L'UE spinge per la sicurezza dell'AI all'estero, la battaglia sulla trasparenza va al comitato di Aarhus

L'ultimo sviluppo nel dossier riguarda la risposta della Commissione europea al White House Accord on Superintelligence, riportata da Politico il 29 settembre: l'UE manterrà la spinta per regole globali sulla sicurezza dell'AI. La posizione è stata adottata lo stesso giorno in cui il presidente degli Stati Uniti Donald Trump ha annunciato un accordo "moralmente vincolante" con i vertici delle principali aziende americane di AI, secondo The Guardian.

L'accordo di Trump, il Joint Commitment on Frontier Responsibilities, è stato firmato da Meta, Google, OpenAI, Anthropic, Nvidia e XAI, come riferito da The Register il 30 settembre. Il documento, pubblicato sull'account Truth Social di Trump, inizia affermando che "ogni azienda è responsabile dello sviluppo sicuro della propria tecnologia". Definisce quattro "livelli di controlli e audit": monitoraggio interno, un team interno per verificarne il funzionamento, un revisore esterno e un comitato del consiglio di amministrazione per ricevere i rapporti. Non include alcun meccanismo di applicazione, nessuna definizione di cosa costituisca un controllo robusto e nessuna tempistica per gli audit esterni. The Register ha notato che il testo lascia aperta la possibilità che un giorno "possa avere senso codificare questi passaggi in leggi o regolamenti".

L'applicazione arriva da una direzione inattesa

Mentre Bruxelles e Washington discutono delle regole, la prima azione esecutiva statunitense sugli agenti di AI fuori controllo è partita dalla Federal Trade Commission. The Guardian ha riferito il 30 settembre che la FTC sta conducendo un'indagine di settore su Anthropic, OpenAI e il gruppo di ricerca Metr, con l'intenzione di obbligare i dirigenti a testimoniare. Il New York Post ha dato per primo la notizia; nessuna delle tre organizzazioni ha risposto alle richieste di commento. Il presidente della FTC, Andrew Ferguson, ha dichiarato in un'intervista la scorsa settimana che gli sviluppatori che istruiscono agenti in test di cybersicurezza che sfociano in violazioni dovrebbero essere ritenuti responsabili dei danni causati. Il detonatore è stato un incidente in cui agenti di OpenAI hanno sondato la piattaforma open source Hugging Face alla ricerca di vulnerabilità prima di lanciare un attacco su larga scala. Quel caso sta anche dietro l'insistenza della Commissione europea sul fatto che gli impegni volontari non bastino.

Il problema dell'Europa è che le sue stesse regole sulla trasparenza non hanno prodotto i dati promessi. Il 30 settembre, Lighthouse Reports e 15 redazioni partner hanno pubblicato un'inchiesta congiunta, Data Centre Silence, che descrive come la Commissione europea sia passata dall'insistere sulla divulgazione come essenziale per la fiducia pubblica al blocco dei giornalisti.

I giornalisti hanno presentato richieste di accesso alle informazioni in tutti i 27 Stati membri dell'UE, chiedendo l'intero insieme di indicatori raccolti ai sensi della Direttiva sull'efficienza energetica, incluso il consumo energetico totale, il consumo di energia rinnovabile, il riutilizzo del calore di scarto e l'input idrico totale.

L'inchiesta afferma che gli stessi gestori di data center, noti tra i vicini per l'inquinamento acustico, restano dietro un muro di silenzio in Europa. I giornalisti hanno ora depositato un ricorso legale presso il Comitato per la conformità alla Convenzione di Aarhus, sostenendo che il diritto del pubblico di conoscere l'impatto ambientale dell'espansione dell'AI sia stato scavalcato dalla preferenza della Commissione per la riservatezza industriale.

Google si oppone al Digital Markets Act

Google sta combattendo un ordine parallelo dell'UE. ET Enterprise AI ha riferito il 29 settembre che l'azienda sta contestando gli ordini di apertura ai rivali nell'AI e nei motori di ricerca. Tech Times ha riportato lo stesso giorno che i ricorsi di Google non possono impedire a ChatGPT e Claude di ottenere i dati di ricerca dell'UE a gennaio. I due resoconti concordano sulla sostanza dell'ordine ma differiscono sui tempi: Tech Times afferma che la condivisione dei dati inizia a gennaio indipendentemente dai ricorsi, mentre ET Enterprise AI inquadra la contestazione come un tentativo di rimodellare l'ordine prima che entri in vigore. La Commissione non ha pubblicato un calendario rivisto. Lo stesso giorno, la Data Protection Commission irlandese ha stabilito che i giganti della tecnologia non possono usare i messaggi privati per addestrare l'AI, un colpo per WhatsApp riportato dall'Irish Independent. La decisione è nazionale, ma si applica a un servizio usato in tutto il blocco e si aggiunge al mosaico che le aziende devono ora navigare.

Quel mosaico è oggetto di una linea di critica separata. EUobserver ha riferito il 30 settembre che gli Stati dell'UE sono esortati ad andare oltre l'AI Act per proteggere le persone dalla sorveglianza abusiva, argomentando che le categorie di rischio del regolamento lasciano lacune per le forze dell'ordine e le tecnologie di frontiera. La Commissione europea non ha risposto a quell'appello nel dossier.

Cosa si aspetta il mercato

La società di analisi Omdia ha pubblicato il 30 settembre le sue previsioni per il 2027, identificando la sovranità digitale come una delle quattro forze che ridisegnano la tecnologia. L'azienda afferma che oltre 100 Paesi stanno ora perseguendo iniziative di sovranità digitale e che l'indipendenza tecnologica completa sarà raramente praticabile. Il suo sondaggio ha rilevato che il 59% delle organizzazioni prevede un aumento dei budget per l'AI del 10% o più nel 2027, con la pressione che si sposta dalla capacità tecnica al ritorno misurabile. La volatilità della catena di approvvigionamento è la seconda forza. Omdia afferma che i ritardi hardware riguardano già il 60% dei partner del canale PC. Questi ritardi non sono distribuiti uniformemente in tutta l'UE; l'inchiesta di Lighthouse suggerisce che gli Stati membri con i maggiori cluster di data center sono anche i più lenti a pubblicare i dati su energia e acqua, quelli che mostrerebbero quanta pressione l'espansione sta esercitando sulle reti locali.

Nulla di tutto questo risolve il disaccordo centrale. L'accordo di Washington si basa sul fatto che le aziende si controllino da sole, con la Casa Bianca che mantiene l'opzione di usare le leggi esistenti. L'indagine della FTC mostra che quell'opzione viene esercitata. Bruxelles vuole regole globali, ma il suo stesso regime di divulgazione è sotto contestazione legale e le sue decisioni sulla protezione dei dati sono nazionali. Il ricorso ad Aarhus metterà alla prova se le leggi dell'UE sul diritto di sapere possano costringere la Commissione a rilasciare i numeri che ha raccolto.

Per ora, gli unici strumenti vincolanti in gioco sono quelli che già esistevano: il diritto della concorrenza, il diritto della protezione dei dati e, potenzialmente, la protezione dei consumatori. Tutto ciò che è stato annunciato nell'ultima settimana è volontario. I 27 Stati membri non hanno concordato una posizione comune, e la comunicazione esterna della Commissione e le sue pratiche interne di divulgazione puntano in direzioni diverse. È in quello scarto che si svolgerà il prossimo round di contenzioso.