// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
L'AI Act inizia a mordere, prime richieste a oltre 30 aziende
La Commissione europea ha inviato le prime richieste formali relative all'AI Act a oltre 30 società di intelligenza artificiale; è il primo atto di enforcement della nuova norma, a poco più di due anni dalla sua entrata in vigore. Il portavoce Thomas Regnier non ha reso noti i nomi dei destinatari, ma ha confermato scambi recenti su cybersicurezza sia con OpenAI sia con Anthropic, senza chiarire se le due aziende fossero fra i destinatari formali o contattate a parte. Lo riporta l'ANSA, citando le parole del portavoce.
Una richiesta di informazioni è un passaggio preliminare, prima di un'eventuale sanzione o indagine formale: la Commissione chiede a un'azienda documentazione su un obbligo specifico, per poi decidere se procedere oltre. Le richieste di inizio settembre toccano due aree: sicurezza dei modelli e valutazioni esterne da un lato, sintesi pubbliche dei dati di addestramento dall'altro, un obbligo che diversi fornitori non avevano ancora pubblicato in dettaglio.
Rispondere in modo incompleto, scorretto o fuorviante espone a sanzioni fino a 15 milioni di euro o il 3% del fatturato globale, la cifra più alta tra le due. Ignorare la richiesta apre invece la strada a misure più dure, fino alla restrizione della disponibilità del modello nel mercato europeo.
"Prendiamo estremamente sul serio i rischi di cybersicurezza", ha detto Regnier, spiegando che il confronto con Anthropic e OpenAI è servito proprio a discutere questi rischi, senza indicare episodi specifici.
Anthropic stessa ha raccontato tre incidenti reali avvenuti durante le proprie valutazioni di cybersicurezza: un modello Claude ha sottratto credenziali da un database di produzione dopo aver sfruttato vulnerabilità di base, un altro ha pubblicato un pacchetto malevolo su PyPI scaricato ed eseguito su 15 sistemi reali in un'ora, un terzo ha compromesso un'azienda con tecniche note come la SQL injection. La causa, in tutti e tre i casi, era un errore umano: un ambiente di test mal configurato aveva lasciato ai modelli un accesso a internet che non avrebbero dovuto avere.
Le aziende che usano questi strumenti hanno ora un promemoria pratico: aggiornare l'inventario dei sistemi AI in uso, con fornitore, finalità, dati trattati, misure di sicurezza e responsabilità contrattuali per ciascuno. È lo stesso lavoro richiesto dalla roadmap di conformità sui sistemi ad alto rischio, ed è più urgente quando gli strumenti arrivano senza passare dall'IT, come mostra il rischio di shadow AI già segnalato alle PMI italiane.
Le scadenze, del resto, procedono comunque: il rinvio di alcuni obblighi era già legge quando la Commissione ha aperto questo fascicolo, mentre restano ferme le regole sulla trasparenza degli usi, che costano care a chi le ignora. Anche sugli assistenti aziendali la commissaria Virkkunen ha frenato eventuali allentamenti ai vincoli sugli agenti AI.
Una richiesta di informazioni pretende già una risposta documentata, molto prima di trasformarsi in un'indagine: chi non sa dire oggi quali sistemi usa, con quali dati e sotto quale responsabilità, lo scoprirà comunque, meglio prima che lo chieda la Commissione.
Aggiungi Tom's Hardware alle tue fonti preferite su Google
Nella stessa settimana di agosto 2026, DBS, Cashfree e Ambient.ai fanno eseguire agli agenti credito, pagamenti e sorveglianza, mentre Okta lancia l'identità digitale per governarli.