L'oggetto XMLHTTP si aspetta in risposta una stringa ben formata in XML, ovvero con i caratteri "strani" convertiti in entita'.

Quindi il problema e' lato server... ti sposto