L’International AI Safety Report (in italiano, «Rapporto internazionale sulla sicurezza dell’IA») è il riferimento scientifico più citato su capacità e rischi dell’IA per finalità generali. La seconda edizione completa è del 3 febbraio 2026: presieduta da Yoshua Bengio, scritta da oltre 100 esperti indipendenti, sostenuta da più di 30 paesi e organizzazioni internazionali. Non prescrive però nulla, né raccomandazioni né obblighi. Questa guida lo legge come materiale probatorio: dove l’articolo 55 e il codice di buone pratiche GPAI presuppongono che lo abbiate letto, che cosa ne ricava un deployer e dove smette di valere come prova.
In sintesi
- L’International AI Safety Report 2026 (3 febbraio 2026) è scienza, non legge: nessuna raccomandazione, e gli Stati Uniti non hanno firmato la versione finale.
- Le tre categorie (uso improprio, malfunzionamenti, rischi sistemici) corrispondono al considerando 110 del regolamento UE sull’IA e all’Appendice 1 del codice GPAI.
- Per i fornitori di modelli GPAI con rischio sistemico è la base citabile dello «stato dell’arte» dell’articolo 55.
- Per i deployer è un catalogo di fonti di rischio (articolo 9, ISO/IEC 23894, NIST AI 600-1) e un motivo per misurare l’automation bias.
- Citate edizione e data: i numeri invecchiano in mesi e l’Ufficio per l’IA ha poteri sui modelli GPAI dal 2 agosto 2026.
Che cos’è l’International AI Safety Report, e che cosa non è
L’International AI Safety Report è scritto da oltre 100 esperti indipendenti guidati dal presidente, Yoshua Bengio, con piena discrezionalità sui contenuti. Un comitato consultivo nominato da più di 30 paesi, dall’Unione europea, dalle Nazioni Unite e dall’OCSE ha riesaminato le bozze. Tre formati: rapporto integrale, sintesi estesa per i decisori politici di circa 20 pagine, sintesi esecutiva di 3 pagine nelle sei lingue ufficiali dell’ONU. Le date: mandato al vertice di Bletchley Park del novembre 2023, rapporto intermedio nel maggio 2024, prima edizione completa il 29 gennaio 2025, Key Update il 15 ottobre e il 25 novembre 2025, edizione 2026 il 3 febbraio 2026 con riferimento DSIT 2026/001; la versione su arXiv del 24 febbraio 2026 elenca 92 autori, licenza CC BY 4.0. Che cosa non sia, lo dichiara il testo: non approva alcun approccio politico, non rappresenta un singolo governo, non vincola nessuno. Secondo TIME del 3 febbraio 2026, gli Stati Uniti hanno commentato le bozze e poi rifiutato di sottoscrivere la versione finale, a differenza dell’anno precedente, mentre Regno Unito, Cina e Unione europea l’hanno sostenuta. Il rapporto precede l’India AI Impact Summit di Nuova Delhi (dal 16 al 20 febbraio 2026); il prossimo vertice sarà a Ginevra nel 2027. Inoltre, con la risoluzione A/RES/79/325 del 26 agosto 2025 l’Assemblea generale dell’ONU ha istituito il Gruppo scientifico internazionale indipendente sull’IA, i cui 40 membri, nominati il 12 febbraio 2026 con mandato fino all’11 febbraio 2029, pubblicheranno una valutazione annuale. La guida operativa al regolamento UE sull’IA colloca entrambi nel quadro normativo.
Che cosa è cambiato tra l’edizione 2025 e quella 2026
La prima novità è l’origine dei progressi: non più solo pre-addestramenti più grandi, ma post-addestramento e inference-time scaling. L’edizione 2026 dell’International AI Safety Report e il primo Key Update misurano il salto: oro alle Olimpiadi internazionali di matematica nel luglio 2025; oltre il 60% di SWE-bench Verified contro circa il 41% a fine 2024; circa il 26% su Humanity’s Last Exam contro meno del 5% a inizio 2024; su un benchmark software, il compito completato con affidabilità del 50% è passato da circa 18 minuti a oltre 2 ore in un anno, raddoppiando ogni sette mesi circa. La seconda è l’insistenza sulle capacità «frastagliate»: sistemi che superano l’80% delle domande scientifiche di livello post-laurea sbagliano a contare oggetti, a ragionare sullo spazio e a recuperare errori banali. Uno studio misura il 79% di accuratezza sulla cultura statunitense e il 12% su quella etiope; sui compiti realistici i migliori agenti completano meno del 40% delle attività di assistenza clienti, il 30% di quelle d’ufficio e il 12% di quelle aperte sul web. La terza è il «divario di valutazione»: i test pre-implementazione spesso non predicono le prestazioni reali, e i modelli riconoscono sempre più spesso di essere sotto test. Anche l’industria si è mossa: dodici aziende hanno pubblicato o aggiornato un Frontier AI Safety Framework nel 2025, più del doppio, e diversi sviluppatori hanno aggiunto salvaguardie non potendo escludere un aiuto significativo a novizi in cerca di armi biologiche (ASL-3 per Claude Opus 4, «High capability» per GPT-5, mitigazioni per Gemini 2.5 Deep Think). I migliori modelli a pesi aperti seguono i migliori modelli chiusi con meno di un anno di distacco, da riflettere nel questionario fornitori sui frontier model.
Le tre categorie di rischio, lette come registro dei rischi
L’International AI Safety Report ordina i rischi in tre famiglie; letto come registro, ciascuna fornisce fonti di rischio trasferibili nel fascicolo (metodo nella guida al rischio IA).
Rischi da uso improprio
Cyber: un agente di IA ha individuato il 77% delle vulnerabilità in software reale, nel 5% migliore di oltre 400 squadre per lo più umane, e il National Cyber Security Centre britannico stima con confidenza tra il 95 e il 100% che entro il 2027 l’IA renderà le offensive informatiche più efficaci. Bio e chimica: un modello ha superato il 94% degli esperti di virologia nella risoluzione di problemi di protocollo; le salvaguardie del 2025 sono state dichiaratamente precauzionali. Contenuti illeciti, il caso meglio documentato: 96% dei video deepfake pornografici, 19 app «nudify» su 20 rivolte contro le donne, testo generato scambiato per umano nel 77% dei casi e voce sintetica per reale nell’80%. Filigrane ed etichette spesso si rimuovono (vedi articolo 50). La persuasione cresce in laboratorio con il calcolo e la durata dell’interazione, senza prove di manipolazione su larga scala.
Rischi da malfunzionamento
Perdita di controllo: i sistemi attuali non ne hanno le capacità, ma in laboratorio modelli istruiti a raggiungere un obiettivo «a ogni costo» hanno disattivato meccanismi di supervisione simulati. I guasti di affidabilità sono quotidiani: informazioni inventate, codice difettoso, consigli medici fuorvianti. La novità sono gli agenti: quando un sistema agisce invece di rispondere, le occasioni di intervento umano si riducono e gli errori si propagano tra agenti (indagine su 67 agenti in produzione). Da qui i controlli di sicurezza dell’IA agentica che presuppongono l’errore.
Rischi sistemici
Autonomia umana: dopo mesi di colonscopie assistite il tasso di rilevamento dei medici è sceso di circa 6 punti, e in un esperimento con 2.784 partecipanti le persone hanno corretto meno gli errori dell’IA quando correggerli costava fatica. Il rapporto lo chiama automation bias; l’articolo 14 chiede alla sorveglianza di prevenirlo. Lavoro: almeno 700 milioni di utenti settimanali; circa il 60% dei posti nelle economie avanzate e il 40% in quelle emergenti probabilmente interessati; nessun effetto aggregato negli studi statunitensi e danesi del 2025, ma occupazione a inizio carriera in calo nelle professioni più esposte dalla fine del 2022. Il considerando 110 elenca gli esempi di rischio sistemico; l’Appendice 1 del codice di buone pratiche li restringe a quattro rischi «selezionati» che ogni firmatario deve valutare. La tabella propone la nostra lettura. <table header-row=”true”> <tr> <td>Risultato del rapporto (2026)</td> <td>Considerando 110</td> <td>Codice, Appendice 1</td> </tr> <tr> <td>Virologia: meglio del 94% degli esperti</td> <td>Rischi chimici, biologici, radiologici e nucleari</td> <td>CBRN (selezionato)</td> </tr> <tr> <td>Agente che trova il 77% delle vulnerabilità</td> <td>Capacità informatiche offensive</td> <td>Offensiva informatica (selezionato)</td> </tr> <tr> <td>Supervisione simulata disattivata; evaluation awareness</td> <td>Problemi di controllo e allineamento; autoreplicazione</td> <td>Perdita di controllo (selezionato)</td> </tr> <tr> <td>Persuasione crescente con calcolo e durata; deepfake</td> <td>Contenuti illegali, falsi o discriminatori; processi democratici</td> <td>Manipolazione dannosa (selezionato)</td> </tr> <tr> <td>Automation bias; perdita di competenze; lavoro a inizio carriera</td> <td>Salute e sicurezza pubblica; sicurezza economica</td> <td>Altri rischi sistemici, ove pertinenti</td> </tr> </table> La corrispondenza è nostra, non della Commissione; discriminazione e privacy restano tra gli «altri» rischi del considerando.
International AI Safety Report e articolo 55: dove si colloca nel fascicolo del fornitore GPAI
L’articolo 55, paragrafo 1, chiede quattro cose ai fornitori di modelli di IA per finalità generali con rischio sistemico: a) valutare il modello con protocolli e strumenti standardizzati «che riflettono lo stato dell’arte», compresi test contraddittori documentati; b) valutare e attenuare i rischi sistemici a livello dell’Unione, incluse le fonti; c) tracciare, documentare e comunicare all’Ufficio per l’IA gli incidenti gravi «senza indebito ritardo»; d) garantire un livello adeguato di cibersicurezza. Il perimetro lo fissa l’articolo 51: capacità di impatto elevato, presunte oltre 10\^25 operazioni in virgola mobile di addestramento, o designazione della Commissione, anche dopo una segnalazione qualificata del gruppo di esperti scientifici. Obblighi dal 2 agosto 2025; i modelli immessi sul mercato prima devono conformarsi entro il 2 agosto 2027. Dal 2 agosto 2026 l’Ufficio per l’IA ha poteri di vigilanza e di esecuzione, con sanzioni ai sensi dell’articolo 101 fino a 15 milioni di euro o al 3% del fatturato mondiale. L’Omnibus digitale (regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026) ha rinviato al 2 dicembre 2027 l’allegato III senza toccare il capo GPAI. Il codice di buone pratiche GPAI è del 10 luglio 2025, con 22 firmatari elencati dalla Commissione (xAI per il solo capitolo Sicurezza e protezione). Il capitolo articola dieci impegni, dal quadro di sicurezza e protezione al rapporto sul modello e alla segnalazione degli incidenti gravi. Secondo la sintesi di BCLP, la misura 9.3 prevede una prima segnalazione entro 2 giorni per l’interruzione di un’infrastruttura critica, 5 per una violazione grave di cibersicurezza inclusa l’esfiltrazione dei pesi, 10 per un decesso e 15 per altri danni gravi, rapporti intermedi almeno ogni quattro settimane e rapporto finale entro 60 giorni dalla risoluzione. Qui l’International AI Safety Report trova posto. Il codice chiede di identificare i rischi sistemici, compresi i quattro selezionati, e di analizzarne le fonti (capacità e propensioni del modello): il rapporto ne è la dichiarazione pubblica più autorevole, dunque la citazione naturale per lo «stato dell’arte» della lettera a). Nella stessa sezione vanno i risultati del secondo Key Update: prompt injection riuscita circa una volta su due con dieci tentativi, 250 documenti malevoli sufficienti ad avvelenare l’addestramento, disapprendimento annullato con meno di 100 esempi di fine-tuning, sicurezza dei pesi come area più debole degli impegni volontari. Dal 2 agosto 2026 l’articolo 90 consente inoltre al gruppo di esperti scientifici una segnalazione qualificata all’Ufficio per l’IA su un rischio concreto e identificabile a livello dell’Unione. Ciò che l’International AI Safety Report non è: una valutazione del vostro modello. Nessun revisore lo accetterà al posto del red teaming che l’articolo 55 esige, del tracciamento interno degli incidenti (guida alla segnalazione degli incidenti IA) o della model card.
Che cosa significa per deployer e fornitori non frontier
La maggior parte dei lettori non addestra frontier model. Per loro l’International AI Safety Report serve in sei punti. Sorveglianza umana. Colonscopia e automation bias provano che la sorveglianza si degrada con l’uso. L’articolo 14 richiede misure che tengano la persona fisica consapevole di quella tendenza; l’articolo 26 fissa il dovere del deployer. Misurate i tassi di annullamento, ruotate i revisori, conservate una linea di base senza assistenza (guida alla sorveglianza umana). Identificazione dei rischi. L’articolo 9 impone ai fornitori di sistemi di IA ad alto rischio di identificare i rischi noti e ragionevolmente prevedibili; la ISO/IEC 23894 chiede le fonti di rischio; il NIST AI 600-1 elenca dodici rischi dell’IA generativa. Il rapporto dice quali sono misurati, osservati o teorici (utile alla valutazione d’impatto). Alfabetizzazione in materia di IA. Dal 2 febbraio 2025 l’articolo 4 chiede un livello sufficiente di alfabetizzazione: la sintesi esecutiva di 3 pagine in sei lingue è materiale didattico pronto (AI literacy). Trasparenza e provenienza. Filigrane e segnali di provenienza possono essere rimossi, contraffatti o degradati: la marcatura è un controllo, non una prova. L’articolo 50 la richiede comunque (transizione chiusa il 2 dicembre 2026): stratificate marcatura, informativa e rilevamento. Rischio di terze parti. I modelli a pesi aperti non si ritirano e le salvaguardie si rimuovono con meno di 100 esempi di fine-tuning: la due diligence sui fornitori deve chiedere quali salvaguardie sopravvivono, chi monitora e come vi arriva un incidente grave. Governance. Il comitato di governance dell’IA dovrebbe verbalizzare quale edizione ha preso a riferimento e quando la riesaminerà. In Italia la legge 132/2025 ha designato AgID come autorità di notifica e ACN come autorità di vigilanza del mercato, e il Garante per la protezione dei dati personali resta competente per i profili di protezione dei dati.
Sei risultati del rapporto da portare nei controlli
L’International AI Safety Report non dice che cosa fare; questi sei risultati si traducono comunque in controlli documentabili. <table header-row=”true”> <tr> <td>Risultato (2026)</td> <td>Controllo</td> <td>Artefatto probatorio</td> </tr> <tr> <td>I test pre-implementazione non predicono le prestazioni reali</td> <td>Monitoraggio post-commercializzazione su metriche di produzione</td> <td>Piano di monitoraggio, riesami della deriva datati, registro delle deviazioni</td> </tr> <tr> <td>Prompt injection riuscita circa una volta su due con dieci tentativi</td> <td>Difesa in profondità: filtri in ingresso e in uscita, privilegio minimo, approvazione umana per gli agenti</td> <td>Rapporti di red teaming, configurazioni dei filtri, log delle approvazioni</td> </tr> <tr> <td>250 documenti malevoli bastano ad avvelenare l’addestramento</td> <td>Provenienza dei dati e hash dei dataset nella distinta dei componenti</td> <td>Lineage dei dataset, hash, attestazioni dei fornitori</td> </tr> <tr> <td>Filigrane e segnali di provenienza rimovibili o contraffabili</td> <td>Articolo 50 stratificato: marcatura, informativa, rilevamento</td> <td>Test di marcatura, informative, procedura di rilevamento</td> </tr> <tr> <td>Automation bias e perdita di competenze dopo mesi di uso</td> <td>Metriche di sorveglianza, verifiche periodiche senza assistenza, rotazione dei revisori</td> <td>Tassi di annullamento, escalation, confronti con la linea di base</td> </tr> <tr> <td>Errori propagati tra agenti; quadri di identità immaturi</td> <td>Inventario degli agenti con ambiti, interruttore di arresto, soglie di approvazione</td> <td>Scheda di inventario, log di runtime, arresto collaudato</td> </tr> </table> Il filo comune è la traccia datata. Sugli agenti, un registro dei sistemi di IA con strumenti e ambiti di ciascuno è la precondizione degli altri controlli, dato che per il rapporto i quadri di identità degli agenti sono «in fase iniziale» (agenti IA autonomi). Manca una riga: la rimozione delle salvaguardie dai modelli a pesi aperti si traduce in clausole contrattuali ed evidenze del fornitore (documentazione del sistema).
Il dilemma delle evidenze, e come documentare una decisione
L’idea più citata dell’International AI Safety Report è anche la più utile a un auditor. Il «dilemma delle evidenze»: agire su prove sottili rischia di consolidare misure inefficaci, attendere dati conclusivi può lasciare la società esposta. Dietro vi sono quattro sfide: lacune nella comprensione scientifica, asimmetrie informative, fallimenti del mercato, debolezze del disegno istituzionale e del coordinamento. Né il regolamento né la ISO/IEC 42001 chiedono di risolverlo; entrambi si aspettano una decisione documentata, non perfetta. Il verbale ha sette elementi: la domanda; l’edizione e la sezione del rapporto, con la data; l’incertezza riconosciuta; il controllo scelto e perché è proporzionato; il trigger di riesame (nuova edizione, Key Update, orientamento della Commissione, segnalazione qualificata ai sensi dell’articolo 90, incidente); il responsabile; la data. Gli impegni «if-then» dei quadri frontier (una soglia di capacità innesca una risposta predefinita) sono un modello per la clausola del trigger. Scritta così, la decisione è propensione al rischio in pratica e accountability dell’IA sulla carta; scritta come «abbiamo considerato il rapporto Bengio», è essa stessa un rischio.
I limiti dell’International AI Safety Report come evidenza
Chi cita l’International AI Safety Report dovrebbe dichiarare quattro limiti. Primo, gran parte delle evidenze viene dal laboratorio: il rapporto lo dice di perdita di controllo, evaluation awareness e persuasione, e ripete che i dati sulla prevalenza reale sono limitati e l’efficacia delle salvaguardie incerta. Una prova di capacità non è una prova di danno. Secondo, i numeri invecchiano in mesi: benchmark, tassi di aggiramento e orizzonti degli agenti sono cambiati tra gennaio 2025 e febbraio 2026, da cui i Key Update. Lo stesso vale per i quadri nuovi del 2025, il codice europeo, l’AI Safety Governance Framework 2.0 cinese e il quadro di rendicontazione del G7 di Hiroshima (guida ai principi OCSE sull’IA): la loro efficacia non è ancora nota. Terzo, il sostegno politico è ampio ma incompleto: trenta paesi e organizzazioni, tra cui Regno Unito, Cina e Unione europea, non gli Stati Uniti. A Bruxelles o a Londra si cita senza riserve, in un procedimento statunitense con quel contesto. Quarto, il rapporto non raccomanda nulla. L’obbligo viene dalla legge, dalla norma tecnica o dal codice, e il rapporto non sostituisce né la valutazione del modello richiesta dall’articolo 55 né quella del sistema richiesta dall’articolo 9 (verificate da un audit dell’IA).
Domande frequenti
Che cos’è l’International AI Safety Report? Una revisione indipendente delle capacità e dei rischi dell’IA per finalità generali, commissionata al vertice di Bletchley Park del 2023 e presieduta da Yoshua Bengio. L’edizione 2026, del 3 febbraio 2026, è scritta da oltre 100 esperti e sostenuta da più di 30 paesi e organizzazioni. Esce come rapporto integrale, sintesi estesa di circa 20 pagine e sintesi esecutiva di 3 pagine in sei lingue. Chi scrive l’International AI Safety Report, ed è indipendente? Un gruppo di esperti indipendenti guidato dal presidente, con piena discrezionalità sui contenuti. Un comitato consultivo nominato dai paesi sostenitori, dall’UE, dall’ONU e dall’OCSE riesamina le bozze. Il rapporto dichiara di non rappresentare alcun governo e di non approvare alcun approccio politico; il segretariato è del Department for Science, Innovation and Technology britannico, da cui il riferimento DSIT 2026/001. L’International AI Safety Report è giuridicamente vincolante? No: non crea obblighi. La rilevanza è indiretta: il regolamento (UE) 2024/1689 chiede ai fornitori di modelli di IA per finalità generali con rischio sistemico valutazioni allo stato dell’arte e l’identificazione dei rischi sistemici con le loro fonti, e il rapporto è la dichiarazione pubblica più autorevole su quello stato dell’arte. L’obbligo nasce dall’articolo 55, dal codice o dalla normativa di settore. Gli Stati Uniti hanno sottoscritto il rapporto 2026? No. Secondo TIME, hanno fornito osservazioni sulle bozze e poi rifiutato di firmare la versione finale, a differenza dell’anno precedente. Regno Unito, Cina e Unione europea hanno sostenuto l’edizione 2026. Il rapporto non dipende dall’avallo di un singolo governo, ma un fascicolo che lo cita in un contesto statunitense dovrebbe dare atto di questa posizione, mentre in Europa si cita senza riserve. Come si collega il rapporto al regolamento UE sull’IA e al codice di buone pratiche GPAI? L’articolo 55 impone ai fornitori con rischio sistemico valutazioni allo stato dell’arte, mitigazione dei rischi sistemici e segnalazione degli incidenti gravi. Il codice, firmato da 22 aziende, lo traduce in dieci impegni e nomina quattro rischi selezionati: CBRN, perdita di controllo, offensiva informatica, manipolazione dannosa. Le tre categorie dell’International AI Safety Report si sovrappongono a quell’elenco (vedi IA per finalità generali). Con quale frequenza viene aggiornato il rapporto, e che cos’è il dilemma delle evidenze? Un’edizione completa esce ogni anno dal gennaio 2025, con Key Update intermedi: due nel 2025, il 15 ottobre e il 25 novembre. Il dilemma delle evidenze è la descrizione che l’International AI Safety Report dà della posizione di chi decide: agire su prove sottili rischia di consolidare misure inefficaci, attendere dati conclusivi rischia di lasciare la società esposta. Per un’azienda significa documentare la decisione con edizione e trigger di riesame.
Conclusione
Nel febbraio 2026 la scienza ha fissato una linea di riferimento, e l’International AI Safety Report è il documento in cui l’ha scritta. Da allora ogni autorità, organismo notificato o auditor può chiedere perché il vostro fascicolo se ne discosti. Il fornitore con rischio sistemico vi trova il metro dello stato dell’arte per l’articolo 55 e il codice; il deployer vi trova le fonti per il registro dei rischi e la prova che la sorveglianza si consuma con l’uso. Citate l’edizione, datate la decisione, nominate il trigger. AI Sigil conserva ogni sistema di IA come un record con i suoi rischi, i suoi controlli e le sue evidenze, così che, quando la prossima edizione sposterà la linea, si veda in un solo punto quali decisioni ne risentono.