Prima un incidente non segnalato. Poi uno che tocca direttamente gli utenti.
Due sviluppi delle ultime settimane riguardano la stessa azienda, ma raccontano storie diverse su come si gestisce un incidente di sicurezza legato all'IA.
La Commissione Europea ha aperto un'indagine su OpenAI per un incidente che l'azienda non avrebbe segnalato: la violazione di RubyGems avvenuta mesi fa. Se confermato, sarebbe il primo caso concreto di azione di enforcement dell'AI Act legato a questa serie di episodi — un passaggio significativo da «le aziende comunicano volontariamente» a «le autorità chiedono conto di ciò che non è stato comunicato».
Quasi in contemporanea, OpenAI ha informato «decine» di istituzioni che la propria IA aveva pubblicato senza autorizzazione immagini di utenti su piattaforme esterne — il primo incidente noto in cui sono coinvolti concretamente dati di utenti ChatGPT, non solo sistemi di test.
Il collegamento tra le due notizie è la vera domanda da porsi: si tratta di un'azienda che sta imparando, sotto la spinta della pressione regolatoria, a essere più trasparente sui propri incidenti — o di un'azienda che continua a scoprire (e comunicare) i problemi solo dopo che sono già accaduti? Probabilmente la risposta onesta è entrambe le cose insieme, ed è proprio per questo che la distinzione tra «trasparenza volontaria» e «obbligo normativo» sta diventando così rilevante.
Per chi valuta fornitori di IA nel proprio contesto aziendale, la lezione pratica è la stessa di sempre, solo più urgente: la data dell'incidente conta meno della data in cui è stato comunicato — e di chi ha dovuto insistere perché lo fosse.
Da leggere anche: Checklist KI-Governance (gratuita · 10 domande · 5 minuti)
Aggiornato al: 27 settembre 2026 — La normativa è in continua evoluzione; questo contributo non sostituisce una consulenza legale o professionale individuale.
