Anthropic perde contro il Pentagono: allineare Claude significa «manipolarlo»

Due linee rosse e un ultimatum

Tutto inizia nel 2024, quando il Pentagono e l'intelligence usano Claude tramite subappaltatori sui loro sistemi classificati. Il modello commerciale rifiuta allora compiti legittimi: riassumere valutazioni di minacce, elaborare documenti classificati, tradurre intercettazioni che descrivono violenze.

Anthropic risponde con Claude Gov, lanciato a marzo 2025, e un'appendice contrattuale specifica per il governo. A luglio 2025, l'azienda entra a far parte di un contratto IA da 200 milioni di dollari. Finisce per autorizzare la progettazione di armi, l'analisi dell'intelligence estera e le operazioni cyber offensive, ma mantiene due divieti: la guerra autonoma letale e la sorveglianza di massa degli americani.

Il 9 gennaio 2026, Pete Hegseth pubblica una strategia «AI-first» che richiede modelli «liberi da vincoli di policy d'uso» e una clausola «any lawful use». Nello stesso periodo, un dirigente di Anthropic si interroga sull'uso di Claude in un'operazione militare all'estero, che articoli di stampa versati agli atti collegano alla cattura di Nicolás Maduro il 3 gennaio. Si aggiunge un rifiuto di Claude di fronte a richieste del CDC sulla prevenzione delle malattie infettive.

Il 24 febbraio, Hegseth riceve Dario Amodei e fissa un ultimatum al 27. Il 26, Amodei rifiuta pubblicamente pur promettendo una «transizione morbida». Il 27, Trump e Hegseth denunciano Anthropic sui social; la designazione formale arriva il 3 marzo, e il Pentagono si rivolge a OpenAI.

Il cuore della sentenza: manipolare senza malafede

La legge definisce il «supply chain risk» come il rischio che una persona possa «sabotare, introdurre maliziosamente una funzione indesiderata, estrarre dati o altrimenti manipolare» un prodotto informatico al fine di «sorvegliare, negare, interrompere o altrimenti manipolare» il suo funzionamento.

Anthropic sosteneva che questo vocabolario presupponga un'intenzione ostile. Il giudice Gregory Katsas si attiene al senso ordinario: manipolare significa «disporre, far funzionare o controllare con abilità». Secondo lui, esiste non un rischio ma una «certezza» che Anthropic configuri Claude per negargli la funzione di guerra autonoma o di sorveglianza di massa.

La maggioranza riconosce le «nobili intenzioni» di Anthropic, sia in materia di privacy che di sicurezza dell'IA, ma le giudica irrilevanti. Aggiunge che una legge di sicurezza nazionale sugli appalti pubblici, priva di responsabilità penale o civile, si interpreta a favore dell'esecutivo in caso di ambiguità.

Il contrasto con la California è centrale. Il 27 agosto 2026, un tribunale federale aveva annullato la designazione fondata su 10 U.S.C. § 3252, la cui definizione riguarda un «avversario» e una «sovversione». La corte d'appello non contesta né questa lettura né l'assenza di malafede di Anthropic, ma giudica che la legge del 2018 sia molto più ampia.

Perché l'assenza di kill switch non basta

Anthropic sosteneva di non poter né accedere a un modello consegnato sui sistemi classificati, né modificarlo, né spegnerlo. Il Pentagono potrebbe quindi testare ogni nuova versione e conservare la precedente se non fosse adeguata.

La corte respinge l'argomento. Le restrizioni contestate «non si definiscono da sole»: esistono mille gradi di coinvolgimento umano in una decisione di targeting. Il sottosegretario Emil Michael sottolinea l'opacità di modelli che contano secondo lui «5-10 trilioni» di parametri, il che renderebbe qualsiasi audit rigoroso «matematicamente impossibile». Anthropic stessa riconosce che Claude può rispondere in modo diverso a seconda della formulazione di una richiesta.

Rifiutare gli aggiornamenti non è nemmeno un'opzione, secondo i giudici. Anthropic ha consegnato tre versioni di Claude Gov nel 2025, e Amodei stesso parla di sciami di droni autonomi che formano un'«armata imbattibile». Il Pentagono non può usare IA «congelate nell'ambra», taglia corto la corte.

Urgenza, procedura e Primo Emendamento

Sulle misure meno invasive, Anthropic denunciava uno stigma reputazionale. La corte ne dubita citando il Wall Street Journal, secondo cui l'azienda ha ricevuto offerte di investimento che la valutano a oltre 900 miliardi di dollari. L'idea di limitare l'esclusione ai soli sistemi sensibili è giudicata insufficientemente argomentata, e impraticabile per un modello integrato in altre applicazioni.

Sull'urgenza, la corte non si pronuncia nel merito e applica la regola dell'errore innocuo. Anthropic ha potuto rispondere già il 19 marzo e la sua richiesta di riesame è stata respinta il 3 giugno: un preavviso più tempestivo non avrebbe cambiato nulla. La procedura a posteriori basta anche rispetto al due process, tanto più che attacchi contro l'Iran, che secondo il WSJ usavano Claude, sono iniziati due giorni dopo il rifiuto di Anthropic.

Sulla libertà di espressione, la corte ammette che l'attivismo di Anthropic per un'IA sicura è protetto e che l'esclusione è una sanzione reale. Non vede però alcun nesso di causalità: il Pentagono ha lavorato con Anthropic per anni nonostante questo discorso. Le formule di Hegseth sulla «retorica moralista» e il «virtue-signaling» non cambiano nulla, perché il fondo della disputa resta il rifiuto di un «diritto di veto» sulle decisioni militari.

Il dissenso di Henderson: una delega d'autorità preoccupante

La giudice Karen LeCraft Henderson mantiene il senso stretto di «manipolare»: influenzare in modo «sottile, subdolo o sleale». Invoca i canoni noscitur a sociis ed ejusdem generis: una parola si comprende attraverso quelle che la circondano, e «sabotare» o «introdurre maliziosamente» colorano tutto il resto della lista.

Illustra il concetto con un regolamento di biblioteca immaginario: «non gridare, non telefonare rumorosamente, non ascoltare musica o altrimenti disturbare». Nessuno vi vedrebbe un divieto di ascoltare musica in cuffia. La maggioranza risponde che questo esempio funziona per un'altra ragione e che l'avverbio «maliziosamente» modifica solo il verbo che lo segue.

Il suo argomento più forte riguarda le conseguenze. Con la lettura adottata, qualsiasi fornitore che applichi onestamente e apertamente restrizioni già accettate dallo Stato diventa una minaccia potenziale. Il suo successore avrebbe la stessa scelta: cedere, oppure essere designato rischio per la sicurezza nazionale. Ricorda infine che la legge, secondo i lavori preparatori, mirava agli stati ostili e alle aziende «responsabili verso governi stranieri».

L'ultima parola all'esecutivo

La conclusione della maggioranza riconosce la difficoltà. Da un lato, modelli troppo limitati che smetterebbero di funzionare in piena operazione. Dall'altro, modelli senza vincoli che «allucinerebbero» bersagli per un attacco letale.

Entrambi i rischi riguardano la sicurezza nazionale, ritiene la corte. Ma «nella nostra Repubblica», spetta al presidente e al segretario alla Guerra arbitrare tra di essi. I ricorsi sono respinti.