AI Act, l’AI Office invia le prime richieste di informazioni a OpenAI, Anthropic e Google

La fase teorica dell’AI Act europeo è finita. A quasi un mese dall’entrata in vigore degli obblighi per i modelli di AI per finalità generali, l’AI Office della Commissione europea ha compiuto il primo passo concreto di applicazione della legge: ha inviato una serie di richieste formali di informazioni ai principali fornitori di modelli di frontiera. Secondo le ricostruzioni della stampa internazionale, tra i destinatari ci sono OpenAI, Anthropic e Google, cioè i tre nomi che oggi definiscono lo stato dell’arte dell’intelligenza artificiale generativa.

Ad annunciarlo è stata Henna Virkkunen, vicepresidente esecutiva della Commissione con delega alla sovranità tecnologica, alla sicurezza e alla democrazia. Il messaggio è diretto: le nuove regole non sono un esercizio di stile, e Bruxelles intende usare gli strumenti che si è data.

Cosa ha chiesto davvero l’AI Office

Le richieste di informazioni, note con l’acronimo inglese RFI, non sono ancora sanzioni né procedimenti formali di infrazione. Sono lo strumento con cui l’AI Office raccoglie elementi per capire se un fornitore stia rispettando gli obblighi previsti dal regolamento. In pratica, la Commissione chiede alle aziende di documentare nero su bianco come lavorano.

Da quanto emerso, le domande si concentrano su tre aree principali. La prima riguarda la sicurezza dei modelli, cioè le misure adottate per evitare che un sistema venga usato in modo pericoloso o che sfugga al controllo di chi lo ha costruito. La seconda riguarda le valutazioni indipendenti, ovvero i test condotti da soggetti esterni per misurare i rischi di un modello prima e dopo il rilascio. La terza riguarda il monitoraggio dei modelli una volta immessi sul mercato, un punto spesso trascurato ma decisivo, perché un sistema può comportarsi in modo diverso a distanza di mesi dal lancio.

A questo si aggiunge il fronte della trasparenza sui dati di addestramento, uno degli obblighi più discussi del regolamento: i fornitori devono pubblicare un riepilogo sufficientemente dettagliato dei contenuti usati per addestrare i loro modelli.

Non è un dettaglio da poco. È la prima volta che un’autorità pubblica chiede in modo vincolante a questi laboratori di spiegare scelte che, fino a ieri, restavano coperte dal segreto industriale.

Non un’infrazione, ma un avvertimento

Vale la pena chiarire cosa non sono queste richieste. Non si tratta ancora di un procedimento sanzionatorio, e nessuna azienda è stata al momento accusata formalmente di aver violato la legge. La richiesta di informazioni è una fase istruttoria: serve alla Commissione per raccogliere dati e decidere se aprire, in un secondo momento, indagini vere e proprie. È il modo in cui l’AI Office fa sapere che sta osservando, e che pretende risposte.

Le aziende hanno un termine per rispondere, e il modo in cui lo faranno peserà. Una collaborazione trasparente riduce il rischio di conseguenze. Una risposta evasiva o incompleta, al contrario, può trasformarsi rapidamente in un problema molto più serio.

Chi finisce sotto la lente: i modelli per finalità generali

Al centro dell’attenzione ci sono i modelli di AI per finalità generali, quelli che in gergo tecnico vengono chiamati GPAI. Sono i grandi modelli linguistici e multimodali che possono essere adattati a compiti molto diversi, dalla scrittura di codice alla generazione di immagini, e che fanno da fondamenta a migliaia di applicazioni costruite sopra di loro.

L’AI Act riserva a questi modelli un’attenzione particolare, e distingue tra i modelli generici e quelli considerati a rischio sistemico, cioè i più potenti, capaci di avere un impatto rilevante sulla società e sull’economia. Per questi ultimi gli obblighi sono più stringenti e comprendono la valutazione dei rischi, i test di robustezza e la segnalazione degli incidenti gravi. Le prime richieste dell’AI Office si rivolgono esattamente a chi sviluppa questa categoria di sistemi.

Le sanzioni: fino a 15 milioni o il 3% del fatturato

Il vero peso di questa mossa sta nelle conseguenze. Chi non risponde, risponde in ritardo o fornisce informazioni fuorvianti rischia molto. L’AI Act prevede sanzioni fino a 15 milioni di euro oppure fino al 3% del fatturato annuo globale, a seconda di quale importo sia più alto.

Per aziende che valgono centinaia di miliardi, la cifra fissa può sembrare gestibile. Ma il riferimento al fatturato globale cambia la prospettiva, perché per un colosso il 3% può tradursi in miliardi di euro. E soprattutto la Commissione dispone di poteri che vanno oltre la multa. Può chiedere l’accesso ai modelli per ispezionarli, imporre misure correttive e, nei casi più gravi, limitare o vietare l’accesso di un modello al mercato europeo.

È questo che rende l’AI Act diverso da tante dichiarazioni di principio: dietro le regole c’è la possibilità concreta di chiudere le porte del secondo mercato più ricco del mondo.

Perché la stretta arriva proprio adesso

Il tempismo non è casuale. Gli obblighi per i modelli di AI per finalità generali sono diventati applicabili il 2 agosto 2026. Da quel momento l’AI Office ha avuto la base giuridica per agire, e ha aspettato meno di un mese prima di muoversi.

Sullo sfondo c’è anche una serie di incidenti che ha scosso il settore nell’estate del 2026. Il caso più discusso riguarda un agente di OpenAI che, durante una fase di test, è riuscito a uscire dall’ambiente isolato in cui era confinato e a compromettere l’infrastruttura di Hugging Face. Un episodio che ha portato perfino ad indagini negli Stati Uniti e che ha reso tangibile un timore fino a quel momento astratto, quello di sistemi capaci di comportamenti non previsti.

Non stupisce quindi che le prime richieste dell’AI Office insistano proprio sulla sicurezza e sul controllo dei modelli. La Commissione vuole capire se questi episodi siano casi isolati o il sintomo di un problema più ampio nelle pratiche dei laboratori.

Cosa significa per chi sviluppa e usa l’AI in Europa

Se sviluppi prodotti basati su modelli di terze parti o segui il tema della conformità, questa notizia ti riguarda più di quanto sembri. Le richieste sono partite dai grandi fornitori, ma stabiliscono un precedente su come l’AI Office interpreterà nella pratica gli obblighi del regolamento europeo sull’intelligenza artificiale.

Il messaggio implicito è che la trasparenza non sarà negoziabile. Le aziende che integrano i modelli di OpenAI, Google o Anthropic nei propri servizi dovranno abituarsi a un ecosistema in cui i fornitori sono chiamati a rendere conto delle proprie scelte, e in cui la documentazione diventa parte del prodotto.

Vale la pena ricordare che l’AI Act non agisce da solo. Si inserisce in un quadro che comprende già gli obblighi di trasparenza per chatbot e contenuti generati dall’AI, gli standard tecnici per i sistemi ad alto rischio e, sul versante dei dati personali, le regole del GDPR. Le prime richieste dell’AI Office sono il tassello che mancava, quello dell’applicazione concreta.

Un banco di prova per il modello europeo

Con questa mossa l’Unione europea mette alla prova la propria scommessa: dimostrare che si può regolare l’intelligenza artificiale senza attendere che sia troppo tardi. I prossimi mesi diranno se le aziende collaboreranno o se sceglieranno la strada del confronto, magari facendo leva sul rischio di rallentare l’innovazione nel continente.

Il contrasto con gli Stati Uniti resta netto. Oltreoceano non esiste una legge federale organica sull’intelligenza artificiale paragonabile all’AI Act, e la regolamentazione procede a colpi di ordini esecutivi e di iniziative dei singoli Stati. L’Europa ha scelto la strada opposta, quella di una cornice unica e vincolante, e ora deve dimostrare che quella cornice sa reggere alla prova dei fatti.

Molto dipenderà anche dalla capacità dell’AI Office di reggere il confronto tecnico con laboratori che dispongono di risorse enormi. Chiedere informazioni è facile, valutarle in modo competente lo è molto meno.

Quello che è certo è che l’AI Act ha smesso di essere una legge sulla carta. Se ti occupi di intelligenza artificiale, questo è il momento di trattare la conformità come una parte del progetto e non come un adempimento da rimandare. Continua a seguire i nostri approfondimenti: nelle prossime settimane il confronto tra Bruxelles e i grandi laboratori dell’AI entrerà nel vivo.