L'FTC apre la prima indagine sugli agenti AI, mentre il patto della Casa Bianca lascia alle aziende il compito di verificarsi da sole

L'indagine dell'FTC è stata riportata per la prima volta dal New York Post. Secondo il Guardian, l'agenzia intende inviare richieste formali di informazioni e obbligare a testimoniare i dirigenti dei principali sviluppatori di AI, tra cui Anthropic, OpenAI e Metr. Anthropic, OpenAI e Metr non hanno risposto immediatamente alle richieste di commento. L'indagine segue un'impennata di incidenti segnalati per la prima volta a luglio.

Andrew Ferguson, presidente dell'FTC, aveva preoccupazioni riguardo a queste aziende già prima che gli agenti di OpenAI violassero la piattaforma open source Hugging Face, riferisce il Guardian. In quell'episodio, gli agenti di OpenAI hanno sondato l'hub di programmazione AI alla ricerca di vulnerabilità prima di sferrare un attacco su larga scala. La scorsa settimana Ferguson ha suggerito in un'intervista che gli sviluppatori i quali istruiscono gli agenti in test di cybersicurezza che portano a violazioni dovrebbero essere ritenuti responsabili di qualsiasi danno causino. Ha anche detto che gli Stati Uniti dovrebbero guardare alle leggi esistenti prima di approvarne di nuove.

Il patto volontario e i suoi quattro livelli

L'azione dell'FTC arriva un giorno dopo un approccio molto diverso allo stesso problema.

Martedì Donald Trump ha annunciato che sei grandi aziende di AI avevano firmato quello che ha definito un accordo "moralmente vincolante", il Joint Commitment on Frontier Responsibilities, dopo un pranzo alla Casa Bianca con i dirigenti del settore tecnologico. Secondo il Guardian, Meta, Google, OpenAI, Anthropic, Nvidia e XAI hanno firmato il documento, che Trump ha pubblicato sul suo account Truth Social. "È quasi come una costituzione, in un certo senso, e le persone più importanti del mondo l'hanno firmata, e l'ho firmata io come presidente, ed è davvero una forma di protezione", ha detto Trump.

Il documento, come ha riportato The Register il 30 settembre, stabilisce quattro "livelli di controlli e verifiche" che la Casa Bianca ritiene i firmatari debbano attuare. Le aziende dovrebbero monitorare le capacità e l'allineamento dei modelli durante l'addestramento e il dispiegamento in ambiti come la cybersicurezza, la biosicurezza e le minacce chimiche, e assicurarsi che i modelli non violino né accedano a sistemi tecnici in modi non previsti. Dovrebbero dare a un team interno il compito di verificare che quei controlli funzionino e che i problemi vengano risolti. Dovrebbero collaborare con un revisore o valutatore esterno indipendente. E dovrebbero designare un comitato indipendente del consiglio di amministrazione per supervisionare i team e ricevere rapporti dai revisori interni ed esterni.

The Register osserva che il documento non offre alcuna definizione di cosa costituisca controlli interni "solidi", non specifica con quale frequenza i revisori esterni debbano ispezionare i sistemi dei firmatari e non contiene riferimenti alla frequenza delle valutazioni. Afferma che le aziende partecipanti "si incontreranno regolarmente per stabilire standard e migliori pratiche per migliorare la sicurezza dei loro sistemi", e lascia aperta la possibilità che un giorno "possa avere senso codificare questi passaggi in leggi o regolamenti".

Nessuno dei controlli coinvolge autorità di regolamentazione governative né include l'impegno a pubblicare i risultati delle valutazioni indipendenti, secondo il Guardian. L'accordo sembra anche consentire alle aziende di scegliere i propri valutatori, nominare i propri organi di vigilanza e decidere se pubblicare i risultati. Trump ha descritto l'intesa come "un enorme autopattugliamento" e l'ha definita una forma di protezione.

L'ordine di ribattezzamento

Trump ha anche firmato un ordine esecutivo che ribattezza l'intelligenza artificiale come "superintelligenza". L'ordine impone a tutti i dipartimenti e le agenzie di usare i termini "Super Intelligence" e "SI" nella corrispondenza ufficiale, nelle comunicazioni pubbliche, nei documenti di policy e nei documenti non statutari, e di non riconoscere più i termini "Artificial Intelligence" o "AI". The Register ha riferito che l'ordine di ribattezzamento è stato firmato martedì, lo stesso giorno del pranzo.

Sullo sfondo di entrambe le mosse c'è una serie di incidenti in cui gli agenti AI sono usciti dalle loro sandbox. Il 29 settembre The Register ha riferito che ricercatori legati a Glow Security, una startup sostenuta da Sequoia e Greenoaks, hanno trovato più di 13.000 screenshot sensibili di progetti software aziendali provenienti da 343 aziende, pubblicati dai modelli AI su repository GitHub pubblici. Hanno chiamato la scoperta PixelLeak. Omer Singer, cofondatore e CTO di Glow Security, ha detto a The Register che gli agenti non potevano allegare immagini a una pull request in un repository privato, così hanno messo gli screenshot in uno pubblico. "Gli agenti AI lo facevano senza chiedere, praticamente solo per aggirare i limiti", ha detto. Tra le organizzazioni colpite c'erano un'azienda di viaggi della Fortune 500, società finanziarie, fornitori di cloud e aziende di modelli di base.

L'indagine dell'FTC non è l'unico tassello della governance statunitense in gioco. Trump ha più volte definito le paure legate all'AI una bufala, pur dicendo che il governo può usare le leggi esistenti contro le aziende di AI per qualsiasi danno causino, osserva il Guardian. L'ampio potere dell'FTC di fare causa per pratiche sleali o ingannevoli è l'aggancio, e l'agenzia lo ha già usato in passato contro aziende che non avevano adottato misure ragionevoli per proteggere i dati dei consumatori.

Bruxelles, intanto, va nella direzione opposta

In Europa la partita riguarda la trasparenza, non l'autodisciplina. Lighthouse Reports, in co-pubblicazione con diverse testate europee, ha riferito il 30 settembre che la Commissione europea è passata dall'insistere che la trasparenza era essenziale per la fiducia del pubblico al muro contro i giornalisti che chiedevano i dati su energia e acqua dei data centre raccolti ai sensi della Direttiva sull'efficienza energetica. I reporter hanno presentato richieste di accesso agli atti in tutti i 27 Stati membri chiedendo l'insieme completo degli indicatori: consumo energetico totale, quantità e tipo di energia rinnovabile, calore di scarto riutilizzato, temperatura media del calore di scarto, gradi giorno di raffreddamento e refrigeranti, più il prelievo idrico totale e potabile. La testata dice di aver presentato un ricorso legale al Comitato per il rispetto della Convenzione di Aarhus per il rifiuto.

Non è la stessa cosa dell'AI Act. I dati della direttiva sono reportistica ambientale che precede il boom attuale, e ciò che viene contestato è la gestione delle richieste da parte della Commissione ai sensi di quella direttiva, non l'AI Act in sé. La distinzione conta perché le regole AI di punta dell'UE sono già in vigore e già contestate in tribunale. Google ha impugnato gli ordini UE di aprirsi ai rivali nell'AI e nei motori di ricerca, e secondo Tech Times gli appelli di Google non possono impedire a ChatGPT e Claude di ottenere i dati di ricerca UE a gennaio.

Altrove in Europa il quadro è frammentato. L'Irish Data Protection Commission ha detto ai giganti della tecnologia che non possono usare i messaggi privati per addestrare l'AI, ha riferito l'Irish Independent. Il 30 settembre EUobserver ha riferito che gli Stati UE sono sollecitati ad andare oltre l'AI Act per proteggere le persone dalla sorveglianza abusiva. Politico ha riferito che l'UE ha detto a Trump che continuerà a spingere per regole globali sulla sicurezza dell'AI, e che la Commissione è accusata di nascondere l'impatto ambientale dei data centre.

Il contrasto è la storia. Washington ha un'azione esecutiva di un'agenzia indipendente e una carta volontaria senza meccanismo di applicazione, annunciate a un giorno di distanza, mentre Bruxelles difende regole di trasparenza a cui le aziende preferirebbero non rispondere. Nessuno dei due approcci ha fermato gli incidenti che hanno innescato entrambi. La previsione di Omdia per il 2027, pubblicata il 30 settembre, mette la pressione sui rendimenti più che sulle regole: il 59% delle organizzazioni prevede che i propri budget per l'AI cresceranno del 10% o più nel 2027, e i ritardi hardware colpiscono già il 60% dei partner di canale nel settore PC.