L’AI Office della Commissione europea controlla direttamente i fornitori di modelli di IA per finalità generali (GPAI) che li immettono sul mercato dell’Unione, anche se hanno sede fuori dall’UE. Può chiedere informazioni, valutare modelli in circostanze definite e richiedere misure correttive. La tassonomia pubblica delle scelte di sicurezza, proposta da Tech Policy Press il 2 novembre 2026, è invece un’idea di policy, non una misura europea adottata.
Quali fornitori ricadono sotto la supervisione diretta
La competenza diretta dell’AI Office riguarda gli obblighi dei fornitori GPAI previsti dal capitolo V dell’AI Act. Conta che il modello sia immesso sul mercato dell’Unione, non il Paese in cui ha sede il fornitore. La Commissione europea ne descrive il mandato e il rapporto con le autorità nazionali.
Per gli obblighi relativi ai sistemi di IA, l’AI Office interviene direttamente in via eccezionale, quando il fornitore del modello GPAI e quello del sistema sono lo stesso soggetto. Negli altri casi sostiene le autorità nazionali di vigilanza del mercato, che mantengono il ruolo di supervisione dei sistemi.
Che cosa consentono gli articoli 91, 92 e 93
I tre articoli assegnano alla Commissione poteri diversi, non un’autorizzazione indistinta a esaminare qualsiasi modello in qualsiasi momento. Le linee guida della Commissione illustrano le facoltà previste dal regolamento.
| Norma | Potere | Quando si applica |
| Articolo 91 | Chiedere ai fornitori informazioni e documenti | Per monitorare il rispetto degli obblighi previsti per i modelli GPAI |
| Articolo 92 | Condurre una valutazione del modello | Se le informazioni raccolte ai sensi dell’articolo 91 non bastano a valutare la conformità, oppure per indagare rischi sistemici a livello dell’Unione |
| Articolo 93 | Richiedere misure per adempiere agli obblighi degli articoli 53 e 54 | Le misure di mitigazione dei rischi sistemici richiedono una valutazione che rilevi una preoccupazione grave e fondata; restrizioni, ritiro o richiamo seguono le condizioni previste dalla norma |
Le linee guida della Commissione distinguono così la raccolta di informazioni dalle valutazioni e dalle eventuali misure. Una richiesta di valutazione non equivale, di per sé, a una conclusione che il modello sia pericoloso: l’articolo 92 riguarda la verifica della conformità o l’indagine di rischi sistemici, mentre l’articolo 93 fissa condizioni specifiche per gli interventi.
Come si svolgono le valutazioni e quali garanzie valgono
Il regolamento di esecuzione (UE) 2026/1755, in vigore dal 10 agosto 2026, richiede che l’accesso sia adeguato agli obiettivi della valutazione. La decisione deve indicare mezzi tecnici, componenti, condizioni e scadenza. A seconda dello scopo, l’accesso può passare da API o accesso interno e arrivare a codice sorgente, pesi del modello, infrastruttura di hosting o ispezione dello stato del sistema durante l’interazione. La normativa su EUR-Lex disciplina anche l’indipendenza degli esperti, la riservatezza e le misure di sicurezza.
Gli esperti devono dichiarare eventuali interessi e proteggere le informazioni riservate; i fornitori possono presentare obiezioni motivate sull’indipendenza di un esperto. Nei procedimenti che possono portare a sanzioni, il fornitore ha almeno 21 giorni per inviare osservazioni scritte sulle conclusioni preliminari e produrre elementi a sostegno. Queste garanzie regolano lo svolgimento dell’indagine e il diritto di replica.
Che cosa aggiungerebbe la tassonomia proposta
La proposta presentata da Tech Policy Press il 2 novembre immagina un formato pubblico comune in cui i fornitori collochino le decisioni e i principi che guidano le diverse fasi della vita di un modello. Organismi indipendenti accreditati verificherebbero se le posizioni dichiarate corrispondono alle prove; non dovrebbero stabilire quale filosofia di sicurezza sia quella giusta. Le prove di supporto potrebbero restare riservate, mentre le posizioni pubblicate diventerebbero più confrontabili.
È una proposta di trasparenza, distinta dai poteri legali dell’AI Office: non attribuisce all’ufficio una nuova procedura né descrive un’iniziativa già adottata dalla Commissione. Il suo obiettivo sarebbe rendere più leggibili le scelte di sicurezza dei fornitori senza trasformare i verificatori in arbitri delle loro valutazioni.
Codice di buone pratiche e valutatori esterni
Un Codice di buone pratiche adeguato può aiutare un fornitore a dimostrare la conformità, secondo le linee guida della Commissione. L’adesione al Codice, da sola, non dà una presunzione di conformità; la Commissione distingue questo effetto da quello associato alle norme armonizzate. La spiegazione è riportata anche nelle FAQ della Commissione sui modelli GPAI.
Un percorso volontario diverso è quello descritto da Dario Amodei in un post del settembre 2026. Amodei ha dichiarato che Anthropic si impegnava a prevedere valutatori esterni con accesso continuativo, simile a quello dei dipendenti, per esaminare pratiche di sicurezza, segnalare incidenti e valutare modelli, processi e pipeline di addestramento. Nel post ha anche descritto l’intenzione di invitare una squadra e di darle permessi perlopiù comparabili a quelli dei gruppi interni di valutazione dei rischi.
Amodei ha indicato eccezioni legate alla legge, ai contratti e alla protezione delle informazioni riservate di clienti e partner. I revisori avrebbero potuto pubblicare risultati rilevanti e segnalare se una redazione avesse inciso sulle loro conclusioni. Il post di Amodei descrive un impegno e un assetto previsto, distinto dalla vigilanza prevista dall’AI Act.
