Il tuo robot aspirapolvere ha una telecamera? Che cosa mappa, che cosa invia e chi può vederlo

Molti robot aspirapolvere disegnano una mappa della casa mentre puliscono, e alcuni hanno anche una telecamera, di solito puntata sul pavimento davanti a sé per riconoscere ostacoli come cavi e calzini. Se la mappa e le immagini restano sul robot o finiscono sui server del produttore dipende dal modello e dalle tue impostazioni, e ogni produttore lo spiega a modo suo. Possono vederle tu e chi usa l’app insieme a te, il produttore e le aziende con cui lavora, nei limiti della sua informativa sulla privacy, e, quando la sicurezza cede, anche persone che non dovrebbero.

Questa pagina si basa sui documenti dei produttori, sulle ricerche di sicurezza pubblicate e sulle indicazioni delle autorità europee, e nomina i produttori solo come fonte di un’affermazione. Le citazioni da fonti in inglese sono tradotte in italiano. Dei robot guidati da operatori remoti si occupa la guida Robot di casa, telecamere e operatori remoti.

Quali robot aspirapolvere hanno una telecamera, e a che cosa serve?

Un robot aspirapolvere deve avere un modo per “vedere” la stanza. I sensori più comuni sono di tre tipi, e molti robot li combinano:

Uno scanner laser. Il lidar, spesso montato in una piccola torretta sopra il robot, misura con un laser la distanza da pareti e mobili. Restituisce distanze, non immagini.
Una telecamera per orientarsi. Alcuni robot guardano il soffitto e usano quello che vedono per capire dove si trovano.
Una telecamera per gli ostacoli. Una telecamera frontale, insieme a un software che riconosce gli oggetti (visione artificiale), distingue un cavo da un calzino o dai bisogni di un animale, così il robot può girarci intorno. Alcuni modelli trasmettono anche un video in diretta sul telefono.

Che fine fanno le immagini lo decide ogni produttore. Tre esempi, con le parole dei produttori:

Xiaomi. La sua pagina sulla privacy del Mi Robot Vacuum dice che “tutti i dati delle immagini raccolti dalle telecamere superiori o frontali non vengono salvati in locale né caricati sul server. Vengono scartati dopo l’elaborazione sul dispositivo.” La stessa pagina dice che la mappa del pavimento viene caricata sul server, cifrata prima dell’invio, a meno che tu non attivi una “modalità locale” che tiene la mappa e lo storico delle pulizie “solo sul dispositivo”. La pagina non riporta una data (la nota sul copyright arriva al 2022).
Ecovacs. In un post sul blog del 14 agosto 2023, Ecovacs dice che i suoi robot Deebot cifrano “tutti i dati raccolti dal dispositivo”, che su alcuni modelli la funzione Video Manager, quella che serve a guardare la casa a distanza, “può essere protetta da password”, e che video e immagini vengono raccolti per ricerca e sviluppo solo con il consenso del cliente, per esempio se aderisce al suo programma di miglioramento del prodotto.
iRobot. Il suo articolo sui Roomba con telecamera dice che una funzione facoltativa, Obstacle Image Review, fotografa gli ostacoli perché tu possa controllarli nell’app, e che anche se la disattivi il robot resta “in grado di evitare gli ostacoli con le sue capacità di rilevamento”.

Sono dichiarazioni dei produttori: il sito non le ha verificate su nessun robot.

Che cosa c’è nella mappa, e dove viene conservata?

Un robot che crea mappe usa lo SLAM (localizzazione e mappatura simultanee, in inglese simultaneous localization and mapping): disegna la pianta del pavimento e intanto calcola in che punto si trova. La mappa mostra com’è fatta la casa e quanto è grande; quando dai un nome alle stanze (“camera da letto”, “cameretta del bambino”) e disegni le zone vietate, mostra anche come le usi, e lo storico delle pulizie dice quando il robot è in funzione, un indizio delle ore in cui in casa non c’è nessuno.

La mappa può stare in due posti: sul robot e sui server del produttore, così l’app può mostrartela anche quando sei fuori casa. In entrambi i posti può esserci più della sola mappa. Nelle loro slide per il DEF CON 32, ad agosto 2024, i ricercatori Dennis Giese e Braelynn Luedtke elencano i dati che hanno visto partire dai robot Ecovacs, tra cui le “coordinate in tempo reale della posizione del robot in casa” e le reti Wi-Fi vicine, e scrivono che le mappe “sembrano restare sui server” dopo un ripristino di fabbrica o la cancellazione dell’account. Per quanto tempo il produttore tiene ogni tipo di dato, cioè le sue regole di conservazione dei dati, dovrebbe essere scritto nell’informativa sulla privacy.

Chi può vederla?

Quattro gruppi, a seconda del modello e delle regole del produttore:

Tu e le persone con cui condividi il robot. Se l’app permette di condividere il robot con i familiari, loro vedono quello che vedi tu. Le slide del DEF CON avvertono che i dispositivi “possono diventare uno strumento di stalking” e consigliano di togliere gli accessi condivisi e cambiare le password quando qualcuno lascia la casa.
Il produttore e le aziende a cui si appoggia. Il produttore tratta i dati secondo la sua informativa sulla privacy e può conservarli presso fornitori di cloud. Le stesse slide, per esempio, hanno trovato che i robot Ecovacs usano il cloud di Amazon per l’accesso remoto alla telecamera fuori dalla Cina e quello di Alibaba in Cina.
Chi etichetta le immagini per l’addestramento. Quando un produttore usa le foto per migliorare il riconoscimento degli ostacoli e tu accetti di condividerle, come nella banca dati di immagini di iRobot o nel programma di miglioramento del prodotto di Ecovacs, quelle foto possono essere guardate da persone. Il caso del 2022, quando alcune immagini di prova dei Roomba sono uscite dalle mani di etichettatori a contratto, è raccontato insieme alla risposta di iRobot nella guida sulla privacy dei robot di casa.
Estranei, quando la sicurezza cede. Il paragrafo seguente descrive due casi documentati.

Che cosa è andato storto?

Due casi documentati, ciascuno relativo a un solo produttore. Mostrano che cosa è successo, non che cosa fa ogni robot.

DJI Romo, febbraio 2026. The Verge ha raccontato il 14 febbraio 2026 che Sammy Azdoufal, proprietario di un DJI Romo, stava scrivendo un’app per guidare il proprio robot con un controller della PS5 quando si è accorto che i server di DJI gli rispondevano per circa 7.000 robot aspirapolvere in tutto il mondo. Dice di aver usato solo il token privato del suo robot, la chiave che indica ai server chi ne è il proprietario. Alla testata ha detto di poter comandare i robot e di poter guardare e ascoltare attraverso le loro telecamere, e in una dimostrazione seguita da un redattore di The Verge il suo laptop ha elencato 6.700 dispositivi DJI in 24 paesi in nove minuti. Sia lui sia The Verge hanno segnalato la falla a DJI. In una dichiarazione a The Verge, DJI ha detto di aver individuato la vulnerabilità “con una revisione interna a fine gennaio”, che la prima patch “non era stata applicata in modo uniforme su tutti i nodi del servizio” e che gli aggiornamenti automatici dell’8 e del 10 febbraio l’hanno corretta. In un post del 6 marzo 2026, DJI ha descritto “un problema di convalida nel back end legato all’app DJI Home, che ha interessato il nostro nuovo prodotto ROMO e alcune power station DJI” (batterie portatili), ha detto che due ricercatori indipendenti avevano segnalato la stessa falla attraverso il suo programma di bug bounty (che ricompensa chi segnala falle) e ha scritto di non aver “trovato prove di un uso improprio dei dati degli utenti”. Il post dice che ROMO è certificato, tra l’altro, secondo ETSI EN 303 645, lo standard di sicurezza per l’IoT consumer, e che sarà sottoposto ad altri audit indipendenti.

Ecovacs, DEF CON 32, agosto 2024. Le stesse slide del DEF CON descrivono una falla nel canale Bluetooth che serve a configurare alcuni robot Ecovacs, che permetteva a un attaccante di eseguire codice sui robot, e un segnale acustico che avvisa dell’accesso alla telecamera e che un attaccante con accesso al robot poteva silenziare. I ricercatori aggiungono di non sostenere che un produttore usi i sensori in modo improprio. La risposta di Ecovacs, il suo successivo avviso di sicurezza e le correzioni distribuite sono nella guida sulla privacy dei robot di casa.

Entrambi i produttori hanno citato certificazioni di sicurezza. Un certificato dimostra che un prodotto rispettava uno standard nel momento in cui è stato controllato; le slide dei ricercatori osservano che, nel caso Ecovacs, le certificazioni “non sono servite a prevenire” i problemi trovati.

Che cosa puoi controllare o cambiare?

Se il tuo modello le offre, queste impostazioni di solito sono nell’app, alla voce privacy o tra le impostazioni del robot:

Zone vietate per le stanze in cui preferisci che il robot non entri mai e non scatti foto.
La telecamera. Se si possono disattivare le foto degli ostacoli, la revisione delle immagini o il video in diretta, e se il video in diretta chiede un PIN o una password.
Condivisione delle immagini per l’addestramento. Se è disattivata per impostazione predefinita, e come spegnerla.
Modalità locale. Se la mappa può restare sul robot, e quali funzioni restano disponibili senza internet.
Cancellare la mappa, e chiedere al produttore se viene cancellata anche la copia sui suoi server.
L’account. Una password che non usi da nessun’altra parte e la verifica in due passaggi, così una password trapelata da un altro sito non apre l’app del tuo robot. Togli le persone che non vivono più con te.
Aggiornamenti. Lascia attivi gli aggiornamenti automatici e controlla per quanto tempo il produttore promette correzioni di sicurezza, cioè il suo periodo di supporto di sicurezza.
Prima di vendere o regalare il robot, toglilo dal tuo account, cancella la mappa e ripristinalo; le slide del DEF CON avvertono che “anche un ripristino di fabbrica lascia dati residui”.

Che cosa dicono le norme UE?

Il GDPR, il regolamento europeo sulla protezione dei dati, si applica al produttore quando tratta dati che ti riguardano. La pagina della Commissione europea sui diritti in materia di protezione dei dati elenca che cosa un’azienda deve dirti, tra cui chi è, perché tratta i tuoi dati e per quanto tempo li conserva, oltre al tuo diritto di vedere quei dati e di farli cancellare. La stessa pagina dice che puoi chiederne la cancellazione quando i dati non servono più o “sono stati utilizzati illecitamente”, con eccezioni come un obbligo di legge a conservarli. La richiesta di cancellare mappa e immagini va inviata al contatto indicato nell’informativa sulla privacy del produttore.

Il Garante per la protezione dei dati personali ha scritto delle telecamere domestiche, non dei robot. Nelle sue FAQ sulla videosorveglianza (domanda 12) spiega che le smart cam usate in casa solo per controllo personale e sicurezza sono escluse dal GDPR, ma che babysitter o colf che ci lavorano vanno informate, che non si devono riprendere ambienti come i bagni, che le telecamere connesse a Internet vanno protette con misure di sicurezza adeguate e che bisogna “non diffondere i dati raccolti”. Se la telecamera di un robot aspirapolvere venga trattata allo stesso modo dipende dal caso: chiedi a un avvocato.

Il Cyber Resilience Act fissa regole di sicurezza per i prodotti connessi venduti nell’UE, tra cui la gestione delle vulnerabilità e la fornitura di aggiornamenti per tutta la vita del prodotto. Secondo la Commissione europea, gli obblighi di segnalazione si applicano dall’11 settembre 2026 e gli obblighi principali dall’11 dicembre 2027, quindi i robot in vendita oggi potrebbero non essere ancora progettati secondo queste regole.

Per continuare

Robot in casa: la guida completa: tutti i robot che si possono avere in casa oggi, dagli aspirapolvere ai tagliaerba fino agli umanoidi ancora in preordine.
Qual è il miglior robot aspirapolvere?: che cosa hanno trovato nel 2026 i test indipendenti, per prezzo e per lavoro.
Come scegliere un robot aspirapolvere e lavapavimenti: navigazione, telecamere, stazioni base, costi di gestione e aggiornamenti.
Robot di casa, telecamere e operatori remoti: chi vede dentro casa tua?: operatori remoti, le immagini dei Roomba e la storia completa di Ecovacs.
SLAM: come un robot disegna una mappa e capisce dove si trova.
Robot aspirapolvere: sensori, app, Matter e come tenerlo al sicuro.

Domande frequenti

I robot aspirapolvere hanno una telecamera?

Alcuni sì, altri no. I robot che si orientano con un laser rotante e con i paraurti non scattano immagini. Altri hanno una telecamera frontale per riconoscere gli ostacoli sul pavimento, una telecamera rivolta verso il soffitto che li aiuta a orientarsi, o tutte e due, e alcuni ti permettono di guardare dal telefono un video in diretta della casa. La pagina del prodotto e il manuale dicono quali sensori ha un modello.

Il robot aspirapolvere ci spia?

I casi documentati in questa pagina sono falle di sicurezza e immagini finite dove non dovevano, non robot costruiti per sorvegliare i proprietari, e i ricercatori che nel 2024 hanno presentato le falle dei robot Ecovacs hanno scritto di non sostenere che un produttore usi i sensori in quel modo. Un robot raccoglie una mappa della casa e, sui modelli con telecamera, immagini del pavimento. Dove finiscono dipende dal modello e dalle tue impostazioni, e a volte delle falle di sicurezza hanno permesso a estranei di arrivarci, come nel caso DJI Romo di febbraio 2026.

Il robot aspirapolvere ha bisogno del Wi-Fi?

Dipende dal modello. L'app, e con essa la mappa, le stanze, le zone vietate, le programmazioni impostate dal telefono e gli aggiornamenti del software, di solito passa dal Wi-Fi di casa e dai server del produttore: è il manuale a dire che cosa può ancora fare il robot senza connessione, per esempio se lo avvii con un tasto. Alcuni produttori descrivono una modalità locale in cui la mappa resta sul robot, come fa Xiaomi per i suoi robot aspirapolvere.

Un robot aspirapolvere si può hackerare?

Sì, ci sono falle documentate. A febbraio 2026 il proprietario di un DJI Romo ha scoperto che i server di DJI gli davano accesso a migliaia di altri robot Romo, e DJI ha risolto il problema con aggiornamenti l'8 e il 10 febbraio. Al DEF CON del 2024 alcuni ricercatori hanno mostrato una falla nella configurazione via Bluetooth di alcuni robot Ecovacs. Tenere aggiornato il robot e proteggere l'account con una password usata solo lì riduce il rischio.

Posso cancellare la mappa di casa creata dal mio robot aspirapolvere?

Cerca nell'app un'opzione per cancellare le mappe salvate e chiedi al produttore se viene cancellata anche la copia sui suoi server. Nell'UE il GDPR ti permette di chiedere a un'azienda di cancellare i dati personali che non le servono più.

Argomenti: robotica, robot aspirapolvere, privacy, domande di tutti i giorni