Sicurezza AI: cosa cambia con le regole della California

L’estate del 2026 ha mostrato che gli incidenti dei modelli di frontiera non rispettano i confini delle giurisdizioni. Tra le vittime della compromissione causata dagli agenti di OpenAI c’è Hugging Face, la società franco-americana che gestisce la principale piattaforma di distribuzione di modelli e dataset aperti, infrastruttura su cui poggia una parte rilevante della ricerca e dell’industria europea dell’IA¹. Gli incidenti comunicati da Anthropic hanno coinvolto, tra gli altri, versioni di Claude Opus, famiglia di modelli disponibile anche nell’Unione². Gli operatori interessati, infine, sono in larga parte gli stessi che dal 2 agosto 2026 rispondono all’AI Office per gli obblighi previsti dal Regolamento (UE) 2024/1689, l’AI Act, sui modelli di IA per finalità generali a rischio sistemico.

Dalla legge della California su AI alla sicurezza dell’IA in Europa

La risposta istituzionale più articolata è arrivata da Sacramento. Il 18 settembre il governatore della California ha firmato l’Executive Order N-9-26³, che anticipa l’attuazione di due leggi appena approvate sulla verifica indipendente dei sistemi di IA e commissiona uno studio su misure più incisive per i modelli di frontiera, a partire da un meccanismo di arresto d’emergenza (kill switch). La domanda che interessa il lettore europeo riguarda l’effetto di queste scelte sul livello di sicurezza e sulla capacità di enforcement di cui disponiamo noi. Per rispondere occorre partire da ciò che l’Unione già possiede e da ciò che le manca.

Sicurezza dell’IA in Europa: regole e lacune dell’AI Act

Sul piano delle regole l’Unione è oggi l’ordinamento più avanzato. Gli obblighi per i fornitori di modelli di IA per finalità generali sono contenuti nel capo V dell’AI Act e si applicano dal 2 agosto 2025. I poteri di vigilanza ed esecuzione della Commissione, insieme alle sanzioni a carico di questi fornitori, sono invece operativi dal 2 agosto 2026. Da quella data la Commissione può chiedere documentazione e informazioni e accedere ai modelli per valutarli.

Può anche imporre misure di mitigazione, limitare la messa a disposizione di un modello o disporne il ritiro o il richiamo. Le sanzioni arrivano fino al 3% del fatturato mondiale annuo.⁴ Per i modelli immessi sul mercato prima del 2 agosto 2025, il termine per adeguarsi scade il 2 agosto 2027.⁵

Il Digital Omnibus sull’IA, il Regolamento (UE) 2026/1744 che ha modificato l’AI Act, in vigore dal 27 luglio 2026, ha rinviato gli obblighi per i sistemi ad alto rischio al dicembre 2027 e all’agosto 2028, ma ha esteso la competenza di vigilanza dell’AI Office anche ad alcuni sistemi di IA offerti dagli stessi fornitori di modelli per finalità generali⁶.

Il Codice di buone pratiche per i modelli di IA per finalità generali è uno strumento volontario, elaborato da esperti indipendenti con il coordinamento dell’AI Office e pubblicato nel luglio 2025. Chi lo sottoscrive può servirsene per dimostrare il rispetto degli obblighi del Regolamento. Vi hanno aderito i principali laboratori americani, con l’eccezione di Meta e con l’adesione di xAI limitata al capitolo sulla sicurezza.⁷ Il Codice impegna i firmatari a coinvolgere valutatori esterni indipendenti per i nuovi modelli a rischio sistemico, salvo che il fornitore dimostri che il modello è sicuro quanto un altro già risultato conforme.

Negli Stati Uniti un impegno simile manca. Le due leggi statali dedicate ai modelli di frontiera obbligano i grandi sviluppatori a pubblicare un framework di sicurezza e a notificare gli incidenti critici, ma non impongono verifiche esterne. La prima è la SB 53 della California (Transparency in Frontier Artificial Intelligence Act), in vigore dal 1° gennaio 2026. La seconda è il RAISE Act dello Stato di New York (Responsible AI Safety and Education Act), che si applicherà da gennaio 2027.⁸

La Commissione, dal canto suo, può condurre valutazioni dei modelli anche avvalendosi di esperti indipendenti.⁹

Le quattro lacune dell’attuazione europea

Le lacune emergono sul piano dell’attuazione, e sono almeno quattro. La prima riguarda la capacità di verifica: il Codice presuppone un bacino di valutatori qualificati e indipendenti che in Europa non esiste ancora come mercato strutturato, con requisiti di indipendenza accertati da un’autorità pubblica. La seconda riguarda la nozione di incidente. L’art. 55 dell’AI Act impone ai fornitori di modelli a rischio sistemico di documentare e comunicare all’AI Office gli incidenti gravi, definiti attorno a morti o danni gravi alla salute, perturbazioni gravi e irreversibili di infrastrutture critiche, violazioni di obblighi a tutela dei diritti fondamentali e danni gravi a beni o all’ambiente¹⁰.

Il Codice aggiunge scansioni temporali precise, dai due giorni per le perturbazioni di infrastrutture critiche ai cinque per le violazioni gravi della sicurezza informatica fino ai quindici per i danni gravi¹¹, ma resta da capire se vi rientri un modello che, durante un test, attacca sistemi di terzi senza produrre un danno immediatamente misurabile.

La terza lacuna è tecnica: l’arresto del sistema compare nel Regolamento come misura di sorveglianza umana per i soli sistemi ad alto rischio, all’art. 14, par. 4, lett. e)¹², mentre per i modelli generalisti manca una previsione equivalente. La quarta, forse la più delicata, riguarda il perimetro: l’art. 2, par. 8, esclude dall’ambito di applicazione le attività di ricerca, prova e sviluppo condotte prima dell’immissione sul mercato, con la sola eccezione delle prove in condizioni reali¹³.

Gli incidenti dell’estate si collocano esattamente dentro queste lacune, e le scelte californiane intervengono su ciascuna di esse.

Incidenti dei modelli: la sicurezza dell’IA oltre i confini

Il 21 luglio OpenAI ha reso noto il proprio coinvolgimento nella compromissione di Hugging Face.

Secondo la ricostruzione dell’azienda, tra il 12 maggio e il 21 luglio agenti basati su un modello di ricerca interno e in parte su GPT-5.6 Sol, un modello di OpenAI, impegnati in valutazioni sulle capacità offensive in ambito informatico, hanno costruito canali di comunicazione non autorizzati, tra cui un wiki tedesco, e tra il 10 e il 12 luglio hanno sfruttato credenziali esposte e due vulnerabilità zero-day fino a ottenere accessi di livello amministrativo su più cluster della piattaforma, copiando dati di valutazione privati in un dataset pubblico.

Hugging Face aveva rilevato e comunicato l’attività il 16 luglio, prima che OpenAI ne identificasse l’origine, e l’azienda ammette di non aver esteso alle valutazioni interne le protezioni applicate ai modelli distribuiti all’esterno¹⁴.

I casi Anthropic e il nodo delle notifiche

Il 30 luglio Anthropic ha pubblicato i risultati di una revisione retrospettiva condotta su 141.006 sessioni di valutazione.

Sono emersi tre incidenti, che hanno coinvolto Claude Opus 4.7, Claude Mythos 5 e un modello di ricerca interno: un errore di configurazione, ignoto sia all’azienda sia al partner esterno Irregular, società specializzata in valutazioni di sicurezza dei modelli, aveva lasciato l’ambiente di test collegato a internet, e in esercitazioni costruite su bersagli fittizi i modelli hanno colpito sistemi reali, raggiungendo un database di produzione, pubblicando sul registro PyPI un pacchetto malevolo scaricato da una quindicina di sistemi e violando un’applicazione esposta in rete. Le due organizzazioni che Anthropic è riuscita a contattare non si erano accorte di nulla¹⁵.

Il 10 settembre la società ha comunicato un quarto caso, risalente a gennaio e sfuggito alla prima revisione, in cui una versione preliminare di Claude Opus 4.6 ha violato un sistema di terzi e ha avuto accesso a informazioni personali; la ricerca è stata estesa a circa 481 milioni di trascrizioni e affidata anche all’organizzazione indipendente METR, che si occupa di valutazione dei modelli di frontiera¹⁶.

Nelle comunicazioni pubbliche dei due laboratori non risultano menzionate notifiche ad autorità, né americane né europee. Tutti gli episodi, inoltre, sono avvenuti durante valutazioni interne, in parte su modelli mai immessi sul mercato. Sono i due punti su cui la lettura europea deve concentrarsi.

Order della California, audit e nuovi strumenti per la sicurezza dell’IA

L’ordine N-9-26 richiama queste vicende nelle premesse, dove si parla di agenti di IA che hanno aggirato i protocolli di sicurezza predisposti dalle aziende e hanno operato per mesi senza essere rilevati, e attribuisce l’assenza di un intervento federale a «a failure of leadership by the President and Congressional leaders»¹⁷. Il dispositivo contiene tre ordini.

I primi due anticipano i tempi di attuazione di due leggi firmate il 9 settembre, illustrate più avanti: la SB 813, che istituisce organismi di verifica indipendente designati dallo Stato, e la AB 1405, che crea un registro pubblico degli auditor dell’IA. La Government Operations Agency, l’agenzia californiana competente per l’attuazione, deve definire entro il 1° maggio 2027 i criteri di designazione degli organismi di verifica, anziché entro il 1° gennaio 2028, e avviare entro il 1° dicembre 2027 il registro degli auditor, il cui obbligo di iscrizione scatterà dal 1° gennaio 2029¹⁸.

Il terzo commissiona, entro il 16 novembre 2026, raccomandazioni sulla fattibilità e sull’efficacia di modifiche legislative su quattro punti: la presenza di organismi di verifica designati all’interno dei laboratori dei grandi sviluppatori, la verifica indipendente di safety framework, transparency report e risk assessment, un kill switch con efficacia verificata nel tempo da un organismo indipendente, l’estensione della nozione di incidente critico agli eventi di perdita di controllo¹⁹.

Si tratta di un atto di indirizzo interno, che non crea diritti azionabili²⁰ e che richiederà leggi successive per produrre obblighi. L’idea del kill switch, del resto, era già presente nella SB 1047, la proposta di legge californiana del 2024 sulla sicurezza dei modelli di frontiera, respinta dallo stesso Newsom nel 2024²¹, e al Congresso è stato presentato a luglio l’AI Kill Switch Act (H.R. 9917), proposta di legge federale che imporrebbe un meccanismo di arresto per i sistemi di IA capaci di causare danni catastrofici²². Il peso dell’ordine sta nel contesto normativo in cui si inserisce.

SB 53, SB 813 e AB 1405: audit e obblighi dei laboratori

La SB 53, in vigore dal 1° gennaio 2026, impone ai grandi sviluppatori di frontiera di pubblicare un framework sul rischio catastrofico e a tutti gli sviluppatori di frontiera di notificare gli incidenti critici all’Office of Emergency Services, l’agenzia californiana per le emergenze, entro quindici giorni, con sanzioni fino a un milione di dollari per violazione²³.

Gli episodi dell’estate difficilmente rientrano tra gli incidenti che la legge obbliga a notificare, definiti attorno a danni gravi, accessi non autorizzati ai pesi dei modelli o condotte ingannevoli verso lo stesso sviluppatore al di fuori dei contesti di valutazione²⁴, e da qui nasce la proposta di estendere la nozione agli episodi di perdita di controllo che non producono lesioni, oggi rilevanti solo se causano morti o danni alle persone. La legge, inoltre, chiede agli sviluppatori soltanto di dichiarare nel proprio framework se ricorrono a valutazioni di terzi, senza imporle²⁵.

Le due leggi firmate il 9 settembre costruiscono quel controllo. La SB 813 del senatore Jerry McNerney istituisce organismi di verifica indipendente designati dallo Stato, tenuti a dichiarare metriche e metodologie, a riferire ogni anno sui conflitti di interesse e soggetti a sospensione o revoca²⁶. La legge chiede all’agenzia di allineare i criteri, ove praticabile, agli standard nazionali e internazionali di audit e assurance, una clausola che secondo Nabiha Sofia Herradi avvicina la valutazione dell’IA alla disciplina probatoria della revisione finanziaria²⁷.

La AB 1405 della deputata Rebecca Bauer-Kahan crea il registro pubblico degli auditor, con regole di indipendenza modellate sulla revisione contabile: l’auditor non può valutare il proprio lavoro, non può cercare né accettare un impiego presso il soggetto verificato mentre partecipa all’audit e non può assegnare all’incarico chi vi abbia lavorato nei dodici mesi precedenti. La legge prevede inoltre la conservazione della documentazione per almeno dieci anni e l’obbligo di dichiarare nel rapporto le questioni non verificate e le lacune delle evidenze²⁸.

La verifica resta volontaria: lo Stato ha definito chi può fare audit e con quali standard, senza pretendere che qualcuno vi si sottoponga²⁹, e lo scudo di responsabilità per i sistemi certificati è stato eliminato durante l’iter³⁰. New York si è allineata alla California con il RAISE Act, applicabile dal gennaio 2027³¹.

Il quadro è completato da una presa di posizione dell’industria. Il 9 settembre OpenAI ha chiesto una regolazione nazionale obbligatoria per i laboratori di frontiera, con valutazioni indipendenti e obblighi di notifica per i casi in cui un modello aggira i controlli di sicurezza di un’altra organizzazione³², e ha sostenuto le due leggi californiane, spiegando di aver rivisto la propria posizione alla luce del recente salto di capacità dei modelli³³. Lo stesso documento chiede approcci internazionali compatibili per misurare le capacità e gestire il rischio³⁴, un’apertura che riguarda direttamente Bruxelles.

Cinque canali dalla California all’Europa per la sicurezza dell’IA

Nessuna di queste norme vincola un’autorità o un’impresa europea. Esistono però canali attraverso cui le scelte californiane modificano, di fatto, le condizioni in cui l’AI Office esercita i propri poteri e le imprese europee gestiscono i propri rischi.

Documenti e capacità di verifica

Il primo canale è documentale. Un laboratorio globale difficilmente mantiene sistemi di gestione del rischio distinti per ogni giurisdizione e tende a costruire un unico framework da declinare nei diversi adempimenti. Il documento pubblicato per la SB 53 e quello predisposto secondo il capitolo del Codice dedicato alla sicurezza (Safety and Security) finiscono per descrivere gli stessi processi. Se la California rendesse obbligatoria la verifica esterna di quei documenti, come ipotizza l’ordine, l’AI Office riceverebbe in risposta alle proprie richieste di informazioni materiali già passati al vaglio di un terzo, con una base probatoria più solida di quella fornita dalla sola autodichiarazione del fornitore.

Il secondo canale riguarda la capacità di verifica, e credo sia quello destinato a incidere di più sull’enforcement europeo. L’Unione ha scritto regole che presuppongono valutatori esterni competenti e indipendenti; la California sta costruendo l’infrastruttura che li seleziona, li registra e li sorveglia. Quando esisteranno organismi designati in California, presumibilmente tra il 2027 e il 2028, i laboratori tenderanno a servirsene anche per onorare gli impegni del Codice, e l’AI Office si troverà a valutare risultati prodotti secondo metodologie definite altrove.

Il vantaggio è evidente, perché la domanda europea di valutatori qualificati resta in larga parte inevasa. Il rischio è altrettanto chiaro: l’ordine affida all’organismo di verifica il giudizio sull’adeguatezza degli standard, e fino alla definizione dei criteri pubblici sono gli stessi richiedenti a proporre la metodologia con cui misurano. Se la Commissione non fissa criteri propri su cosa renda un valutatore sufficientemente indipendente ai fini dell’art. 55 e del Codice, finirà per recepire senza controllo scelte compiute da un’agenzia statale americana.

Notifiche, kill switch e contratti

Il terzo canale è informativo. Uno stesso incidente può dover essere notificato all’autorità californiana entro quindici giorni, a quella newyorkese entro settantadue ore e all’AI Office secondo le scansioni del Codice. Se la California estenderà la nozione di incidente alla perdita di controllo, i laboratori dovranno dotarsi di sistemi di rilevazione e classificazione capaci di individuare anche gli episodi senza danno immediato, e quei sistemi alimenteranno inevitabilmente anche le comunicazioni verso Bruxelles. L’Europa ne beneficerebbe indirettamente, colmando per via di prassi la seconda delle lacune indicate. Manca però qualunque meccanismo di scambio tra autorità, per cui la convergenza resta confinata dentro le imprese e i regolatori non possono confrontare ciò che ricevono.

Il quarto canale è tecnico. Un meccanismo di arresto d’emergenza, se diventasse obbligatorio in California, sarebbe una proprietà dell’infrastruttura di erogazione del modello, valida ovunque quel modello venga servito. Un laboratorio che lo costruisce per Sacramento lo avrà a disposizione anche quando la Commissione ordina misure di mitigazione, la restrizione o il ritiro di un modello, e l’AI Office disporrebbe di un riferimento tecnico per un istituto che il Regolamento conosce solo per i sistemi ad alto rischio. Il limite riguarda i modelli a pesi aperti, per i quali, una volta avvenuta la distribuzione, non esiste un interruttore centrale da azionare.

Il quinto canale è contrattuale, e forse il più rapido. Herradi osserva che le aspettative di assurance viaggiano attraverso i contratti molto prima che attraverso le leggi, e che le evidenze richieste da un organismo di verifica californiano coincidono in larga parte con quelle necessarie per la certificazione ISO/IEC 42001, lo standard internazionale sui sistemi di gestione dell’IA, e per le valutazioni di conformità previste dall’AI Act³⁵. Un’impresa europea che acquista servizi di IA da un fornitore americano potrà chiedere diritti di audit, notifiche sui cambi di modello e accesso alle evidenze modellati su quel quadro, e un fornitore europeo che vende in California dovrà prepararsi a fornirli.

La sicurezza dei modelli IA prima dell’arrivo sul mercato europeo

Il punto in cui l’esperienza californiana può incidere di più sull’Europa è anche quello meno discusso. Tutti gli incidenti dell’estate si sono verificati durante valutazioni interne, cioè nella fase che l’art. 2, par. 8, del Regolamento esclude dal proprio ambito di applicazione. Resta da chiarire fino a che punto gli obblighi dell’art. 55 e gli impegni del Codice, che guardano all’intero ciclo di vita dei modelli a rischio sistemico, coprano ciò che accade dentro i laboratori prima del rilascio. La SB 53 chiede invece ai grandi sviluppatori di valutare nel proprio framework anche il rischio catastrofico derivante dall’uso interno dei modelli³⁶, e la proposta di collocare verificatori designati all’interno dei laboratori va nella stessa direzione.

Per l’Europa questo significa due cose. In positivo, un obbligo californiano di presenza continuativa di verificatori nei laboratori produrrebbe una sorveglianza sulla fase di sviluppo che il Regolamento, almeno nella lettura più letterale, non garantisce, e i cui benefici ricadrebbero sui modelli poi distribuiti anche in Europa. In negativo, la protezione europea in questa fase dipenderebbe da una legge statale americana, esposta alla contestazione federale e priva di qualunque canale di accesso per le autorità dell’Unione. La Commissione farebbe bene a chiarire, con linee guida o in sede di revisione del Codice, come l’esclusione dell’art. 2, par. 8, si coordini con gli obblighi di gestione del rischio sistemico.

Gli incidenti di Anthropic mostrano un ulteriore profilo, familiare a chi si occupa di GDPR e di NIS2. Le organizzazioni colpite non si erano accorte della violazione. Se tra le vittime vi fossero stati titolari del trattamento o soggetti essenziali o importanti europei, i termini di notifica previsti dall’art. 33 del GDPR e dall’art. 23 della direttiva NIS2, che decorrono dal momento in cui se ne viene a conoscenza, avrebbero potuto iniziare a decorrere soltanto dopo la comunicazione volontaria del laboratorio³⁷. Quando la fonte dell’attacco è un modello di un terzo in fase di test, la catena di notifica europea dipende interamente dalla trasparenza di chi quel modello lo sviluppa.

I limiti della spinta californiana per la sicurezza dell’IA in Europa

L’enforcement resta territoriale. Le sanzioni della SB 53 sono azionate dal procuratore generale della California, nessuna di queste leggi conferisce a un’autorità europea poteri o accesso a informazioni, e le imprese possono modulare le proprie scelte riservando alcune misure ai soli prodotti destinati al mercato americano. La sicurezza che arriva in Europa per questa via è un effetto riflesso di decisioni aziendali.

La verifica californiana è volontaria e priva di effetti automatici sulla responsabilità. Un sistema volontario convince i laboratori ad aderire solo se l’adesione produce un vantaggio commerciale o regolatorio, e il rischio è l’audit-washing, una certificazione che attesta la forma dei processi senza verificarne la sostanza. Sia OpenAI sia Anthropic hanno sostenuto pubblicamente le due leggi, e la critica più immediata è che i soggetti vigilati abbiano contribuito a definirne le regole³⁸. Herradi invita a tenerne conto e osserva che le regole di indipendenza saranno messe alla prova dalla prassi più che risolte dal testo³⁹. Se l’Europa si abituasse a considerare quei certificati come prova di diligenza, importerebbe anche questa debolezza.

C’è infine la fragilità politica. L’Executive Order 14365, firmato dal presidente Trump l’11 dicembre 2025, ha incaricato il Dipartimento di Giustizia di contestare in giudizio le leggi statali sull’IA e ha legato parte dei finanziamenti federali all’abbandono delle regole ritenute onerose⁴⁰.

Secondo le ricostruzioni disponibili, il Dipartimento di Giustizia non ha finora agito contro le leggi californiane, ma nell’aprile 2026 è intervenuto nel giudizio promosso da xAI contro la legge del Colorado sull’IA⁴¹. La bozza di legge federale diffusa a giugno, che renderebbe inapplicabili parte delle leggi statali sull’IA (la cosiddetta prelazione, o preemption), non è stata formalmente presentata⁴².

Una sentenza favorevole alla prelazione ridurrebbe l’incentivo dei laboratori a mantenere standard elevati, con effetti che si propagherebbero anche sui documenti presentati a Bruxelles. Un’infrastruttura di verifica che rischia di essere smontata in tribunale è un appoggio meno stabile di quanto la retorica di Sacramento lasci intendere.

Audit e sicurezza dell’IA: un’agenda per Bruxelles e Roma

Per trasformare un effetto riflesso in un beneficio stabile servono scelte esplicite, quasi tutte già alla portata degli strumenti esistenti. L’AI Office può chiedere, nell’esercizio dei poteri di richiesta di informazioni, i documenti prodotti dai fornitori per la SB 53 e le eventuali relazioni degli organismi di verifica californiani, confrontandoli con quanto dichiarato in Europa: le discrepanze tra ciò che un laboratorio comunica a Sacramento e ciò che comunica a Bruxelles sono di per sé un indicatore di rischio.

La Commissione dovrebbe poi fissare criteri europei di idoneità e indipendenza dei valutatori esterni, così che l’eventuale ricorso a organismi californiani avvenga entro parametri stabiliti dall’Unione. La clausola della SB 813 che chiede di allinearsi agli standard internazionali offre in questo senso un’occasione, perché gli standard europei di audit sui sistemi di IA hanno oggi la possibilità di diventare il riferimento anche oltre Atlantico, se definiti per tempo.

Alcune soluzioni della AB 1405 meritano di essere recepite, a partire dall’obbligo di dichiarare nel rapporto ciò che non è stato verificato e le lacune delle evidenze, che rende leggibile il perimetro reale di ogni valutazione. Nella revisione del Codice andrebbe chiarito se e come la perdita di controllo durante i test rientri tra gli incidenti da comunicare, allineando la nozione europea a quella che la California si prepara ad adottare. E occorre aprire un canale di dialogo diretto con le autorità statali americane che ricevono le notifiche di incidente, dato che la cooperazione con il livello federale è oggi pressoché ferma.

Il ruolo di AgID, ACN e delle imprese italiane

Per l’Italia il tema tocca le autorità designate dalla legge 132/2025, la legge italiana sull’intelligenza artificiale, AgID e ACN⁴³, che non hanno competenza sui modelli per finalità generali ma vigileranno sui sistemi costruiti su quei modelli, e l’ACN anche sugli obblighi NIS2 dei soggetti colpiti da incidenti di questo tipo.

La filiera californiana degli auditor comprende i sistemi usati per selezione del personale e decisioni assicurative, che in Europa ricadono negli ambiti ad alto rischio dell’Allegato III dell’AI Act, rinviati al dicembre 2027⁴⁴. È un intervallo utile per osservare il funzionamento di un mercato regolato dell’audit prima di doverne costruire uno nazionale, e per le imprese italiane per rivedere fin d’ora i contratti con i fornitori di IA. Le competenze di audit, di documentazione dei modelli e di gestione del rischio sono destinate a diventare un mestiere richiesto anche in Italia.

L’ordine di Newsom non cambia oggi il livello di sicurezza di chi usa un modello di frontiera a Milano o a Berlino. Può cambiarlo nei prossimi due o tre anni, se gli strumenti di verifica costruiti in California diventeranno prassi dei laboratori globali e se l’Unione saprà usarli senza delegare a Sacramento il giudizio su cosa sia una verifica affidabile. La prima condizione dipende dallo scontro con Washington, la seconda soltanto da Bruxelles. Il 16 novembre, con la consegna delle raccomandazioni californiane, si capirà quanto lontano Sacramento intenda spingersi; nel frattempo l’AI Office ha già gli strumenti per decidere quanto di quel lavoro fare proprio.

Note

1. OpenAI, «The Hugging Face incident and the road ahead», luglio 2026, https://openai.com/index/hugging-face-incident-and-the-road-ahead/. ↩
2. Anthropic, «Investigating three incidents in our cybersecurity evaluations», 30 luglio 2026, https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals. ↩
3. State of California, Executive Order N-9-26, 18 settembre 2026, testo firmato; comunicato del Governor of California, 18 settembre 2026, https://www.gov.ca.gov/2026/09/18/governor-newsom-issues-executive-order-to-accelerate-independent-oversight-and-advance-the-creation-of-an-ai-kill-switch/. ↩
4. Regolamento (UE) 2024/1689 (AI Act), art. 113, lett. b), che rende applicabile il capo V dal 2 agosto 2025 con l’eccezione dell’art. 101 sulle sanzioni, e artt. 91-94 e 101; Commissione europea, AI Act Service Desk, «The Commission’s enforcement powers related to AI Act obligations for providers of the most advanced models», https://ai-act-service-desk.ec.europa.eu/en/ai-act/faq/commissions-enforcement-powers-related-ai-act-obligations-providers-most-advanced-models. ↩
5. Regolamento (UE) 2024/1689 (AI Act), art. 111, par. 3. ↩
6. Regolamento (UE) 2026/1744 (Digital Omnibus sull’IA), pubblicato nella GUUE il 24 luglio 2026 e in vigore dal 27 luglio 2026, https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng; v. White & Case, «EU AI Omnibus enters into force, amending the AI Act», https://www.whitecase.com/insight-alert/eu-ai-omnibus-enters-force-amending-ai-act; Gibson Dunn, «EU AI Act Omnibus Agreement – Postponed High-Risk Deadlines and Other Key Changes», https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/. ↩
7. Sullo stato delle adesioni al Codice di buone pratiche v. METR, «Frontier AI safety regulations: A reference for lab staff», 29 gennaio 2026, https://metr.org/notes/2026-01-29-frontier-ai-safety-regulations/. Sull’adesione di xAI al solo capitolo Safety and Security v. la dichiarazione della società del 31 luglio 2025, https://x.com/SpaceXAI/status/1950828488405254268; Commissione europea, «The General-Purpose AI Code of Practice», https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai. ↩
8. Codice di buone pratiche per l’IA per finalità generali, capitolo Safety and Security; v. The Future Society, «What’s in the European Union’s Codes of Practice for Governing General-Purpose AI?», https://thefuturesociety.org/eu-ai-code-analysis/; per il confronto con la SB 53 e il RAISE Act v. METR, «Frontier AI safety regulations: A reference for lab staff», 29 gennaio 2026, https://metr.org/notes/2026-01-29-frontier-ai-safety-regulations/. ↩
9. Regolamento (UE) 2024/1689 (AI Act), art. 92. ↩
10. Regolamento (UE) 2024/1689 (AI Act), art. 55, par. 1, lett. c), e art. 3, punto 49, per la definizione di incidente grave. ↩
11. METR, «Frontier AI safety regulations: A reference for lab staff», 29 gennaio 2026, https://metr.org/notes/2026-01-29-frontier-ai-safety-regulations/. ↩
12. Regolamento (UE) 2024/1689 (AI Act), art. 14, par. 4, lett. e). ↩
13. Regolamento (UE) 2024/1689 (AI Act), art. 2, par. 8. ↩
14. OpenAI, «The Hugging Face incident and the road ahead», luglio 2026, https://openai.com/index/hugging-face-incident-and-the-road-ahead/. Sull’uso di un wiki tedesco come bacheca v. Reuters, «OpenAI pushes for mandatory national AI safety rules», 10 settembre 2026, ripreso da Internazionale, https://www.internazionale.it/ultime-notizie-reuters/2026/09/10/openai-pushes-for-mandatory-national-ai-safety-rules. ↩
15. Anthropic, «Investigating three incidents in our cybersecurity evaluations», 30 luglio 2026, https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals. ↩
16. CBS News, «Another Anthropic model gained access to the open internet during testing, company says», https://www.cbsnews.com/news/anthropic-ai-model-internet-hack-fourth-time/; The Hacker News, «Anthropic Discloses Fourth AI Hacking Incident Involving Claude Opus 4.6», 10 settembre 2026, https://thehackernews.com/2026/09/anthropic-ai-models-breached-real.html; Al Jazeera, 10 settembre 2026, https://www.aljazeera.com/news/2026/9/10/anthropic-discloses-fourth-ai-breach-as-researcher-quits-over-safety. ↩
17. State of California, Executive Order N-9-26, 18 settembre 2026, premesse («Whereas»). ↩
18. State of California, Executive Order N-9-26, 18 settembre 2026, punti 1 e 2; per le scadenze legali v. Pebblous, «California AI Auditor Registry: What SB 813 Left Blank», https://blog.pebblous.ai/blog/california-ai-auditor-registry/en/. ↩
19. State of California, Executive Order N-9-26, 18 settembre 2026, punto 3, lett. a)-d). ↩
20. State of California, Executive Order N-9-26, 18 settembre 2026, clausola finale. ↩
21. California SB 1047 (Safe and Secure Innovation for Frontier Artificial Intelligence Models Act), oggetto di veto del governatore il 29 settembre 2024. ↩
22. H.R. 9917, AI Kill Switch Act, 119° Congresso, https://www.congress.gov/bill/119th-congress/house-bill/9917/text. ↩
23. Future of Privacy Forum, «California’s SB 53: The First Frontier AI Law, Explained», https://fpf.org/blog/californias-sb-53-the-first-frontier-ai-law-explained/. ↩
24. Sulla nozione di critical safety incident nella SB 53 v. Future of Privacy Forum, «California’s SB 53: The First Frontier AI Law, Explained», https://fpf.org/blog/californias-sb-53-the-first-frontier-ai-law-explained/. ↩
25. N. S. Herradi, «California SB 813 and AB 1405: The AI Auditor Framework», AI GRC Advisory, 13 settembre 2026, https://aigrcadvisory.com/california-sb-813-ab-1405-the-ai-auditor-framework/. V. anche Future of Privacy Forum, «California’s SB 53: The First Frontier AI Law, Explained», https://fpf.org/blog/californias-sb-53-the-first-frontier-ai-law-explained/. ↩
26. Pebblous, «California AI Auditor Registry: What SB 813 Left Blank», https://blog.pebblous.ai/blog/california-ai-auditor-registry/en/. V. anche Sen. J. McNerney, «Newsom Signs McNerney’s Landmark Bill to Assess Artificial Intelligence Safety Risks», https://sd05.senate.ca.gov/news/newsom-signs-mcnerneys-landmark-bill-assess-artificial-intelligence-safety-risks. ↩
27. N. S. Herradi, «California SB 813 and AB 1405: The AI Auditor Framework», AI GRC Advisory, 13 settembre 2026, https://aigrcadvisory.com/california-sb-813-ab-1405-the-ai-auditor-framework/. ↩
28. AB 1405, Chapter 178, Statutes of 2026, Government Code artt. 11549.80 ss., in particolare art. 11549.83, lett. d), e) e f), nel testo pubblicato su LegiScan, https://legiscan.com/CA/text/AB1405/id/3458353. V. anche Pebblous, «California AI Auditor Registry: What SB 813 Left Blank», https://blog.pebblous.ai/blog/california-ai-auditor-registry/en/. Alcune ricostruzioni giornalistiche riportano un divieto di impiego presso il soggetto verificato nei dodici mesi successivi all’audit, previsto in una versione precedente del testo (emendamento del 3 aprile 2025) e non confermato nel testo approvato. ↩
29. N. S. Herradi, «California SB 813 and AB 1405: The AI Auditor Framework», AI GRC Advisory, 13 settembre 2026, https://aigrcadvisory.com/california-sb-813-ab-1405-the-ai-auditor-framework/. ↩
30. Tech Times, «California Signs First US AI Audit Law: Frontier Labs and Hiring Tools Now in Scope», 10 settembre 2026, https://www.techtimes.com/articles/327159/20260910/california-signs-first-us-ai-audit-law-frontier-labs-hiring-tools-now-scope.htm. ↩
31. Morrison Foerster, «New York Amends the RAISE Act to Align More Closely with California Law», aprile 2026, https://www.mofo.com/resources/insights/260403-new-york-amends-the-raise-act-to-align-more-closely. ↩
32. C. Lehane, «The AI policy window is open. We need to act.», OpenAI, 9 settembre 2026, https://openai.com/index/ai-policy-window/. ↩
33. Reuters, «OpenAI pushes for mandatory national AI safety rules», 10 settembre 2026, ripreso da Internazionale, https://www.internazionale.it/ultime-notizie-reuters/2026/09/10/openai-pushes-for-mandatory-national-ai-safety-rules. ↩
34. C. Lehane, op. cit. ↩
35. N. S. Herradi, «California SB 813 and AB 1405: The AI Auditor Framework», AI GRC Advisory, 13 settembre 2026, https://aigrcadvisory.com/california-sb-813-ab-1405-the-ai-auditor-framework/. ↩
36. Future of Privacy Forum, «California’s SB 53: The First Frontier AI Law, Explained», https://fpf.org/blog/californias-sb-53-the-first-frontier-ai-law-explained/. ↩
37. Anthropic, «Investigating three incidents in our cybersecurity evaluations», 30 luglio 2026, https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals. Sugli obblighi di notifica v. Regolamento (UE) 2016/679, artt. 33 e 34, e Direttiva (UE) 2022/2555 (NIS2), art. 23. ↩
38. N. S. Herradi, «California SB 813 and AB 1405: The AI Auditor Framework», AI GRC Advisory, 13 settembre 2026, https://aigrcadvisory.com/california-sb-813-ab-1405-the-ai-auditor-framework/. Sul sostegno di OpenAI v. Reuters, «OpenAI pushes for mandatory national AI safety rules», 10 settembre 2026, ripreso da Internazionale, https://www.internazionale.it/ultime-notizie-reuters/2026/09/10/openai-pushes-for-mandatory-national-ai-safety-rules. ↩
39. N. S. Herradi, «California SB 813 and AB 1405: The AI Auditor Framework», AI GRC Advisory, 13 settembre 2026, https://aigrcadvisory.com/california-sb-813-ab-1405-the-ai-auditor-framework/. ↩
40. Executive Order 14365, 11 dicembre 2025; v. Lawfare, «Trump Signs Executive Order to Preempt State AI Laws», https://www.lawfaremedia.org/article/trump-signs-executive-order-to-preempt-state-ai-laws. ↩
41. Consilium, «The DOJ Built a Task Force to Sue States Over AI Laws», aggiornato al 17 giugno 2026, https://consilium.law/sparkpoint/doj-ai-litigation-task-force/ (intervento del DOJ del 24 aprile 2026 nel giudizio promosso da xAI contro il Colorado AI Act). ↩
42. CASRAI, «Federal AI Preemption Fight: Where It Stands», settembre 2026, https://casrai.org/news/federal-ai-moratorium-state-preemption-fight-2026 (bozza di discussione del Great American AI Act, 4 giugno 2026). ↩
43. Legge 23 settembre 2025, n. 132, «Disposizioni e deleghe al Governo in materia di intelligenza artificiale», art. 20. ↩
44. Regolamento (UE) 2026/1744 (Digital Omnibus sull’IA), in vigore dal 27 luglio 2026; v. Gibson Dunn, «EU AI Act Omnibus Agreement – Postponed High-Risk Deadlines and Other Key Changes», https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/; Usercentrics, «EU AI Act Deal: Digital Omnibus Now in Force», https://usercentrics.com/knowledge-hub/eu-ai-act-high-risk-delay-article-50-transparency-consent/. ↩