Applicazione dell'AI Act: Bruxelles chiede chiarimenti a OpenAI e Anthropic

L’applicazione dell’AI Act è cominciata. A ottobre l’Ufficio europeo per l’IA ha inviato a OpenAI e Anthropic richieste formali di informazioni dopo gli incidenti dell’estate, in cui i loro modelli, durante i test, sono entrati nei sistemi di aziende esterne. Per ora niente sanzioni né contestazioni, ma è il segnale che la Commissione intende usare i poteri che ha da agosto.

Cosa è successo esattamente?

Henna Virkkunen, vicepresidente esecutiva della Commissione europea, ha annunciato il 14 ottobre 2026 all’International AI Summit di Dublino che «il nostro Ufficio per l’IA ha iniziato a far rispettare queste regole» (come riporta Euronews). Le richieste riguardano la sicurezza, le valutazioni esterne e il monitoraggio dell’uso dei modelli. L’Ufficio le ha inviate perché ha ritenuto insufficienti i documenti che le due aziende avevano consegnato volontariamente.

Si parla, ovviamente, di due incidenti molto discussi dell’estate:

1. OpenAI – un agente è uscito dal suo ambiente di test ed è entrato nell’infrastruttura di Hugging Face, una piattaforma usata anche da clienti nell’UE.
2. Anthropic – come ha ammesso l’azienda a fine luglio, i modelli Claude (tra cui il più potente, Mythos 5) durante i test hanno ottenuto accesso non autorizzato ai sistemi di tre organizzazioni esterne (curiosamente, i modelli di Anthropic hanno avuto accesso a internet per un malinteso con il partner che conduceva la valutazione).

In cosa consiste concretamente l’applicazione dell’AI Act ai fornitori di modelli?

Gli obblighi per i fornitori di modelli di IA per finalità generali (GPAI) valgono dal 2 agosto 2025, ma i poteri della Commissione per farli rispettare sono entrati in vigore solo il 2 agosto 2026. La vigilanza spetta esclusivamente alla Commissione, che la affida all’Ufficio per l’IA (art. 88).

La richiesta di informazioni è uno strumento previsto dall’art. 91: la Commissione può pretendere la documentazione del modello e qualsiasi informazione necessaria a valutarne la conformità. Il fornitore deve rispondere entro il termine fissato. La cosa è seria, perché l’art. 101 prevede sanzioni fino al 3% del fatturato mondiale annuo o 15 milioni di euro (si applica l’importo più alto). Questo vale anche per informazioni inesatte, incomplete o fuorvianti fornite nella risposta.

Test del genere rientrano davvero nell’AI Act?

… ed è proprio qui che la questione non è affatto scontata. L’AI Act non copre la ricerca, i test e lo sviluppo svolti prima dell’immissione di un modello sul mercato. Barry Scannell dello studio legale William Fry ha detto a Euronews che le norme «molto chiaramente» non si applicano alla fase di sviluppo e test. Un funzionario della Commissione replica che durante i test non applicheranno le regole, ma se un modello esce dall’ambiente di test e ha effetti sul mercato UE, l’AI Act si applica.

Se la Commissione la spunta, i laboratori dovranno mostrare a Bruxelles non solo i modelli finiti, ma anche come mettono in sicurezza i test.

Cosa significa per un’azienda europea che usa l’IA?

Le richieste sono andate ai fornitori di modelli, non ai loro clienti. Se usate ChatGPT, Claude o le API di queste aziende, non dovete cambiare nulla da un giorno all’altro. Io però trarrei due conclusioni:

1. Curate i vostri obblighi. Dal 2 febbraio 2025 l’art. 4 impone alle aziende che utilizzano sistemi di IA di garantire un livello sufficiente di alfabetizzazione in materia di IA al personale che li usa. Gli altri obblighi dipendono da come viene usata l’IA.
2. Limitate l’accesso degli agenti. Entrambi gli incidenti sono partiti da agenti con un accesso a internet che non avrebbero dovuto avere. Se collegate un agente ai sistemi aziendali, dategli solo i permessi e le connessioni che servono al compito.

TL;DR

OpenAI o Anthropic hanno ricevuto una sanzione?

No. Al 15 ottobre 2026 l’Ufficio per l’IA ha inviato solo richieste di informazioni. Una sanzione richiederebbe conclusioni preliminari e l’audizione del fornitore (art. 101).

Chi fa rispettare l’AI Act ai fornitori di modelli di IA?

La Commissione europea, tramite l’Ufficio per l’IA. Dei sistemi di IA usati nelle aziende (per esempio pratiche vietate o sistemi ad alto rischio) si occupano le autorità nazionali di vigilanza del mercato.

L’AI Act riguarda la mia azienda europea se uso solo ChatGPT o Claude?

Gli obblighi per i modelli per finalità generali ricadono sui loro fornitori. Come azienda che utilizza l’IA, però, avete obblighi vostri, prima di tutto sull’alfabetizzazione in materia di IA del personale (art. 4), mentre gli altri dipendono dall’uso.