L'Illinois diventa il primo Stato Usa a imporre audit esterni sulla sicurezza dei modelli di OpenAI, Anthropic e Google

Cos’è successo

La legislatura dell'Illinois ha approvato SB 315, una legge che porta i grandi sviluppatori di modelli frontier (OpenAI, Google, Anthropic, etc.) dentro un regime di accountability più esplicito, secondo cui i lab dovrebbero obbligatoriamente pubblicare framework di sicurezza e segnalare incidenti critici; e, dal 2028, anche sottoporre ogni anno le proprie pratiche a verifiche indipendenti. Il testo è passato 52-5 al Senato e 110-0 alla Camera. Il governatore JB Pritzker ha già detto che intende firmarlo.

Nel mirino ci sono pochi attori, con almeno 500 milioni di ricavi e modelli capaci di generare rischi bollati come catastrofici. L'enforcement spetterebbe all'Attorney General dell'Illinois, con sanzioni civili fino a 3 milioni per violazione e senza cause private da parte dei cittadini.

Perché conta

L'Illinois sta spostando la safety dei frontier lab da promessa aziendale a oggetto verificabile. California e New York avevano già imposto framework e incident disclosure, ma SB 315 aggiunge il passaggio chiave del soggetto esterno chiamato a controllare se il lab rispetta le proprie regole.

• Dopo un mezzo cambio di rotta, OpenAI arriva su questa legge insieme ad Anthropic, prendendo più espressamente le distanze dallo scudo legale incondizionato (contenuto in un altro disegno dell'Illinois) criticato perché avrebbe permesso ai lab uno scarico di responsabilità sostanziale in cambio di requisiti molto leggeri;
• Con l'appoggio dei due lab passa un principio che l'industria trattava ancora con cautela: pubblicare un safety framework — l’equivalente del correggere i propri compiti — non basta più. Almeno una parte di quelle promesse deve poter essere controllata da un terzo qualificato, che non dipende dall’ufficio comunicazione;
• Per ora, però, gli audit misurano soprattutto il rispetto dei framework interni. L’ex Head of Policy di OpenAI Miles Brundage e il giurista Charlie Bullock li leggono infatti come un buon inizio, ma non come un regime maturo. Senza standard minimi e supervisione federale, il rischio è verificare l'aderenza a regole troppo morbide.

Adesso

• Una firma di Pritzker trasformerebbe l'Illinois in baseline nazionale di fatto, aiutando nella strada (spesso complessa) della federalizzazione, dacché è difficile immaginare che i grandi lab costruiranno sistemi di audit per un singolo Stato. Più probabile che adattino processi e governance interna a uno standard riutilizzabile altrove — verosimilmente anche al di qua dell’oceano;
• Per le trade association della Silicon Valley il costo dell'audit è solo un pezzo del problema. Pesa soprattutto il precedente di una legislatura statale che trasforma la safety da autodisciplina a obbligo verificabile, mentre Washington oscilla tra schemi volontari e paura di rallentare la corsa con la Cina;
• Da qui al 2028 bisognerà capire chi potrà fare quegli audit e con quali metodi. Le Big Four e i piccoli evaluator specializzati esistono, ma il settore non ha ancora standard paragonabili a quelli della revisione finanziaria, cui pure viene accostata con frequenza sempre maggiore. Senza controllori controllati a loro volta, l'audit rischia di diventare un altro rito di compliance.