Tre decisioni prese in punti diversi della filiera stanno cambiando il perimetro della governance AI: una proposta sui modelli frontier negli Stati Uniti, nuovi controlli taiwanesi sull’hardware e permessi più selettivi per i data center. Il filo comune è concreto: non basta più valutare il software. Chi compra o integra AI deve sapere da quale infrastruttura dipende, dove può essere bloccata e quali costi normativi possono arrivare a valle.
1. Anthropic propone una soglia federale
Secondo Reuters, rilanciata da CNA, Anthropic ha presentato a membri del Congresso statunitense una bozza di legge per la sicurezza dei modelli frontier. L’intervento del governo scatterebbe solo davanti a un rischio prevedibile e imminente di oltre un miliardo di dollari di danni oppure di morte o lesioni gravi per più di 50 persone.
La proposta non è una legge e i dettagli riportati provengono da fonti informate citate da Politico. Va quindi letta come un segnale negoziale, non come una regola già applicabile. Il punto interessante per le imprese è un altro: un laboratorio sta cercando di definire quando un’autorità possa fermare il rilascio o l’uso di un modello. La governance si sposta così dai principi generici a soglie, competenze e poteri di intervento.
Per una PMI il miliardo di dollari non è la soglia utile per decidere. Un workflow può creare un danno molto più piccolo e comunque serio: una fattura errata, dati inviati al destinatario sbagliato o una modifica WordPress non autorizzata. I gate interni devono restare proporzionati all’impatto aziendale, non alla definizione federale di rischio catastrofico.
2. Taiwan stringe sui server AI
Taiwan prepara controlli più severi sull’esportazione verso la Cina di server AI e semiconduttori avanzati. La direzione è coerente con il quadro già pubblicato dalla Customs Administration taiwanese: chip, GPU, server e componenti possono rientrare tra i beni strategici e richiedere una licenza. Per le esportazioni illecite di beni strategici, il Foreign Trade Act prevede fino a cinque anni di reclusione e una multa fino a 3 milioni di dollari taiwanesi.
La notizia conta anche per chi non esporta hardware. I controlli possono cambiare disponibilità, tempi di consegna e geografia dei fornitori. Un contratto cloud nasconde questa complessità, ma non la elimina: dietro un’API ci sono acceleratori, server, paesi di origine e vincoli commerciali.
La conseguenza pratica è inserire la portabilità tra i requisiti. Modelli, gateway e dati non dovrebbero dipendere da un solo percorso tecnico. È lo stesso principio discusso nel mio approfondimento sulle quattro leve di controllo dello stack AI: separare provider, policy e osservabilità riduce il costo di un cambio forzato.
3. I permessi non fermano ancora la corsa
La terza notizia riguarda il terreno, l’energia e l’acqua. SemiAnalysis ha mappato oltre 300 moratorie locali negli Stati Uniti. Circa 20 GW di capacità pianificata ricadono in aree con restrizioni, ma la stima attribuisce alle moratorie locali un ritardo effettivo di 1.525 MW. Aggiungendo l’intervento dello Stato di New York, la capacità realmente ritardata salirebbe a circa 2,3 GW. Il modello della società prevede invece 38 GW di nuova capacità IT nel 2027.
Questo non rende irrilevanti i vincoli. Il Texas ha sospeso i permessi ambientali richiesti dai data center in attesa di verifiche su rete elettrica e uso dell’acqua. Il dato utile è che una moratoria annunciata non coincide automaticamente con capacità cancellata: bisogna controllare sito, stato del permesso e calendario del progetto.
La take operativa: mappare tre dipendenze
Modelli, hardware e data center sono ormai tre livelli della stessa decisione. Prima di mettere un agente AI dentro un processo critico, registrerei per ogni workflow: modello e provider sostituibile, localizzazione e vincoli dei dati, dipendenza da una specifica capacità hardware o regione cloud. A questo aggiungerei un fallback manuale con un proprietario chiaro.
Non serve replicare la compliance di un hyperscaler. Serve sapere dove il processo si ferma se cambia una regola, manca un acceleratore o una regione perde capacità. È il passaggio da “usiamo l’AI” a un sistema governabile, con livelli di controllo verificabili e decisioni reversibili.