AI Act, Bruxelles avvia i primi controlli su oltre 30 aziende: multe fino a 15 milioni per chi non risponde

La Commissione europea ha avviato la prima vera fase di controllo sull’AI Act inviando richieste formali di informazioni a oltre 30 aziende attive nell’intelligenza artificiale. La notizia, riportata da 2eu.brussels e confermata anche da Al Jazeera, segna il passaggio dalla preparazione normativa all’uso concreto degli strumenti di vigilanza previsti dal regolamento europeo: non siamo ancora davanti a multe o contestazioni definitive, ma a un passaggio istruttorio che può precedere indagini formali se dalle risposte emergono criticità. Secondo 2eu.brussels, le richieste riguardano sicurezza dei modelli, cybersecurity, copyright e trasparenza; Al Jazeera ha riferito che Bruxelles ha confermato l’invio di richieste a più di 30 società nel quadro dell’AI Act.

Il dettaglio più rilevante è anche quello che va letto con maggiore cautela: la Commissione non ha pubblicato l’elenco delle aziende destinatarie. Alcune ricostruzioni citano i grandi laboratori statunitensi, tra cui OpenAI, Anthropic e Google, ma la conferma ufficiale disponibile riguarda soprattutto la platea complessiva delle imprese coinvolte e i contatti recenti con OpenAI e Anthropic su rischi cyber. Presentare questa fase come una “condanna” sarebbe quindi improprio: per ora Bruxelles sta chiedendo documenti, chiarimenti tecnici e informazioni utili a verificare la conformità.

Le richieste dell’AI Office

Il quadro giuridico è quello dei nuovi poteri dell’AI Office, l’organismo della Commissione incaricato di applicare le regole sui modelli di intelligenza artificiale per finalità generali, i cosiddetti GPAI. La Commissione spiega che l’AI Office può inviare richieste di informazioni per verificare il rispetto dell’AI Act, chiedere accesso ai modelli per valutazioni tecniche, imporre misure correttive e, nei casi di violazione, limitare la disponibilità pubblica di un modello o applicare sanzioni. Il framework di enforcement pubblicato dalla Commissione distingue tra richieste semplici e richieste adottate con decisione formale: nel secondo caso, la mancata risposta o una risposta incompleta possono diventare esse stesse un problema sanzionabile.

La tempistica non è casuale. Dal 2 agosto 2026 è partita l’applicazione di una parte centrale dell’AI Act: l’AI Office e le autorità nazionali hanno iniziato a far rispettare le norme già operative, incluse quelle sui modelli GPAI, sulle pratiche vietate e sugli obblighi di trasparenza. La Commissione europea aveva indicato già il 31 luglio che, da quella data, chatbot e sistemi interattivi devono informare gli utenti quando stanno interagendo con un’IA, mentre deepfake e contenuti generati o alterati dall’IA devono essere etichettati o resi rilevabili con marcature leggibili da macchina.

Per i fornitori di modelli general-purpose, gli obblighi principali includono documentazione tecnica, policy per il rispetto del diritto d’autore e una sintesi sufficientemente dettagliata dei contenuti usati nell’addestramento. I modelli considerati a rischio sistemico hanno doveri aggiuntivi: notifica alla Commissione, valutazione e mitigazione dei rischi, segnalazione degli incidenti e misure di cybersecurity. Sono obblighi descritti nelle pagine operative della Commissione dedicate ai modelli GPAI.

Il nodo OpenAI, Anthropic e Google

OpenAI e Anthropic sono finite al centro dell’attenzione europea prima ancora dell’invio delle richieste a oltre 30 aziende. A inizio agosto, funzionari della Commissione avevano confermato contatti con entrambe le società dopo episodi legati a rischi cyber emersi nei loro modelli, secondo quanto riportato da Reuters e rilanciato da The Indian Express. La Commissione, in quella occasione, aveva indicato che i casi evidenziavano la necessità di attività di monitoraggio da parte degli sviluppatori.

CNBC ha ricostruito il nuovo assetto regolatorio spiegando che i poteri entrati in vigore consentono alla Commissione di valutare modelli prima del rilascio nell’Unione, limitare l’accesso al mercato europeo e imporre multe ai fornitori. Il riferimento a società come Anthropic, OpenAI e Google va letto in questo contesto: sono tra i soggetti più esposti perché sviluppano modelli avanzati con diffusione globale, ma non equivale a una conferma pubblica che ciascuna di esse abbia ricevuto una specifica richiesta nella nuova ondata. CNBC ha sottolineato che il nuovo potere di controllo potrebbe aumentare le tensioni tra Bruxelles e i grandi gruppi tecnologici statunitensi.

Il tema politico è evidente. Nello stesso periodo in cui Bruxelles avviava i primi controlli documentali, gli Stati Uniti spingevano in sede G20 per un approccio meno specifico e più leggero alla regolazione dell’IA. È una divergenza ormai strutturale: l’Europa punta su obblighi orizzontali e verificabili, Washington continua a privilegiare innovazione, investimenti e regole settoriali meno invasive.

Perché si parla di 15 milioni di euro

La soglia dei 15 milioni di euro non riguarda ogni possibile violazione dell’AI Act, ma in particolare i fornitori di modelli GPAI e i casi previsti dall’articolo 101. La scheda dell’AI Act Service Desk indica che la Commissione può imporre multe fino a 15 milioni di euro o fino al 3% del fatturato annuo globale, scegliendo l’importo più alto, quando un fornitore viola intenzionalmente o per negligenza gli obblighi applicabili, non fornisce correttamente documenti o informazioni richieste, oppure non rispetta altre richieste dell’autorità.

Questo chiarisce anche la natura della mossa di Bruxelles. Una richiesta di informazioni non è una sanzione, ma non è neppure un atto puramente simbolico. Le imprese devono rispondere in modo completo, coerente e documentabile. Chi fornisce dati incompleti, errati o fuorvianti entra in una zona di rischio regolatorio molto concreta.

Il percorso dell’AI Act proseguirà per tappe. Il calendario ufficiale del Service Desk europeo ricorda che dal 2 agosto 2026 sono applicabili molte regole del regolamento, mentre il 2 dicembre 2026 scade il periodo transitorio per alcuni sistemi già sul mercato rispetto agli obblighi di marcatura dei contenuti generati dall’IA. Le regole sui sistemi ad alto rischio arriveranno più avanti, tra dicembre 2027 e agosto 2028, a seconda della categoria.

Cosa cambia per imprese e sviluppatori

Per le aziende italiane che usano strumenti di intelligenza artificiale non significa che ogni integrazione di un chatbot o di un modello linguistico equivalga a un’indagine. Significa però che la catena di responsabilità diventa più tracciabile. Chi sviluppa modelli deve essere pronto a mostrare documentazione tecnica, misure di sicurezza, politiche sul copyright e processi di monitoraggio. Chi integra modelli di terzi dovrà invece pretendere garanzie contrattuali, registrare gli usi critici e valutare se il proprio sistema ricade in categorie regolate.

Il punto economico è altrettanto rilevante. La conformità non sarà un modulo da compilare a fine progetto, ma una parte dell’architettura del prodotto: logging, governance dei dati, gestione dei rischi, audit trail, etichettatura dei contenuti e procedure di risposta agli incidenti. Per le imprese più piccole può essere un costo iniziale, ma anche un criterio competitivo. In un mercato in cui clienti pubblici, banche, sanità e grandi gruppi industriali chiederanno fornitori affidabili, poter dimostrare conformità diventerà un vantaggio commerciale.

Bruxelles sta anche aprendo canali di segnalazione più strutturati. Il complaints tool dell’AI Act consente a persone e organizzazioni di inviare reclami all’AI Office su presunte violazioni rientranti nella sua competenza, mentre un canale specifico per i fornitori downstream riguarda i problemi legati ai modelli GPAI integrati nei loro sistemi. È un passaggio destinato ad aumentare la quantità di informazioni disponibili alle autorità e, quindi, la probabilità di controlli mirati.

La prima ondata di richieste a oltre 30 aziende va letta così: l’AI Act non è più soltanto un testo di principio. Sta diventando una procedura amministrativa, tecnica e industriale. Per i grandi laboratori significa accettare un livello di scrutinio europeo molto più vicino a quello già visto nel digitale con DSA e DMA. Per il mercato, significa che la sicurezza dei modelli, la trasparenza dei contenuti e il rispetto del copyright entrano nella normale due diligence dell’IA.

Vedo questa fase come un passaggio positivo, purché venga gestita con competenza tecnica e proporzionalità. L’Europa sta facendo una cosa difficile: trasformare principi condivisibili, come sicurezza e trasparenza, in controlli concreti su tecnologie che cambiano ogni mese. Il rischio è produrre burocrazia; l’opportunità è costruire fiducia. Per riuscirci, l’AI Office dovrà dialogare con le imprese, usare standard chiari e distinguere chi innova seriamente da chi improvvisa.

Per le aziende italiane il messaggio è semplice: non bisogna subire l’AI Act, bisogna anticiparlo. Chi organizza bene dati, fornitori, documentazione e responsabilità interne potrà usare l’IA con meno incertezza e venderla meglio anche fuori dai confini nazionali. La regolazione, se diventa comprensibile e misurabile, non frena l’innovazione: la rende più affidabile, finanziabile e adatta ai settori dove l’Europa ha già competenze forti.