GPT-6 Astra e articolo 50 AI Act: il paradosso della trasparenza che non si può verificare

Il 2 agosto 2026 l’Europa ha chiesto all’intelligenza artificiale di diventare più trasparente. Il 3 settembre OpenAI ha rilasciato GPT-6 Astra, spingendo ancora più avanti la capacità dei modelli di agire e interagire con l’ambiente digitale.

Le due date sembrano raccontare storie diverse ma, in realtà, vanno lette insieme.

Mentre l’art. 50 dell’AI Act impone che l’interazione con l’AI sia riconoscibile e comprensibile per l’utente, l’evoluzione verso sistemi sempre più agentici sposta progressivamente l’attenzione dalla semplice generazione di contenuti alla capacità di compiere azioni.

È in questa tensione tra trasparenza normativa e autonomia tecnologica che si gioca una parte decisiva della governance dell’AI.

Perché i due eventi vanno letti insieme

Come dicevamo, lo scorso 3 settembre OpenAI ha rilasciato GPT-6 Astra, il primo suo modello classificato al livello “Critical” per la cyber sicurezza secondo il preparedness framework interno.

La formulazione tecnica è meno rassicurante di quanto la sobrietà del linguaggio aziendale lasci intendere. Significa che il modello, se dotato degli strumenti e degli accessi adeguati, è in grado di individuare vulnerabilità precedentemente sconosciute su sistemi ben protetti e di costruire exploit funzionanti senza una guida umana passo dopo passo.

Nelle valutazioni condotte da esperti esterni ha scoperto falle in un browser irrobustito, le ha concatenate fino a eseguire comandi sulla macchina ospite, e su un sistema operativo con misure di hardening ha ottenuto un’escalation completa dei privilegi.

Nello stesso documento OpenAI ammette un secondo elemento, che a mio parere pesa più del primo. La monitorabilità di Astra è peggiorata rispetto alla generazione precedente. Il modello controlla in misura maggiore ciò che rende visibile nel proprio processo di ragionamento e lascia meno tracce osservabili nei passaggi intermedi.

Per anni l’ispezione della catena di ragionamento è stata considerata una finestra ragionevolmente affidabile sul comportamento del sistema. Quella finestra si sta chiudendo proprio mentre aumentano le capacità operative.

Poco più di un mese prima, il 2 agosto, in Europa è entrato in applicazione l’articolo 50 dell’AI Act, la norma che impone di rendere riconoscibili i contenuti generati o manipolati artificialmente. È la prima volta che il legislatore europeo fissa un obbligo di marcatura per i prodotti dell’IA generativa, con sanzioni che arrivano a 15 milioni di euro o al 3 per cento del fatturato mondiale annuo.

I due fatti sembrano appartenere a conversazioni diverse. In realtà si toccano in un punto molto preciso ed è il punto che nessuno sta guardando abbastanza.

Cosa impone davvero l’articolo 50

Conviene sgombrare il campo da un equivoco che circola con insistenza nelle direzioni marketing e nelle segreterie di direzione. L’AI Act non impone un bollino su ogni contenuto prodotto con l’intelligenza artificiale. Impone obblighi diversi a soggetti diversi, e capire in quale casella si trova la propria organizzazione è metà del lavoro.

Al fornitore del sistema generativo spetta la marcatura tecnica. Gli output devono essere identificabili come artificiali in un formato leggibile da macchina, con requisiti di efficacia, interoperabilità e robustezza nei limiti di quanto è tecnicamente fattibile.

Al deployer, cioè a chi utilizza professionalmente quei sistemi e pubblica il risultato, spetta invece la dichiarazione visibile, ma soltanto in casi delimitati. Deepfake audio, video e immagini. Testi generati o manipolati con l’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico.

Il calendario merita attenzione perché è già stato oggetto di una revisione. Il Digital Omnibus sull’IA, regolamento UE 2026/1744 entrato in vigore il 27 luglio, ha introdotto un periodo transitorio fino al 2 dicembre 2026, ma soltanto per la marcatura tecnica del paragrafo 2 e soltanto per i sistemi generativi già immessi sul mercato prima del 2 agosto.

Non ha rinviato nulla di quanto riguarda le dichiarazioni visibili dei deployer, né l’obbligo di informare le persone che stanno interagendo con un sistema di IA. Chi gestisce un chatbot evoluto convinto di avere tempo fino a dicembre ha letto male la norma.

Sul piano probatorio la Commissione ha indicato una strada. L’adesione al Codice di condotta sulla trasparenza dei contenuti generati dall’IA, pubblicato nella versione finale a giugno e riconosciuto come strumento volontario idoneo, vale come mezzo per attestare la conformità.

Chi non aderisce deve dimostrare il rispetto degli obblighi con strumenti alternativi equivalenti, il che nella pratica significa una gap analysis documentata e la capacità di sostenerla davanti a un’autorità.

Come si marca tecnicamente un contenuto, e perché il testo è il caso peggiore

Le tecniche disponibili appartengono a due famiglie che è bene non confondere, perché hanno proprietà di sopravvivenza radicalmente diverse.

La prima è quella dei metadati di provenienza, il cui standard di riferimento è C2PA con le Content Credentials. Si tratta di un manifest firmato crittograficamente che accompagna il file e ne registra la storia: quale strumento lo ha creato, quando, quali azioni successive lo hanno modificato.

Quando è presente è un segnale forte, verificabile, con una catena di firma controllabile. Il problema è che vive accanto al contenuto e non dentro di esso, quindi è rimovibile. Uno screenshot, un risalvataggio, un passaggio attraverso una piattaforma che normalizza i file, e il manifest sparisce.

La seconda famiglia è quella dei watermark incorporati nel segnale. SynthID è oggi l’implementazione più diffusa, con una marcatura che agisce sui pixel per le immagini, sullo spettrogramma per l’audio e sulla distribuzione probabilistica dei token per il testo.

Il vantaggio è che il segnale fa parte del contenuto e resiste a ritagli, compressioni con perdita, filtri leggeri. Il limite, per chi lavora prevalentemente su documenti scritti, è che il watermark testuale tiene di fronte a una parafrasi lieve ma si degrada con riscritture consistenti e con le traduzioni.

Aggiungo un dato che considero istruttivo, perché mostra quanto sia fragile anche il segnale considerato più solido. Un test condotto nei giorni scorsi sulla funzione di verifica di Anthropic ha mostrato che un’immagine scaricata normalmente da Claude riceveva la Content Credential, ma la stessa immagine fatta transitare attraverso un archivio compresso la perdeva e un’immagine caricata dall’utente e semplicemente restituita dall’interfaccia poteva a sua volta acquisirla.

La credenziale non attesta chi ha creato il contenuto. Attesta che una certa pipeline lo ha trattato. È una differenza sostanziale e chi costruisce controlli su quel segnale deve saperlo.

Il vuoto che nessuno sta colmando

Arriviamo al punto che dà il titolo a questo pezzo, e che nella mia esperienza produce lo sguardo perplesso di chiunque ci arrivi la prima volta.

L’obbligo di marcatura grava sul fornitore, a monte della catena. Il bisogno di verifica sta a valle, in capo a chi riceve un documento e deve decidere se e quanto fidarsene. Tra i due estremi non esiste, a oggi, uno strumento praticabile per il testo.

Per immagini, audio e video la situazione è imperfetta ma gestibile: esistono verificatori pubblici di Content Credentials, esiste il detector proprietario di Google per SynthID, esistono servizi commerciali di ispezione dei manifest. Un giornalista, un ufficio comunicazione, un team di trust and safety hanno qualcosa in mano.

Per un documento di testo non hanno quasi nulla. Il testo generato da un assistente e incollato in un Word, in una mail o in un PDF ha già perso qualunque metadato di provenienza, perché il metadato viaggia con il file originario e non con le parole.

Il watermark statistico, quando esiste, sopravvive al copia e incolla ma non a una riscrittura sostanziale, e comunque richiede il detector del fornitore che lo ha apposto, con una copertura a macchia di leopardo tra i vari attori del mercato.

I rilevatori euristici del tipo GPTZero o ZeroGPT restituiscono probabilità, non evidenze, e su un testo tecnico ben scritto sbagliano in entrambe le direzioni con una frequenza che li rende inutilizzabili in qualsiasi contesto in cui una decisione debba essere difesa.

La conseguenza logica è severa e va enunciata senza attenuazioni. La presenza di una marcatura valida è un’informazione. L’assenza di marcatura non è un’informazione. Non dice che il contenuto è umano, dice soltanto che non c’è marcatura, il che può dipendere dal fornitore, dal formato, da un passaggio intermedio o da una rimozione deliberata.

Costruire un controllo che tratti l’assenza di segnale come esito negativo significa costruire un controllo che produce falsi negativi per definizione.

Cosa deve fare, allora, chi governa il rischio

Se la verifica tecnica non è una leva utilizzabile sul testo, il presidio va spostato dove la leva esiste, cioè sul processo e sul contratto.

Il primo intervento riguarda la filiera. Le linee guida della Commissione indicano espressamente le condizioni contrattuali come strumento di allocazione degli obblighi lungo la catena, e questo significa che i contratti con agenzie, fornitori di contenuti, service di traduzione e consulenti vanno aggiornati con dichiarazioni esplicite sull’impiego di sistemi generativi e sulla marcatura degli output consegnati. Non è un adempimento formale. È l’unico punto in cui si può ottenere un’informazione affidabile su qualcosa che tecnicamente non si riesce a misurare.

Il secondo riguarda i flussi editoriali interni. Chi pubblica contenuti su questioni di interesse pubblico deve mappare quali produzioni ricadono nell’obbligo di etichettatura, formalizzare la revisione umana e tracciare i controlli sostanziali, con il divieto esplicito di interventi generativi successivi al via libera editoriale.

Vale la pena ricordare un dettaglio che sfugge spesso: i testi generati prima del 2 agosto ma pubblicati dopo quella data vanno etichettati, mentre non è richiesta una marcatura retroattiva degli archivi.

Il terzo riguarda i chatbot e gli agenti, ed è quello dove vedo più organizzazioni scoperte. L’obbligo di informare l’interlocutore che sta parlando con un sistema di IA è già pienamente vigente, anche per i sistemi già in produzione, e per gli agenti si aggiunge la dichiarazione del soggetto per conto del quale operano.

Il punto dove le due storie si toccano

Torno ad Astra, perché è qui che l’articolo si chiude.

Abbiamo un modello che sposta verso l’alto la capacità offensiva accessibile con una sottoscrizione commerciale e che, per ammissione del fornitore, è più difficile da osservare dall’interno.

Abbiamo un impianto normativo europeo che chiede trasparenza sull’origine dei contenuti ma che, sul formato più diffuso in assoluto negli scambi professionali, non mette il destinatario in condizione di verificare alcunché.

Abbiamo, infine, un AI Office che dovrà pronunciarsi nelle prossime settimane su come gli obblighi previsti per i modelli di uso generale con rischio sistemico si applichino a un sistema di questa classe, con un dettaglio non secondario: le valutazioni di sicurezza restano condotte nei laboratori statunitensi entro un quadro in larga parte volontario, e i regolatori europei ricevono ciò che il fornitore decide di pubblicare, non evidenze auditate in modo indipendente.

Il mio giudizio è che l’articolo 50 sia una norma giusta scritta per un mondo che non esiste ancora, quello in cui la provenienza viaggia insieme al contenuto per tutta la sua vita utile. Finché quel mondo non arriva, e non arriverà presto, la trasparenza sui contenuti sintetici resta un obiettivo di policy e non un controllo di sicurezza.

Per un CISO la traduzione operativa è semplice da enunciare e faticosa da applicare. Non basare nessuna decisione di rischio sulla presenza o sull’assenza di una marcatura in un documento ricevuto.

Trattare i contenuti in ingresso come non attribuibili per default e presidiare la fiducia dove è ancora possibile presidiarla, cioè nella relazione contrattuale, nel processo di revisione e nella tracciabilità di ciò che avviene dentro il proprio perimetro.

Sul resto, per ora, siamo tutti a leggere etichette che nessuno può controllare.