OpenAI ha pubblicato un documento che formalizza le sue pratiche di sicurezza, trasparenza e tracciabilità dell’output per allinearle all’EU AI Act. È una dichiarazione di policy, non un annuncio di prodotto: dice cosa fa l’azienda oggi e cosa farà mentre la regolazione europea avanza.

Per chi costruisce con i modelli OpenAI in contesti regolati (sanità, finanza, PA), il documento è una mappa di ciò che il fornitore si impegna a garantire. Sicurezza dei modelli, trasparenza su come funzionano, provenance dell’output generato: sono i pilastri che l’EU AI Act richiede ai provider di sistemi ad alto rischio. Se devi giustificare la tua scelta di fornitore in un’analisi d’impatto o in un audit, sapere che OpenAI scrive nero su bianco i suoi impegni ti dà un documento a cui appoggiarti.

La mossa arriva pochi giorni dopo che Anthropic ha messo in chiaro la sua posizione sugli open-weight, con test obbligatori e controlli sulle esportazioni di chip. I due lab frontier stanno entrambi anticipando il regolatore con dichiarazioni formali, ma su angoli diversi: Anthropic pesa i rischi dei pesi aperti, OpenAI si allinea al quadro europeo.

Cosa manca ancora: il documento è una dichiarazione di intenti e pratiche correnti, non un audit verificato da terzi. Per chi costruisce resta la domanda di sempre: il fornitore dichiara, ma chi controlla?

Nel dettaglio

L’EU AI Act è entrato in vigore a febbraio 2025, ma le scadenze operative si distribuiscono su due anni. I primi obblighi (sanzioni per pratiche vietate, requisiti di governance) sono già attivi; i requisiti per i sistemi AI ad alto rischio si applicano a pieno da agosto 2026. Il documento di OpenAI arriva esattamente nella finestra in cui chi schiera un modello in produzione in Europa deve dimostrare conformità.

I tre pilastri che OpenAI descrive meritano un passo ciascuno per chi non segue la regolazione giorno per giorno:

Sicurezza. OpenAI descrive i suoi red-teaming interni, i test di misuse e le valutazioni di rischio prima del rilascio. Per chi costruisce, questo significa che il modello arriva con un pacchetto di test già fatto, ma la responsabilità di valutare il caso d’uso specifico resta a chi lo schiera. L’EU AI Act non si accontenta che il fornitore abbia testato: vuole che anche il deployer documenti la sua analisi.

Trasparenza. OpenAI si impegna a fornire documentazione tecnica, istruzioni d’uso e informazioni sulle capacità e limiti dei modelli. È ciò che l’EU AI Act chiama technical documentation e instructions for use: materiali che il deployer deve avere a disposizione per le autorità.

Provenance. La tracciabilità dell’output generato è il pilastro più interessante e il meno definito. OpenAI parla di watermarking (SynthID di Google è lo standard emergente, ma OpenAI non lo usa ancora nei suoi output di testo) e di metadati di provenienza. In pratica, oggi significa soprattutto C2PA per le immagini. Sul testo, la tracciabilità resta un problema aperto: nessuno ha ancora una soluzione tecnica solida.

Il documento non entra nel dettaglio delle tempistiche per modello: non dice quali modelli OpenAI classifica come “ad alto rischio” né quando rilascerà la documentazione completa per ciascuno. È una dichiarazione di direzione, non un piano operativo con scadenze.

Per chi viene dal mondo dello sviluppo software, la differenza fra questo documento e un audit SOC 2 è abissale. SOC 2 ti dà un report verificato da un revisore esterno. Qui c’è un’auto-dichiarazione dell’azienda. Come abbiamo raccontato con l’alleanza di Nvidia e Microsoft per la sicurezza AI, gli strumenti di verifica indipendente sono ancora nascenti. Chi costruisce in ambito regolato oggi fa bene a trattare queste dichiarazioni come un punto di partenza per le proprie verifiche, non come un certificato.

La lezione pratica per chi legge: se il tuo progetto deve passare un’analisi di conformità, scarica il documento di OpenAI, incrocialo con i requisiti specifici dell’EU AI Act per la tua categoria, e identifica dove il “ci impegniamo a” del fornitore copre il “devi dimostrare che” del regolatore. I buchi sono dove il tuo lavoro comincia.