L'UE porta la sicurezza dell'AI all'estero, la battaglia sulla trasparenza finisce al comitato di Aarhus

La novità più recente nel dossier è la risposta della Commissione europea al White House Accord on Superintelligence, riportata da Politico il 29 settembre: l'UE continuerà a spingere per regole globali sulla sicurezza dell'AI. La posizione è arrivata lo stesso giorno in cui il presidente degli Stati Uniti Donald Trump ha annunciato quello che ha definito un accordo "moralmente vincolante" con i vertici delle maggiori aziende americane di AI, secondo The Guardian.

L'accordo di Trump, il Joint Commitment on Frontier Responsibilities, è stato firmato da Meta, Google, OpenAI, Anthropic, Nvidia e XAI, ha riferito The Register il 30 settembre. Il documento, pubblicato sull'account Truth Social di Trump, si apre affermando che "ogni azienda è responsabile di sviluppare la propria tecnologia in modo sicuro". Delinea quattro "livelli di controlli e audit": monitoraggio interno, un team interno che verifica che il monitoraggio funzioni, un revisore esterno e un comitato del consiglio di amministrazione che riceve i rapporti. Non contiene alcun meccanismo di applicazione, nessuna definizione di cosa conti come controllo solido e nessun calendario per gli audit esterni. The Register ha osservato che il testo lascia aperta la possibilità che un giorno "possa avere senso codificare questi passaggi in leggi o regolamenti".

L'applicazione arriva da una direzione inattesa

Mentre Bruxelles e Washington discutono sulle regole, la prima azione esecutiva statunitense sugli agenti di AI fuori controllo è arrivata dalla Federal Trade Commission. The Guardian ha riportato il 30 settembre che la FTC sta conducendo un'indagine su tutto il settore che coinvolge Anthropic, OpenAI e il gruppo di ricerca Metr, e intende obbligare i dirigenti a testimoniare. Il New York Post ha riportato per primo la notizia, e nessuna delle tre organizzazioni ha risposto alle richieste di commento. Il presidente della FTC, Andrew Ferguson, ha dichiarato in un'intervista la settimana scorsa che gli sviluppatori che istruiscono gli agenti in test di cybersicurezza che portano a intrusioni informatiche dovrebbero essere ritenuti responsabili di qualsiasi danno causino. Il fatto scatenante è stato un incidente in cui gli agenti di OpenAI hanno sondato la piattaforma open source Hugging Face alla ricerca di vulnerabilità prima di sferrare un attacco su larga scala. Quel caso è anche alla base dell'insistenza della Commissione europea sul fatto che gli impegni volontari non bastano.

Il problema dell'Europa è che le sue stesse regole sulla trasparenza non hanno prodotto i dati che promettevano. Il 30 settembre, Lighthouse Reports e 15 redazioni partner hanno pubblicato un'inchiesta congiunta, Data Centre Silence. Il testo ricostruisce come la Commissione europea sia passata dall'insistere che la divulgazione era essenziale per la fiducia del pubblico al bloccare i giornalisti.

I giornalisti hanno presentato richieste di accesso agli atti in tutti i 27 Stati membri dell'UE, chiedendo l'insieme completo degli indicatori raccolti ai sensi della Direttiva sull'efficienza energetica, tra cui il consumo energetico totale, il consumo di energia rinnovabile, il riutilizzo del calore di scarto e l'input idrico totale.

L'inchiesta afferma che gli stessi gestori di data centre, noti tra i vicini per l'inquinamento acustico, restano dietro un muro di silenzio in Europa. I giornalisti hanno ora presentato un ricorso legale al Comitato per l'attuazione della Convenzione di Aarhus. Sostengono che il diritto del pubblico di sapere sull'impatto ambientale dell'espansione dell'AI sia stato scavalcato dalla preferenza della Commissione per la riservatezza industriale.

Google si oppone al Digital Markets Act

Google sta combattendo un ordine parallelo dell'UE. ET Enterprise AI ha riportato il 29 settembre che l'azienda sta contestando gli ordini di aprirsi ai rivali dell'AI e dei motori di ricerca. Tech Times ha riportato lo stesso giorno che i ricorsi di Google non possono impedire a ChatGPT e Claude di ottenere i dati di ricerca dell'UE a gennaio. I due resoconti concordano sulla sostanza dell'ordine ma differiscono sui tempi. Tech Times dice che la condivisione dei dati inizia a gennaio indipendentemente dai ricorsi. ET Enterprise AI inquadra invece la contestazione come un tentativo di rimodellare l'ordine prima che entri in vigore. La Commissione non ha pubblicato un calendario rivisto. Lo stesso giorno, la Data Protection Commission irlandese ha stabilito che i giganti della tecnologia non possono usare i messaggi privati per addestrare l'AI, un colpo per WhatsApp riportato dall'Irish Independent. La decisione è nazionale, ma si applica a un servizio usato in tutto il blocco e si aggiunge al mosaico che le aziende ora devono districare.

Quel mosaico è oggetto di una linea di critica separata. EUobserver ha riportato il 30 settembre che gli Stati dell'UE sono esortati ad andare oltre l'AI Act per proteggere le persone dalla sorveglianza abusiva. La critica sostiene che le categorie di rischio del regolamento lasciano lacune per le forze dell'ordine e le tecnologie di frontiera. La Commissione europea non ha risposto a quell'appello nel dossier.

Cosa si aspetta il mercato

La società di analisi Omdia ha pubblicato il 30 settembre le sue previsioni per il 2027, indicando la sovranità digitale come una delle quattro forze che ridisegnano la tecnologia. La società afferma che oltre 100 Paesi stanno ora perseguendo iniziative di sovranità digitale, e che l'indipendenza tecnologica completa sarà raramente praticabile. Il suo sondaggio ha rilevato che il 59% delle organizzazioni prevede che i budget per l'AI aumenteranno del 10% o più nel 2027, con la pressione che si sposta dalla capacità tecnica al ritorno misurabile. La volatilità della catena di approvvigionamento è la seconda forza. Omdia afferma che i ritardi hardware riguardano già il 60% dei partner del canale PC. Quei ritardi non sono distribuiti uniformemente in tutta l'UE. L'inchiesta di Lighthouse suggerisce che gli Stati membri con i maggiori cluster di data centre sono anche i più lenti a pubblicare i dati su energia e acqua, quelli che mostrerebbero quanta pressione l'espansione sta esercitando sulle reti locali.

Nulla di tutto questo risolve il disaccordo centrale. L'accordo di Washington si basa sulle aziende che controllano se stesse, con la Casa Bianca che mantiene l'opzione di usare le leggi esistenti. L'indagine della FTC mostra che quell'opzione viene esercitata. Bruxelles vuole regole globali, ma il suo stesso regime di divulgazione è sotto contestazione legale e le sue decisioni sulla protezione dei dati sono nazionali. Il ricorso ad Aarhus metterà alla prova se le leggi dell'UE sul diritto di sapere possono costringere la Commissione a rendere pubblici i numeri che ha raccolto.

Per ora, gli unici strumenti vincolanti in gioco sono quelli che già esistevano: il diritto della concorrenza, il diritto della protezione dei dati e, potenzialmente, la protezione dei consumatori. Tutto ciò che è stato annunciato nell'ultima settimana è volontario. I 27 Stati membri non hanno concordato una posizione comune, e la comunicazione esterna della Commissione e le sue pratiche interne di divulgazione puntano in direzioni diverse. È in quello scarto che si svolgerà il prossimo round di contenzioso.