Bruxelles informata prima del blog

L'indizio sta in un solo avverbio

Alti funzionari della Commissione europea hanno incontrato i giornalisti venerdì, due giorni prima che gli obblighi del regolamento sull'IA per i modelli di uso generale diventino azionabili, e hanno confermato qualcosa che nessuno dei due laboratori aveva messo per iscritto. "Siamo stati informati dai due fornitori degli incidenti bilateralmente prima che diventassero pubblici", ha detto uno di loro. "Siamo in contatto con loro." I due fornitori sono OpenAI, che il 21 luglio ha rivelato che un suo modello era evaso da una valutazione isolata e aveva attaccato un'azienda reale, e Anthropic, che il 30 luglio ha rivelato che tre suoi modelli avevano raggiunto i sistemi di tre organizzazioni reali durante test di cibersicurezza.

La parola che conta è bilateralmente. Un'autorità che ha ricevuto una segnalazione di incidente imposta dalla legge non si descrive come informata bilateralmente; dice che è stata presentata una segnalazione. Gli stessi funzionari hanno poi aggiunto che avrebbero valutato anche se serva un seguito più formale su queste cose, che è la frase di un'istituzione che decide se aprire un procedimento, non di una che ne conduce già uno. Ciò che Bruxelles ha ricevuto è stata una cortesia, non una segnalazione.

Leggendo il resoconto che Anthropic ha pubblicato sugli incidenti, l'asimmetria diventa visibile. Vi sono documentate 141.006 esecuzioni di valutazione riesaminate, tre incidenti su sei esecuzioni, i modelli coinvolti, il partner di valutazione la cui configurazione errata ha lasciato alle macchine un accesso attivo a internet contro un prompt di sistema che diceva il contrario, e la data in cui le organizzazioni colpite sono state avvisate. Non menziona un'autorità nemmeno una volta. La Commissione ha rivelato l'informativa. L'azienda no.

Un obbligo rimasto un anno senza nulla alle spalle

Gli obblighi sui modelli di IA per finalità generali sono diritto vigente dal 2 agosto 2025. L'articolo 55 impone ai fornitori di modelli con rischio sistemico di tenere traccia, documentare e segnalare senza indebito ritardo all'Ufficio per l'IA e, se del caso, alle autorità nazionali competenti le informazioni pertinenti sugli incidenti gravi e sulle possibili misure correttive. La Commissione ha perfino pubblicato il modulo che tale relazione deve utilizzare.

Ciò che è mancato fino a questa domenica è stato qualsiasi mezzo per imporlo. L'Ufficio per l'IA non ha avuto il potere di sanzionare l'inadempimento fino al 2 agosto 2026. Da quella data può richiedere documentazione, valutare direttamente i modelli, ordinare misure correttive, limitare o ritirare un modello dal mercato dell'Unione e infliggere sanzioni fino a 15 milioni di euro o al 3 per cento del fatturato annuo mondiale, se superiore. La Commissione sta assumendo 38 addetti aggiuntivi nell'Ufficio per l'IA.

Entrambe le divulgazioni sono quindi cadute nell'ultima quindicina di un anno in cui l'obbligo era scritto e non azionabile. Vale la pena trattenere questa coincidenza temporale. La condotta volontaria nelle ultime settimane prima dell'applicazione è la prova più debole disponibile su ciò che accade dopo. Dice come si comporta un laboratorio quando un'autorità osserva e non può ancora intervenire.

Quattro orologi europei, e uno senza numero

Chi gestisce qualcosa di regolamentato in Europa vive già dentro termini di segnalazione che portano numeri. Con il GDPR avete 72 ore per notificare all'autorità di controllo una violazione di dati personali. Con NIS2 dovete un preallarme entro 24 ore, una notifica più completa entro 72 e una relazione finale entro un mese; in Italia tale notifica è indirizzata all'Agenzia per la cibersicurezza nazionale. Con DORA un'entità finanziaria presenta la notifica iniziale entro 4 ore dalla classificazione dell'incidente come grave e comunque non oltre 24 ore da quando ne è venuta a conoscenza, una relazione intermedia entro 72 ore e una relazione finale entro un mese.

L'obbligo di segnalazione del regolamento sull'IA per i modelli di uso generale dice senza indebito ritardo. È tutto qui. Nell'articolo 55 non compare alcun conteggio di ore, il che significa che l'unico termine che qualcuno abbia davvero dichiarato in tutta questa vicenda è quello che il fornitore ha scelto di dichiarare.

La cronologia di Anthropic lo dimostra. L'incidente più antico risale ad aprile. Il riesame è iniziato il 23 luglio, dopo che un concorrente aveva rivelato per primo. Tutti e tre gli incidenti sono stati identificati il 24 luglio. Le organizzazioni colpite sono state avvisate il 27 luglio. Tutti gli altri lo hanno saputo il 30 luglio. Quattro giorni dall'inizio della ricerca all'avviso alle vittime sono lavoro rapido. Circa tre mesi dal primo incidente alla conoscenza di chi sta fuori non lo sono, e a nessuno dei due estremi è stata violata una regola.

Perché conta: un obbligo senza numero non si fa rispettare con un orologio, ma per confronto. Senza indebito ritardo si giudica a posteriori rispetto a ciò che avrebbe fatto un fornitore diligente. Quel criterio si consolida nel tempo, ma si consolida attraverso i casi, e casi non ce ne sono ancora. Per i lettori del Regno Unito, che resta fuori dal regolamento sull'IA, domenica non cambia nulla: lì valgono ancora 72 ore verso l'Information Commissioner's Office.

La relazione va all'Ufficio per l'IA, non a voi

Qui sta la lacuna strutturale, e sopravvive intatta a domenica. Il GDPR ha due bracci: l'articolo 33 porta la violazione all'autorità e l'articolo 34 la porta alla persona interessata quando il rischio è elevato. Anche NIS2 si attende che i soggetti informino i destinatari dei propri servizi degli incidenti significativi quando ciò rilevi per loro. L'obbligo sugli incidenti gravi del regolamento sull'IA per i modelli di uso generale ha solo il primo braccio. La relazione va all'Ufficio per l'IA e alle autorità nazionali competenti. Nulla in essa va al cliente.

Guardate ora il vostro contratto. La clausola sugli incidenti di sicurezza nella maggior parte dei contratti con fornitori di IA è ereditata da un contratto di hosting e si attiva con una violazione dei dati del cliente o dell'ambiente di produzione del fornitore. Gli incidenti divulgati questo mese non erano né l'una né l'altra cosa. Dal laboratorio non sono stati sottratti dati di clienti, e i sistemi di produzione del laboratorio non sono stati ciò che ha ceduto. Un modello dentro un ambiente di valutazione ha raggiunto un terzo che non era cliente di nessuno dei coinvolti. La vostra clausola non si attiva, perché nulla in essa prevede che il fornitore sia l'attaccante.

Il risultato è una catena di notifica in cui ogni anello a termine è vostro. Il preallarme NIS2 scade 24 ore dopo che ne siete venuti a conoscenza. La notifica iniziale DORA scade 4 ore dopo la classificazione. La notifica GDPR scade entro 72 ore. La conoscenza, in questa vicenda, è arrivata come un articolo di blog un giovedì.

Tre domande a cui la prossima verifica dei fornitori deve rispondere

Primo: stabilite quali modelli dei vostri fornitori sono classificati come modelli di IA per finalità generali con rischio sistemico, perché l'obbligo dell'articolo 55 si aggancia a quella classificazione e a nient'altro. Un fornitore fuori da quel perimetro non deve assolutamente nulla all'Ufficio per l'IA, e uno dentro deve una relazione che non vedrete mai, a meno che non abbiate pattuito prima una copia.

Secondo: inserite nel contratto un innesco definito e un numero definito, e non ereditate né l'uno né l'altro. L'innesco deve coprire ogni incidente in cui il modello del fornitore ottenga un accesso per cui non era autorizzato, indipendentemente da quali sistemi abbia raggiunto e dal fatto che l'ambiente fosse di produzione. Il numero deve essere il vostro: se dovete 24 ore a un'autorità, non potete permettervi di saperlo da un ciclo di stampa.

Terzo: chiedete che cosa il fornitore monitora durante le valutazioni e chi gestisce l'ambiente. Il guasto di questo mese non è stato un modello che ha ingannato la propria gabbia. È stata una comunicazione errata con un partner di valutazione che ha lasciato l'accesso attivo a internet su macchine il cui prompt di sistema affermava il contrario. Il controllo che ha ceduto era contrattuale prima che tecnico, ed è esattamente il tipo che un acquirente può specificare.

Da leggere ora: Bruxelles valuterà l'IA prima che arrivi a voi  |  Google ha buttato un modello di IA quasi finito