Una violazione, poi una decisione di appalto
Il Ministero delle Finanze francese ha reso noto che la sua agenzia delle entrate, la DGFiP, è stata colpita da un attacco informatico che ha sottratto dati di circa 700.000 contribuenti, tra cui nomi, date di nascita, indirizzi postali ed e-mail, numeri di telefono, codici fiscali, aliquote di ritenuta e corrispondenza con i funzionari. Pochi giorni dopo, il ministro del Bilancio David Amiel ha dichiarato ai giornalisti, dopo una riunione di gabinetto a Parigi, che il governo si sarebbe rivolto a quelle che ha definito aziende di IA sovrana, come Mistral, per testare i sistemi statali alla ricerca del tipo di vulnerabilità che ha reso possibile la violazione. 'Questo esclude OpenAI', ha detto.
La sequenza conta: non si tratta di una politica astratta di sovranità annunciata in un documento strategico, ma di una decisione di appalto specifica, presa in risposta diretta a un fallimento di sicurezza nominato, con un vincitore nominato e un'esclusione nominata.
La sovranità era già il piano
L'annuncio di Amiel estende una linea politica che la Francia aveva già avviato. Nel giugno 2026 ha presentato 'Notre IA' ('La nostra IA'), un piano governativo per distribuire strumenti di IA sovrana nei servizi pubblici francesi. Il suo elemento centrale, un assistente chiamato L'Assistant costruito sul modello di Mistral e ospitato in datacenter certificati SecNumCloud, era già in fase di distribuzione a quasi un milione di dipendenti statali prima di quest'ultimo annuncio.
Mistral, la startup parigina fondata nel 2023 e valutata più di 11 miliardi di euro, è diventata la risposta predefinita della Francia ogni volta che vuole dimostrare di poter gestire sistemi sensibili senza dipendere dalla tecnologia statunitense. Il sostegno del fornitore di apparecchiature per la produzione di chip ASML ha rafforzato questo posizionamento. Il mandato per i test di cybersicurezza è un nuovo caso d'uso che si aggiunge a un rapporto già esistente, non una decisione a sé stante.
Perché questo conta per ogni fornitore UE che vende ai governi
Per qualsiasi azienda che venda servizi legati all'IA a contratti del settore pubblico o di settori regolamentati europei, questo è il momento in cui la 'IA sovrana' ha smesso di essere uno slogan in un documento politico ed è diventata una voce concreta in una vera decisione di appalto, innescata da una violazione reale con un numero reale associato. Un fornitore con sede negli Stati Uniti è stato nominato ed escluso da un compito specifico e sensibile per la sicurezza, non per motivi di prestazioni, ma per motivi di sovranità. La stessa domanda sulla dipendenza dai fornitori statunitensi nel settore pubblico si pone oggi anche per l'Italia e per altri Stati dell'UE.
| Data | Sviluppo |
|---|---|
| Giugno 2026 | Amiel presenta 'Notre IA', un piano per distribuire strumenti di IA sovrana, costruiti su Mistral, nei servizi pubblici francesi |
| Metà agosto 2026 | Il Ministero delle Finanze rende nota la violazione della DGFiP; sottratti i dati di circa 700.000 contribuenti |
| Pochi giorni dopo | Amiel annuncia che lo Stato userà solo fornitori di IA sovrana come Mistral, escludendo esplicitamente OpenAI, per testare le vulnerabilità dei sistemi |
Qualsiasi fornitore, con sede nell'UE o meno, che concorra per contratti governativi o di infrastrutture critiche in qualsiasi punto del blocco dovrebbe ora aspettarsi che nel linguaggio dei bandi compaia un requisito genuino di hosting o modello sovrano, non solo una casella sulla residenza dei dati, e dovrebbe avere pronta una risposta credibile controllata dall'UE prima che gli venga richiesta.
Cosa questo non risolve
Che un ministero escluda un fornitore da un mandato di test non è un divieto generale degli strumenti di IA statunitensi in tutto lo Stato francese, e non dice nulla sul fatto che gli strumenti di Mistral saranno davvero migliori di quelli di OpenAI nel trovare il tipo di vulnerabilità che ha permesso, in primo luogo, la fuga di 700.000 record di contribuenti. Sovranità e capacità di sicurezza sono questioni separate, e finora la Francia ha risposto pubblicamente solo alla prima.
La spinta più ampia dell'UE verso un cloud e un'infrastruttura di IA sovrani, da Gaia-X alle gigafabbriche di IA pianificate dal blocco, è ancora agli inizi e in pratica in gran parte nazionale piuttosto che unificata. La decisione della Francia è un dato per questa tendenza più ampia, non la prova che sia già arrivata a livello di UE.
Da leggere ora: Un finto think tank ha preso di mira Francia e Germania con l'IA | Mistral divide l'IA sovrana in due scommesse
