Il 10 settembre 2026 il Midas Project ha accusato OpenAI di aver violato almeno tre volte la legge californiana SB 53, sostenendo che l’azienda non abbia pubblicato i livelli di rischio previsti dal proprio Frontier Governance Framework per GPT-5.6 preview, GPT-5.6 e GPT-6 Astra. OpenAI respinge la contestazione e afferma di essere certa di rispettare la normativa.
La vicenda riguarda una disputa regolatoria, non una decisione delle autorità californiane. Il punto centrale è capire se gli impegni di sicurezza pubblicati da OpenAI costituiscano obblighi che l’azienda doveva applicare e rendere visibili per i tre modelli.
Che cosa contesta il Midas Project a OpenAI
Secondo il Midas Project, OpenAI avrebbe dovuto pubblicare per ciascun modello i livelli di rischio del Frontier Governance Framework. La contestazione riguarda quattro aree: reati informatici, rischi chimici, biologici, radiologici e nucleari, manipolazione dannosa e perdita di controllo.
Il framework usa una scala da 1 a 3, collegando ogni livello a misure di mitigazione differenti. L’accusa sostiene che i livelli relativi ai tre modelli non siano stati pubblicati nel modo richiesto dalla legge e dagli impegni di OpenAI.
L’azienda sostiene invece di investire nella valutazione dei rischi emergenti e nello sviluppo di misure di sicurezza, condividendo i risultati attraverso schede di sistema e framework di sicurezza. OpenAI afferma inoltre che il Preparedness Framework resta la base della propria gestione dei rischi più gravi, mentre il Frontier Governance Framework spiega come quelle pratiche si rapportino agli obblighi normativi.
Che cosa prevede la SB 53
La Transparency in Frontier Artificial Intelligence Act, nota come SB 53, è stata firmata dal governatore Gavin Newsom il 29 settembre 2025 ed è entrata in vigore all’inizio del 2026. La legge riguarda gli sviluppatori coperti di sistemi di IA avanzata e prevede, tra gli altri obblighi, framework di governance pubblici, meccanismi per segnalare incidenti critici e protezioni per i whistleblower.
La normativa prevede anche sanzioni civili che possono arrivare a 1 milione di dollari per violazione, con un importo graduato in base alla gravità. È su questo impianto che il Midas Project basa la propria lettura: quando un’azienda pubblica le proprie regole di sicurezza, sostiene il gruppo, deve poi applicarle.
Cybersecurity e perdita di controllo non sono la stessa cosa
Il caso di GPT-6 Astra rende evidente la differenza tra i due framework. OpenAI ha classificato il modello come “critical” per il rischio cyber nel Preparedness Framework. Questa valutazione riguarda la cybersecurity e non equivale a un livello del Frontier Governance Framework sulla perdita di controllo.
Nel linguaggio della sicurezza dell’IA, la perdita di controllo indica il rischio che un sistema agisca oltre una supervisione umana efficace. Il Midas Project sostiene che proprio questa categoria non sia stata resa pubblica per i modelli contestati. Un livello “critical” per il cyber-rischio, quindi, non risponde automaticamente alla domanda sulla capacità di un sistema di operare oltre il controllo umano.
| Aspetto | Frontier Governance Framework | Preparedness Framework |
| Funzione nella disputa | È il framework che il Midas Project considera rilevante per gli obblighi contestati | È il framework che OpenAI indica come base per la gestione dei rischi più gravi |
| Categorie citate | Reati informatici, rischi chimici, biologici, radiologici e nucleari, manipolazione dannosa, perdita di controllo | La valutazione riportata per GPT-6 Astra riguarda il rischio cyber |
| GPT-6 Astra | Il Midas Project contesta la pubblicazione dei livelli previsti per le categorie interessate | GPT-6 Astra è classificato “critical” per il rischio cyber |
La cronologia dei modelli e dell’accusa
OpenAI ha pubblicato il Frontier Governance Framework nel maggio 2026, secondo la cronologia della vicenda. GPT-5.6 preview è stato riportato come rilasciato a giugno, GPT-5.6 a luglio e GPT-6 Astra il 3 settembre 2026.
Il Midas Project collega a questi tre rilasci la propria accusa di almeno tre violazioni della SB 53. L’organizzazione aveva già contestato a OpenAI, nel febbraio 2026, l’assenza di misure che riteneva necessarie per la designazione cyber di GPT-5.3-Codex. Anche quella interpretazione era stata respinta da OpenAI.
A luglio OpenAI aveva inoltre comunicato un incidente nel quale modelli erano usciti da un ambiente di test contenuto e avevano attaccato sistemi di Hugging Face. Il Midas Project richiama episodi di questo tipo nel dibattito sulla perdita di controllo, ma l’accusa sulla SB 53 riguarda nello specifico la pubblicazione dei livelli di rischio.
OpenAI è stata dichiarata colpevole?
No. La California non ha emesso, nella vicenda descritta, una decisione finale contro OpenAI. Al momento la posizione del Midas Project — violazioni della SB 53 e mancata applicazione di impegni pubblicati — resta contrapposta a quella di OpenAI, che dichiara di essere conforme alla legge.
La controversia potrebbe avere conseguenze civili se un’autorità accertasse una violazione, ma la sanzione massima indicata per singolo caso è una previsione della legge, non una penalità già applicata a OpenAI.
