Il blocco lampo di Claude Fable 5 e Mythos 5 da parte del governo Usa non è (solo) una storia di cybersecurity. È la prova generale di un futuro in cui l’accesso ai modelli di frontiera diventa leva geopolitica e l’Europa, Italia compresa, si ritrova spettatrice di un film a cui non ha contribuito neanche alla stesura del copione.

Riassunto dei fatti (per chi è stato offline tutto il we)

Il 9 giugno 2026 Anthropic lancia Fable 5, la versione “per tutti” del suo modello più potente, Mythos 5, presentato come capace di prestazioni cyber senza precedenti. Tre giorni dopo, il 12 giugno alle 17:21 (ora EST), arriva una lettera del Segretario al Commercio Howard Lutnick con l’ordine di sospendere l’accesso a entrambi i modelli per qualsiasi cittadino straniero, dentro e fuori gli Stati Uniti, compresi i dipendenti stranieri di Anthropic stessa. Non potendo filtrare gli utenti per nazionalità in tempo reale, Anthropic spegne tutto, per tutti, ovunque. In poche ore un modello usato da centinaia di milioni di persone smette semplicemente di esistere.

Il pretesto? Una segnalazione, pare arrivata da Amazon e da almeno altre cinque aziende, su un jailbreak che avrebbe permesso di individuare vulnerabilità software. Anthropic, dal canto suo, replica che si trattava di una falla minore, riproducibile anche con altri modelli concorrenti, e che la misura è “sproporzionata”. Il governo, dal canto suo, non fornisce dettagli tecnici e si limita a citare “ragioni di sicurezza nazionale”. Tutti hanno ragione, nessuno ha le prove, e nel frattempo il prodotto è spento. Benvenuti nel 2026.

Il dettaglio che conta (e che quasi nessuno ha sottolineato)

Fin qui, la cronaca. Ma il punto davvero interessante non è cosa è successo, è come è potuto succedere così in fretta, con così poco preavviso, e con un raggio d’azione globale per una decisione presa da un solo governo su un’azienda con sede in California.

Riflettiamoci un momento: un’amministrazione politica, con una lettera, ha potuto disattivare uno strumento di lavoro usato da banche, studi legali, software house e pubbliche amministrazioni in mezzo mondo, Italia compresa, senza che nessuno dei governi di quei Paesi avesse voce in capitolo. Non un attacco hacker, non un bug, non un fallimento tecnico. Una scelta politica, attuata con un export control come se un modello linguistico fosse più simile a un caccia F-35 o a un impianto di centrifughe nucleari che a un software.

Ed è esattamente qui che la storia smette di essere “tecnologia” e diventa “geopolitica”.E poco importa se la decisione riguarda solo Fable 5 e Mithos 5, mentre gli altri modelli sono ancora disponibili. Perché il tema vero è un altro. Se l’accesso a un sistema può essere revocato da un governo per ragioni che restano segrete anche al destinatario del provvedimento, allora quel sistema non è più un prodotto commerciale: è un’infrastruttura strategica con un interruttore generale e l’interruttore non è in mano a chi lo usa.

Il paradosso dell’alleato

La parte ironica di tutta questa vicenda, se di ironia si può parlare, visto che il tema è la sicurezza nazionale, è che qui non stiamo parlando di Cina o di un Paese da tenere a debita distanza secondo le classiche logiche di sicurezza. Stiamo parlando degli Stati Uniti, l’alleato per eccellenza, quello con il quale condividiamo l’Alleanza Atlantica e gran parte delle catene di approvvigionamento tecnologico.

E il fatto che sia un alleato a poter premere il bottone non rende la cosa meno preoccupante. Anzi. Se il rischio di interruzione esistesse solo nei rapporti con attori ostili, sarebbe già scontato nei piani di emergenza di chiunque. Il problema qui, è che il rischio è strutturale, vale per qualsiasi fornitore sottoposto a una giurisdizione che non sia quella europea, e si attiva per decisioni che possono cambiare con un’elezione, un cambio di amministrazione, o semplicemente una telefonata fatta la sera prima da un concorrente del fornitore stesso (perché sì, secondo le ricostruzioni circolate, tra i soggetti che hanno acceso il campanello d’allarme a Washington ci sarebbe anche un grande investitore della stessa Anthropic, un dettaglio che meriterebbe un articolo a parte sul tema “con questi alleati, chi ha bisogno di nemici?”).

Cosa significa per l’Europa se la sovranità digitale smette di essere un tema da convegno

La “sovranità digitale europea” è stata fino a questo momento un argomento da slide istituzionali: bello da citare nei discorsi, complicato da tradurre in pratica, perennemente rimandato perché, diciamolo, i modelli americani funzionano bene, costano relativamente poco e l’alternativa europea era, fino a poco tempo fa, più un’aspirazione che un prodotto.

Il caso Fable cambia il tono della discussione, perché trasforma un rischio teorico in un fatto documentato: un governo straniero può spegnere, in poche ore e senza preavviso, un servizio su cui aziende e istituzioni europee facevano affidamento. Non è più un’ipotesi da white paper, è cronaca con tanto di orario (le 17:21 di un venerdì, per la precisione, il momento peggiore della settimana per scoprire che il tuo fornitore tecnologico principale è appena evaporato).

Bruxelles, va detto, non è arrivata del tutto impreparata. Il 3 giugno 2026, nove giorni prima dello shutdown, per una coincidenza temporale che ha del clamoroso, la Commissione europea aveva adottato il Cloud and AI Development Act (CADA), cuore del cosiddetto Tech Sovereignty Package. Il CADA non regola l’uso dei modelli (quello è compito dell’AI Act), ma la sovranità sull’infrastruttura su cui i modelli girano: prevede quattro livelli di “sovranità” per i fornitori cloud destinati al settore pubblico, con il livello più alto riservato a operatori posseduti e controllati dall’Unione, e punta a triplicare la capacità dei data center europei nell’arco di cinque-sette anni.

Una tempistica che definire “fortunata” sarebbe generoso, ma che almeno dimostra che il problema era stato individuato, anche se forse non con questa urgenza.

E l’Italia?

Qui la faccenda si fa particolarmente delicata. Negli ultimi mesi, diverse aziende di AI di frontiera, Anthropic compresa, hanno annunciato o avviato l’apertura di uffici in Italia, insieme a realtà verticali come Harvey, specializzata in AI per il settore legale, che stanno entrando nel mercato italiano puntando su studi legali e aziende che vogliono automatizzare ricerca giuridica, due diligence e contrattualistica.

Sulla carta, è una buona notizia: più presenza locale, più supporto, più “vicinanza” al mercato italiano. Nella pratica, il caso Fable dimostra che la geografia degli uffici conta relativamente poco quando il controllo finale della tecnologia resta concentrato altrove. Un ufficio a Milano o a Roma può aiutarti con il contratto, il supporto clienti, magari anche con la compliance GDPR. Ma se la lettera arriva da Washington e dice “spegnete tutto per chiunque non sia americano”, l’ufficio italiano si trova nella stessa posizione di un utente qualsiasi: a guardare lo schermo che mostra l’errore.

Per un’azienda italiana che ha integrato uno di questi modelli in processi critici, uno studio legale per la due diligence su un’operazione di M&A in corso, una banca che ha costruito un assistente interno su Claude o una software house che ha automatizzato parte del proprio ciclo di sviluppo, la domanda non è più “il fornitore è affidabile?”, ma “il fornitore è sotto controllo di chi, e quel chi può decidere di spegnerlo mentre io ho una scadenza domani?”. Una domanda che, fino al 12 giugno, sarebbe sembrata leggermente paranoica. Ora sembra, semplicemente, prudente.

Le conseguenze pratiche per le imprese italiane si possono riassumere così: continuità operativa che dipende da decisioni politiche estere, dati e prompt che vivono su infrastrutture fuori dal perimetro di sovranità europeo (e quindi soggetti, in teoria, anche a politiche di retention come quella a 30 giorni che Anthropic ha introdotto per i modelli di classe Mythos), e un rischio reputazionale per chi promette ai propri clienti continuità di servizio basata su strumenti che, per definizione contrattuale e giurisdizionale, non sono nelle proprie mani.

Cosa dovrebbe fare l’Italia, in accordo con Bruxelles

Punto primo, e qui niente ironia: l’Italia da sola non può fare quasi nulla. Il tema è di scala europea per definizione, ed è già il motivo per cui il CADA è nato a Bruxelles e non a Roma. Detto questo, ci sono almeno tre direzioni su cui il governo italiano può, e probabilmente dovrebbe, spingere in sede europea, con una certa urgenza data dalla cronaca recente.

La prima è l’accelerazione del Tech Sovereignty Package e, in particolare, degli investimenti in capacità di calcolo europea: il CADA punta a triplicare i data center Ue in cinque-sette anni, ma il caso Fable suggerisce che la finestra di vulnerabilità nel frattempo è enorme e che servirebbe una corsia rapida, non solo per la capacità, ma anche per i modelli “sovrani” o quantomeno per accordi multilaterali che impegnino i fornitori extra-Ue a garanzie di continuità verificabili, non solo promesse commerciali.

La seconda è la diversificazione obbligatoria per gli usi critici. Per la pubblica amministrazione, per il settore finanziario, per le infrastrutture critiche, non dovrebbe essere accettabile dipendere da un singolo fornitore, americano o no, per funzioni essenziali, esattamente come non sarebbe accettabile avere un solo fornitore di energia elettrica. L’AI Act già impone obblighi di trasparenza e gestione del rischio; il passo successivo è ragionare su requisiti di ridondanza e di portabilità che riducano il “lock-in” geopolitico, non solo quello tecnico.

La terza, forse la più scomoda, è politica in senso stretto: l’Europa deve decidere se vuole essere un mercato a cui i fornitori americani si adattano, o un territorio le cui regole vengono bypassate ogni volta che Washington decide di esercitare la propria giurisdizione extraterritoriale. Il caso Fable mostra che, almeno per ora, vale la seconda opzione. Cambiarla richiede peso negoziale, e il peso negoziale si costruisce solo se l’alternativa, capacità di calcolo propria, modelli propri o controllati, accordi di garanzia vincolanti, esiste davvero, non solo nei comunicati stampa.

La morale, tra il serio e il faceto

C’è qualcosa di profondamente simbolico nel fatto che un modello presentato come “il più sicuro di sempre”, testato per migliaia di ore con governi e autorità di tre continenti, sia stato spento non da un attacco esterno, non da un bug, ma da una telefonata interna al sistema di alleanze occidentale. La sicurezza, in questo caso, non ha fallito tecnicamente: ha fallito “politicamente”, ed è proprio questo il punto che l’Europa, e l’Italia con lei, dovrebbe portarsi a casa.

Proprio per questo, il dibattito sulla sovranità digitale europea non può più avere il tono di un esercizio accademico, qualcosa su cui riflettere con calma, magari in un prossimo ciclo di finanziamenti. Perché il 12 giugno 2026, con novanta minuti di preavviso e una lettera arrivata di venerdì pomeriggio, quell’esercizio accademico è diventato un caso pratico con conseguenze reali su aziende, piccole imprese e pubbliche amministrazioni di mezzo mondo.

Da questo punto di vista la tecnologia, come sempre, ha solo reso visibile un rapporto di potere che esisteva già. La domanda, ora, è se l’Europa, e con essa l’Italia, sceglieranno di guardare altrove o di prendere finalmente in mano il proprio telecomando.