Anthropic incontra la Commissione Europea sui modelli AI cyber non disponibili nell’UE

La Commissione Europea ha confermato pubblicamente le indiscrezioni di Reuters del 17 aprile sull’incontro tra Anthropic e l’AI Office UE riguardo ai modelli AI cybersecurity-focused non disponibili in Europa, incluso Claude Mythos. Anthropic ha gia’ aderito al General-Purpose AI Code of Practice, pubblicato il 10 luglio 2025 e attualmente strumento di riferimento operativo per i fornitori di modelli general-purpose nel quadro dell’AI Act. La portavoce della Commissione Thomas Regnier ha ricordato che esiste obbligo di valutazione e mitigazione del rischio anche per servizi che possono o meno essere offerti in Europa. Lo stesso 17 aprile Dario Amodei ha incontrato Susie Wiles alla Casa Bianca dopo essere stato escluso dal Pentagono. Il quadro racconta una governance AI in costruzione su piu’ tavoli paralleli, con regole che si stanno scrivendo in tempo reale.

Cosa e’ il GPAI Code of Practice

Il General-Purpose AI Code of Practice e’ uno strumento pubblicato dalla Commissione Europea il 10 luglio 2025 per dare attuazione concreta agli obblighi previsti dall’AI Act per i fornitori di modelli general-purpose. Il codice copre tre aree: trasparenza sui modelli (architettura, dati di addestramento ad alto livello, capacita’ e limiti), gestione del copyright (compliance con la direttiva 2019/790), e sicurezza nel caso di modelli con rischio sistemico. E’ volontario nel senso che l’adesione formalizzata conferisce una presunzione di conformita’, ma chi non aderisce deve dimostrare in altro modo di rispettare gli stessi obblighi sostanziali.

Anthropic ha aderito al codice nel 2025, insieme a Google, Microsoft, OpenAI, Mistral e altri grandi fornitori. La domanda che il caso Mythos solleva e’ se l’adesione coprire anche i modelli non offerti commercialmente in Europa. La risposta della Commissione, attraverso la portavoce Regnier, e’ netta: la valutazione del rischio e’ dovuta indipendentemente dalla disponibilita’ geografica. Un modello sviluppato e operato da una societa’ che opera in UE rientra nel perimetro, anche se la versione finale non viene venduta a clienti europei.

L’incontro del 20 aprile e i suoi temi

L’incontro tra Anthropic e l’AI Office UE non ha prodotto un comunicato dettagliato, ma le fonti vicine al dossier indicano che i temi sul tavolo sono stati tre. Primo, la natura giuridica di Project Glasswing rispetto al codice GPAI: e’ un programma di distribuzione ristretta o una fattispecie nuova che richiede inquadramento dedicato? Secondo, le valutazioni di rischio fatte da Anthropic prima dell’attivazione del protocollo ASL-4: quali metodologie sono state usate, quali soggetti esterni sono stati coinvolti, quale documentazione e’ disponibile per la Commissione? Terzo, la posizione di Anthropic rispetto a un possibile rilascio europeo di una versione filtrata del modello, eventualmente sotto sorveglianza dell’AI Office stesso.

L’esito dell’incontro non e’ pubblico, ma la sola circostanza che esso sia avvenuto e’ significativa. La Commissione sta affermando che la regolazione dei modelli di frontiera e’ una questione di sovranita’ europea, non un dossier tecnico delegato a confronti volontari. Per le imprese italiane questo cambia il quadro di riferimento: i fornitori AI a cui si rivolgono sono, sempre piu’, soggetti regolati dalla UE.

Thomas Regnier e l’obbligo che resta in piedi

La dichiarazione di Thomas Regnier, portavoce della Commissione, fissa un punto giuridico importante. L’AI Act non prevede esenzioni per i modelli che il fornitore decide di non offrire commercialmente in UE. La logica della normativa e’ basata sul rischio sistemico, e il rischio sistemico non si esaurisce con la decisione commerciale. Un modello sviluppato da una societa’ che ha clienti, dipendenti o asset in UE rientra nelle valutazioni dovute.

Questa interpretazione ha conseguenze pratiche. Significa che Anthropic, anche se non vende Mythos in Europa, deve produrre e mantenere documentazione tecnica completa, fare le valutazioni di rischio richieste, e collaborare con l’AI Office se questo solleva domande. Significa anche che laboratori di ricerca cinesi o americani che operano in UE attraverso filiali commerciali, anche solo per servizi non legati ai loro modelli piu’ potenti, sono potenzialmente soggetti agli stessi obblighi.

L’incontro di Amodei alla Casa Bianca

Lo stesso 17 aprile Dario Amodei, CEO di Anthropic, ha incontrato Susie Wiles alla Casa Bianca. L’incontro e’ arrivato dopo che Anthropic era stata esclusa dal Pentagono in un appalto da 200 milioni di dollari assegnato invece a OpenAI per servizi AI alla difesa. Il senso politico dell’incontro alla Casa Bianca e’ triplice: ricucire il rapporto con l’amministrazione USA dopo l’esclusione, posizionare Anthropic come fornitore strategico per altri ambiti del governo federale, e segnalare che l’azienda non rinuncia al mercato governativo americano.

Per il quadro UE questa e’ informazione rilevante. Anthropic sta operando contemporaneamente come azienda americana che dialoga con Washington e come fornitore globale che si allinea al codice GPAI europeo. Le due posizioni non sono in contraddizione, ma generano tensione nei dossier dove gli interessi nazionali divergono. La governance dei modelli di frontiera e’ oggi un campo in cui Bruxelles e Washington negoziano, con i fornitori AI come variabile.

Il quadro per le imprese italiane

Per le imprese italiane che usano Claude o altri modelli, l’incontro del 20 aprile e’ una indicazione chiara: le obbligazioni dei fornitori AI verso la UE sono in espansione, e questo impatta nei prossimi mesi sulla documentazione che le aziende riceveranno dai fornitori. E’ prevedibile che i contratti enterprise vengano rivisti per includere clausole sull’AI Act compliance, sulla disponibilita’ di documentazione tecnica, sui canali di interlocuzione con i regolatori.

Le aziende che hanno una funzione legale strutturata possono gestire l’adeguamento internamente. Per le PMI, il posizionamento di AIPIA nella European AI Alliance permette di accedere a risorse interpretative aggiornate sulle policy della Commissione. Inoltre la guida operativa all’AI Act mantiene un cantiere di chiarimenti applicativi che precede di mesi la traduzione in clausole contrattuali standardizzate dei fornitori.

Le tempistiche dell’AI Act ancora in arrivo

L’AI Act entra in piena applicazione il 2 agosto 2027, ma diverse parti sono gia’ operative. Le disposizioni sui sistemi AI proibiti (manipolazione, scoring sociale, categorizzazione biometrica) sono in vigore dal febbraio 2025. Gli obblighi sui modelli general-purpose sono entrati in vigore il 2 agosto 2025, con il code of practice come strumento di soft compliance. Il regime sui sistemi ad alto rischio entra a regime con la piena applicabilita’ nel 2027.

Le imprese italiane che usano AI in funzioni HR, finanza, sanita’, o in qualunque attivita’ che possa rientrare nell’allegato III dell’AI Act devono completare la mappatura entro fine 2026. Il calendario e’ stretto perche’ tra l’identificazione del sistema, la valutazione del rischio, l’eventuale modifica architetturale e l’iscrizione nel registro pubblico passano facilmente sei-nove mesi di lavoro.

Il dialogo sui modelli che non si vedono

L’incontro del 20 aprile racconta una dinamica nuova della governance AI: il regolatore inizia a interessarsi di cio’ che il fornitore non vende, oltre che di cio’ che vende. Per la prima volta nella storia delle tecnologie digitali, l’autorita’ europea si dichiara competente a valutare modelli che non sono disponibili sul mercato europeo. E’ un’estensione di sovranita’ giuridica significativa, e nei prossimi mesi vedremo se altri fornitori AI accetteranno lo stesso schema o se solleveranno obiezioni formali. La risposta determinera’ se l’Europa avra’ voce non solo sui prodotti ma sulla traiettoria stessa dei laboratori di frontiera.