo "tutto in locale" di questo spettro: funziona su Windows con zero telemetria, lavora con qualsiasi modello — runtime locali come Ollama/LM Studio/llama.cpp/vLLM oppure un endpoint ospitato, inclusa un'opzione integrata — mantiene le tue chiavi API sul tuo computer e oscura i segreti (.env, token, chiavi) prima che raggiungano il modello. Scegli tu, attività per attività, se qualcosa debba uscire o meno. È un esempio onesto dell'approccio local-first; scopri come si confronta nelle pagine di confronto o leggi la documentazione.

Vuoi l'estremo dello spettro in cui il tuo codice resta tuo? Scarica per Windows oppure consulta i piani nella pagina dei prezzi.

Domande frequenti

Gli strumenti di coding con AI inviano il mio codice al cloud?

Per lo più sì. Con un modello ospitato il tuo prompt deve raggiungere i server del fornitore, e molti strumenti allegano anche il file corrente, i file vicini e il contesto del repository, oltre alla telemetria. La quantità esatta varia in base allo strumento e alle impostazioni — e uno strumento con modello locale non invia nulla.

Come posso verificare cosa invia uno strumento di coding con AI?

Fallo passare attraverso un proxy che ispeziona l'HTTPS come mitmproxy e leggi i corpi delle richieste verso l'API del fornitore, oppure elenca le connessioni attive con lsof -i / netstat. Ciò che compare in quei payload è esattamente ciò che ha lasciato il tuo computer.

Posso usare un assistente di coding con AI senza inviare il codice al cloud?

Sì. Esegui il modello in locale con Ollama, LM Studio, llama.cpp o vLLM e usa un agente indipendente dal modello collegato a quell'endpoint locale. L'inferenza avviene così sul tuo computer e nulla va a un fornitore.

La telemetria equivale a inviare il mio codice?

No. La telemetria è analytics (utilizzo, latenza, crash) ed è di solito opzionale, mentre l'inferenza è il modello che genera la tua risposta. Un modello ospitato riceve sempre il tuo prompt; la telemetria spesso si può disattivare separatamente.

Qual è la configurazione di coding con AI più privata?

Un modello locale con zero telemetria, chiavi API conservate sul dispositivo e segreti oscurati prima che raggiungano il modello. Questa combinazione significa che nessun prompt, file o chiave lascia mai il tuo computer.