L’intervento del Garante per la protezione dei dati personali su DeepSeek, con la limitazione immediata del trattamento dei dati degli utenti italiani, è solo l’ultimo capitolo di un confronto sempre più serrato tra regolamentazione e innovazione tecnologica. La decisione, assunta in via d’urgenza, si basa sull’insufficienza delle risposte fornite da DeepSeek, che ha dichiarato di non operare in Italia e di non essere soggetta alla normativa europea. Questo caso non è isolato, ma si inserisce in un quadro più ampio, segnato da alcuni eventi di portata globale: la revoca dell’Executive Order 14110 da parte di Donald Trump e la recente sanzione a Open AI di 15 milioni di Euro, sempre effettuata del Garante per la Protezione dei Dati Personali. Il tutto a distanza di 3 giorni dall’entrata in vigore del “primo atto” dell’AI Act.

Questi episodi esercitano una pressione crescente sull’Unione Europea, che si trova in una posizione indubbiamente delicata. L’AI Act ha l’ambizione di creare un quadro normativo avanzato e orientato alla tutela dei diritti fondamentali. Tuttavia, con gli Stati Uniti sempre più inclini alla deregolamentazione e con la Cina che prosegue nella sua strategia di sviluppo accelerato dell’AI senza nemmeno considerare le richieste di chiarimento del Garante Privacy, l’Europa rischia di perdere attrattività per gli investitori, trovandosi stretta tra due modelli radicalmente opposti.

In questo contesto, sebbene l’abrogazione dell’AI Act sia astrattamente ipotizzabile dal punto di vista giuridico, appare politicamente insostenibile allo stato attuale. Tuttavia, non si può escludere che l’AI Act possa subire un’applicazione attenuata o una sostanziale disapplicazione in termini di enforcement, come già accaduto in passato con altre normative di matrice europea. Per il momento, però, non sembra essere questo l’orientamento prevalente a livello dell’Unione Europea, che appare determinata a portare avanti la sua strategia regolatoria.

Nel quadro attuale, DeepSeek rappresenta un esempio concreto dei rischi legati a un’AI sviluppata senza adeguati presidi normativi. Il provvedimento del Garante privacy segnala preoccupazioni non solo sul trattamento dei dati personali, ma anche sull’assenza di un chiaro meccanismo di compliance rispetto alle normative europee. L’AI cinese, infatti, ha registrato un’adozione massiva in pochi giorni, attirando immediatamente l’attenzione delle autorità. La vicenda sottolinea la necessità di strumenti più incisivi per garantire che le normative esistenti siano effettivamente applicabili anche a soggetti extraeuropei.

Tuttavia, non dobbiamo perdere di vista la vera innovazione portata da DeepSeek che sceglie, come Llama, di essere open source: l’emergere di questi sistemi rispetto ai modelli chiusi come OpenAI, rappresenta un momento cruciale per il futuro dell’intelligenza artificiale e impone la necessità di esaminare con più attenzione le questioni di compliance legate all’utilizzo di questi strumenti. In questo contesto, è utile porsi tre domande fondamentali.

È una best practice per la compliance nell’uso dell’IA generativa esaminare termini e condizioni e policy sulla privacy? DeepSeek, pur essendo open source e installabile in locale, quando usato in modalità hosted raccoglie dati degli utenti per migliorare il modello. OpenAI, invece, permette di disattivare l’addestramento sui dati degli utenti nella versione a pagamento, mentre Google sembra utilizzare comunque i dati sia nelle versioni gratuite che a pagamento. L’analisi di questi aspetti evidenzia la necessità di un maggiore controllo sui dati, il che potrebbe favorire l’adozione di soluzioni on-premise come quella proposta da Deep Seek o Llama. Un dato di fatto, tuttavia, è la necessità di verificare con attenzione i termini di servizio, magari facendosi aiutare proprio da una intelligenza artificiale generativa per la comprensione.

Perché è più delicato condividere dati con l’AI generativa rispetto che altri servizi cloud? Anche se gli utenti hanno, negli anni, già condiviso dati personali con servizi come Google Maps o Apple Maps, i rischi legati all’IA generativa sono diversi. Episodi come quello del New York Times dimostrano che i modelli possono riproporre intere porzioni di testo di dati proveniente dalle fonti utilizzate per l’addestramento. Questa forma di diffusione e condivisione non si è mai verificata con le tradizionali piattaforme cloud che abbiamo in questi anni utilizzato. Questo apre interrogativi sulla disponibilità degli utenti ad accettare tali rischi, specialmente se questo comporta potenziali violazioni della privacy e dei diritti fondamentali.

Stiamo andando verso una balcanizzazione dell’Intelligenza Artificiale? DeepSeek potrebbe accelerare una balcanizzazione dell’IA, con tecnologie sviluppate in compartimenti stagni a livello geopolitico. Mentre in passato Google ha dominato il mercato globale, oggi l’intelligenza artificiale vede il coinvolgimento simultaneo di molteplici attori: Stati Uniti (OpenAI, Meta, Google) e Cina (DeepSeek). In Europa invece si punta, come detto, a potenziare i profili regolatori. Questo scenario pone una sfida politica cruciale: bilanciare il controllo normativo con la necessità di rimanere competitivi a livello globale.

In definitiva, il caso DeepSeek evidenzia una tensione crescente tra le strategie delle principali economie mondiali.  Il futuro rimane incerto, ma si delinea all’orizzonte un nuovo possibile scenario. Se il futuro dell’AI Generativa diventasse open e, conseguentemente, il mercato si spostasse su soluzioni in locale e non in cloud, la potenziale conflittualità regolamentare potrebbe attutirsi e l’Europa potrebbe assumere un ruolo centrale soprattutto se un evento significativo connesso a un utilizzo improprio dell’AI riportasse l’attenzione globale sull’importanza del ruolo dell’AI Act.