Il regolatore britannico chiede prove sulle salvaguardie dei foundation model

La novità non è una nuova legge

L’Information Commissioner’s Office ha pubblicato l’8 ottobre 2026 i risultati della propria attività di supervisione sui trattamenti di dati personali compiuti nello sviluppo dei foundation model.

Il punto giuridico deve essere delimitato con precisione: l’ICO non ha introdotto un nuovo regime normativo e non ha annunciato una sanzione collettiva. Ha però applicato gli obblighi esistenti del UK GDPR a pratiche concrete, ottenendo modifiche già realizzate o impegni formali da dieci sviluppatori.

La rilevanza operativa risiede quindi nel passaggio dall’interpretazione generale alla verifica documentata delle pratiche adottate.

Cosa ha verificato l’ICO

La supervisione ha interessato Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI e Stability AI. L’autorità ha esaminato quattro aree principali:

• liceità del trattamento dei dati personali utilizzati per addestrare e sviluppare i modelli;
• gestione dei dati appartenenti a categorie particolari;
• trasparenza verso gli interessati;
• possibilità concreta di esercitare i diritti riconosciuti dalla normativa.

Il rapporto dell’ICO non costituisce una classifica dei dieci sviluppatori e non fornisce un fascicolo completo per ciascuna organizzazione. Documenta invece problemi ricorrenti, miglioramenti richiesti e aspettative regolatorie destinate a influenzare l’intero settore.

Le modifiche ottenute dal regolatore

Secondo l’ICO, gli interventi di supervisione hanno prodotto o consolidato modifiche riguardanti:

• valutazioni del legittimo interesse più dettagliate e specifiche;
• informative privacy più accessibili e comprensibili;
• procedure più chiare per opposizione, accesso, cancellazione e altri diritti;
• controlli sui dati raccolti dal web e sulle fonti utilizzate;
• misure per ridurre la presenza e la riproduzione di dati personali nei modelli;
• valutazioni dedicate ai dati particolarmente sensibili;
• documentazione dell’efficacia delle salvaguardie adottate.

Alcune modifiche risultano già implementate; altre sono impegni ancora da completare. Il materiale pubblico non consente di verificare in modo indipendente la piena esecuzione di ogni misura né di attribuire a ciascuna organizzazione tutte le criticità descritte nel rapporto.

Quando il modello può contenere dati personali

L’ICO respinge una distinzione troppo semplice tra dataset e modello. La cancellazione del dato dalla raccolta originaria non risolve necessariamente il problema se il modello è ancora capace di memorizzarlo, riprodurlo o renderlo inferibile.

La valutazione deve quindi seguire il dato lungo l’intero ciclo tecnico:

raccolta → selezione → addestramento → memorizzazione → inferenza → output → esercizio del diritto

Per sviluppatori e deployer questo significa che l’accountability non può fermarsi alla provenienza del dataset. Deve comprendere test sul comportamento del modello, registrazione dei risultati e procedure capaci di collegare una richiesta dell’interessato agli artefatti tecnici effettivamente coinvolti.

I dati sensibili non possono essere trattati per inerzia

L’ICO dedica particolare attenzione alle categorie particolari di dati. La loro presenza in grandi raccolte web non può essere trattata come una conseguenza inevitabile dell’addestramento su scala.

Oltre a una base giuridica ai sensi dell’articolo 6 del UK GDPR, il trattamento richiede una condizione valida ai sensi dell’articolo 9. Devono inoltre essere valutate necessità, proporzionalità, rischi per gli interessati e misure di mitigazione.

L’ampiezza tecnica della raccolta non sostituisce la giustificazione giuridica. Al contrario, aumenta l’onere di dimostrare come i dati siano stati individuati, filtrati, protetti e verificati.

Dalla salvaguardia dichiarata alla salvaguardia dimostrata

Il passaggio più importante per l’evidence governance riguarda la qualità della prova. Affermare di avere filtri, procedure di opt-out, tecniche di de-identificazione o controlli sugli output non basta.

Secondo le aspettative pubblicate dall’ICO, le organizzazioni devono poter mostrare perché la misura è adeguata e quale evidenza ne dimostri l’efficacia.

Una salvaguardia verificabile richiede almeno:

• la descrizione del rischio affrontato;
• il collegamento tra rischio e controllo;
• il metodo usato per testare il controllo;
• i risultati e le soglie di accettazione;
• i limiti e i casi di fallimento;
• la decisione assunta sulla base dell’evidenza;
• il riesame dopo modifiche a dati, modello o configurazione.

La supervisione si estende agli agenti

Contestualmente ai risultati sui foundation model, l’ICO ha aperto una call for evidence sull’agentic AI, con chiusura prevista il 20 novembre 2026.

L’autorità sta inoltre svolgendo interlocuzioni con OpenAI, Anthropic, Meta e con l’UK AI Security Institute. In questa fase non sono stati adottati nuovi obblighi specifici per gli agenti e non risultano conclusioni di enforcement.

La consultazione segnala però lo spostamento del perimetro di controllo: non soltanto come un modello tratta i dati, ma come un sistema agente li acquisisce, combina, comunica e utilizza per compiere azioni.

Il tema converge con l’analisi International Watch sul primo data breach notificato alla AEPD attribuito a un agente di IA: l’autonomia tecnica aumenta la necessità di ricostruire mandato, strumenti, accessi, azioni e responsabilità.

Cosa cambia per sviluppatori e deployer

Per gli sviluppatori, il rapporto rende più concreta la necessità di mantenere un fascicolo probatorio che colleghi finalità, base giuridica, fonti dei dati, valutazione del rischio, salvaguardie e risultati dei test.

Per i deployer, l’affidamento sul nome del fornitore o su una generica dichiarazione di conformità non elimina la responsabilità relativa al proprio trattamento. Contratti, due diligence e valutazioni d’impatto dovrebbero consentire di ottenere informazioni sufficienti sulle evidenze disponibili e sui limiti del sistema.

Le organizzazioni dovrebbero verificare almeno:

• quali dati personali possono entrare nel sistema;
• quali informazioni il modello può restituire o inferire;
• come vengono gestite le richieste degli interessati;
• quali test sostengono le affermazioni sulle salvaguardie;
• come sono documentati incidenti, correzioni e cambiamenti di versione.

La lettura QEN

Il rapporto ICO rafforza una distinzione essenziale: una misura descritta non è ancora una misura dimostrata. Nel quadro QEN, la catena rilevante è:

finalità → dato → base giuridica → rischio → salvaguardia → test → evidenza → decisione → verifica

Ogni collegamento deve restare ricostruibile. Se un controllo viene modificato, deve essere possibile individuare l’evidenza che ha motivato la modifica. Se una release viene autorizzata, devono essere conservati criteri, risultati, limiti e responsabilità della decisione.

Questa impostazione integra l’analisi sulla governance della disclosure del disallineamento e il modello dei diritti decisionali fondati su evidenze verificabili.

Per un’organizzazione che voglia misurare la propria maturità, l’AI Governance Assessment dovrebbe verificare non soltanto l’esistenza formale dei controlli, ma anche provenienza, sufficienza, aggiornamento e tracciabilità delle prove che li sostengono.

Fatto, inferenza e limite

Conclusione

L’intervento dell’ICO non crea un nuovo obbligo astratto. Rende più esigente la dimostrazione degli obblighi già esistenti.

Il punto non è dichiarare che un foundation model è protetto, trasparente o rispettoso dei diritti. Il punto è conservare una catena di evidenze capace di mostrare quale rischio sia stato riconosciuto, quale salvaguardia sia stata applicata, come sia stata testata e perché il risultato abbia giustificato la decisione.

Fonti primarie

1. ICO, “ICO secures changes from leading AI developers as scrutiny extends to AI agents”, 8 ottobre 2026.
2. ICO, Building trust and transparency into generative AI development, quadro generale della supervisione.
3. ICO, Data protection challenges and our expectations.
4. ICO, Industry supervision.
5. ICO, Agentic AI call for evidence, chiusura 20 novembre 2026.

Fonti consultate il 9 ottobre 2026. L’analisi distingue le dichiarazioni ufficiali dell’autorità dalle inferenze editoriali di Cognitive Logic.