La notizia è apparentemente tecnica, ma ha implicazioni enormi per la compliance aziendale: Anthropic è entrato a far parte della lista dei subprocessori di Microsoft, ovvero quei fornitori che trattano dati personali per conto del colosso di Redmond. Fin qui nulla di strano, se non fosse che i modelli di Anthropic integrati in Copilot sono stati esclusi dall'EU Data Boundary, il perimetro che garantisce che i dati dei clienti europei restino all'interno dell'Unione Europea. Una decisione che solleva più di un interrogativo sulle reali capacità dell'intelligenza artificiale di gestire in autonomia la revisione annuale dei fornitori.
Perché l'AI da sola non è sufficiente
La revisione annuale dei fornitori è un processo complesso che richiede di valutare non solo la sicurezza tecnica, ma anche la conformità legale, la residenza dei dati e le catene di subfornitura. L'AI può accelerare la raccolta e l'analisi documentale, ma non può sostituire il giudizio umano quando si tratta di interpretare clausole contrattuali ambigue o di valutare il rischio geopolitico. Nel caso di Anthropic, la sua inclusione come subprocessore di Microsoft significa che i dati trattati dai suoi modelli potrebbero non essere coperti dalle stesse garanzie previste per il resto dell'ecosistema Microsoft. Un dettaglio che un sistema di revisione automatizzato potrebbe non rilevare.
Implicazioni per le aziende europee
Per le imprese che operano nell'UE, la scelta di Microsoft di escludere Anthropic dall'EU Data Boundary è un campanello d'allarme. Significa che i dati dei clienti europei potrebbero essere trasferiti al di fuori dell'Unione quando si utilizzano funzionalità di Copilot basate su modelli Anthropic. Le aziende devono quindi aggiornare le proprie valutazioni d'impatto e i registri dei trattamenti, verificando se i fornitori di AI rispettano i requisiti del GDPR. La revisione annuale dei fornitori, insomma, non può più essere un semplice controllo a campione: va ripensata come un processo continuo e integrato, in cui l'AI è uno strumento di supporto, non un sostituto.
In sintesi, l'AI può rendere più efficiente la due diligence, ma la responsabilità legale resta in capo all'azienda. Ignorare le eccezioni come quella di Anthropic significa esporsi a sanzioni e a rischi reputazionali. Meglio integrare l'automazione con una solida supervisione umana.
