Un ministro ha messo un nome sulla decisione
Il ministro del Bilancio francese David Amiel ha fatto qualcosa di insolito per un dibattito sulla sovranità digitale: ha legato il proprio nome e una citazione diretta a una scelta di approvvigionamento precisa. Martedì 18 agosto 2026, Amiel ha detto che lo Stato si sarebbe affidato a fornitori di IA sovrana, citando Mistral, il laboratorio francese di IA, come esempio. Le sue parole, tradotte: "Questo esclude OpenAI".
Quella frase è la notizia. Le promesse di sovranità da parte di funzionari europei sono comuni; un ministro in carica che nomina un fornitore statunitense specifico come escluso da una funzione governativa specifica, in una dichiarazione citabile, non lo è. Telesatellite ha riportato le dichiarazioni il 20 agosto 2026, collegandole direttamente a un altro annuncio fatto da Amiel lo stesso giorno: che lo Stato avrebbe usato strumenti di IA per cercare vulnerabilità nei propri sistemi.
L'innesco è stata una violazione all'autorità fiscale
Il contesto immediato è stato un fallimento di sicurezza, non un esercizio politico astratto. La DGFiP, l'autorità fiscale francese, era stata violata, esponendo nomi, contatti e numeri di riferimento fiscale di circa 700.000 contribuenti. Il comunicato del governo francese del 17 agosto ha delineato la dottrina di risposta permanente: rilevare e interrompere tramite ANSSI, l'agenzia nazionale per la cibersicurezza; perseguire, con la DGFiP che ha presentato una denuncia penale e un'indagine giudiziaria in corso; e informare, con notifiche alla CNIL e alle persone coinvolte a partire da lunedì 17 agosto.
I commenti di Amiel sul fornitore di IA sono arrivati il giorno dopo, nell'ambito della spinta più ampia del governo verso l'uso dell'intelligenza artificiale per la rilevazione di vulnerabilità in tutti i ministeri. La violazione non ha creato la politica di sovranità, ma ha dato all'esclusione di OpenAI un innesco concreto e datato invece di uno sfondo strategico vago.
Perché la scelta del fornitore è una decisione di sicurezza, non solo politica
Testare le vulnerabilità dei propri sistemi governativi è tra i carichi di lavoro più sensibili che un fornitore di IA possa toccare. Uno strumento di IA costruito per trovare vulnerabilità ha bisogno di accesso profondo e permanente esattamente all'infrastruttura che un avversario vorrebbe compromettere. Affidare quell'accesso a un fornitore esterno è un rischio; affidarlo a un fornitore con sede negli Stati Uniti aggiunge un'esposizione concreta e fondata legalmente che un fornitore francese o europeo non porta allo stesso modo, perché i fornitori statunitensi restano raggiungibili da procedimenti legali americani in un modo in cui un'azienda nazionale non lo è.
Questa è la tensione onesta nella scelta della Francia. Mistral è un fornitore nazionale senza la scala o il curriculum dei maggiori laboratori statunitensi, e sceglierlo per questo carico di lavoro è un compromesso reale, non un miglioramento senza costi. Ma per questo caso d'uso specifico, la giurisdizione sta svolgendo un vero lavoro di sicurezza, non solo teatro politico. La decisione regge solo perché è circoscritta: un ministro nominato, un fornitore nominato, un'esclusione nominata, legata a una funzione nominata.
La decisione che questo pone a ogni organizzazione UE
La mossa della Francia offre ad altri governi e imprese regolamentate qualcosa che prima mancava: un modello concreto e documentato per escludere uno specifico fornitore di IA straniero da una specifica funzione sensibile, invece di un gesto generico di sovranità. Ogni ente UE o britannico che gestisce test di vulnerabilità o strumenti di IA red-team su infrastrutture sensibili ha ora un precedente a cui fare riferimento per prendere la stessa decisione.
La vera domanda che questo solleva non è se usare l'IA per i test di sicurezza in generale. È a quale giurisdizione risponde il fornitore di IA, e se questo conta di più per questo particolare carico di lavoro rispetto all'uso generale di IA di un'organizzazione altrove. La Francia ha risposto a questa domanda per una funzione, per iscritto, con un nome dietro. Altre istituzioni con infrastrutture altrettanto sensibili devono ora rispondervi a loro volta.
Da leggere ora: La Francia sposta il suo database sanitario fuori da Azure | Un agente IA ha finto identità per approvare codice
