Il deposito del 16 settembre 2026
Il 16 settembre 2026 la Corte d'Appello per il Nono Circuito ha depositato l'opinione nel caso Doe v. GitHub, Inc. (No. 24-7700)[1], e conferma il rigetto parziale disposto dal giudice distrettuale.
Il caso sale in appello per via interlocutoria, ai sensi del 28 U.S.C. § 1292(b). Il fascicolo di primo grado porta il numero 4:22-cv-06823-JST, davanti al giudice Jon S. Tigar, Distretto Nord della California.
Il collegio riunisce i giudici di circuito Sidney R. Thomas ed Eric D. Miller, con il giudice distrettuale Stanley Blumenfeld, Jr., in designazione. L'opinione porta la firma del giudice Miller. La causa era stata discussa l'11 febbraio 2026 a San Francisco.
Sul banco ci sono GitHub Copilot e Codex, strumenti che scrivono codice usando modelli linguistici addestrati su milioni di progetti software ospitati sulla piattaforma.
Due piani che le imprese trattano come uno
La decisione separa due questioni che i consigli di amministrazione trattano come una questione unica: chi può agire in giudizio e quale norma dà ragione a chi agisce.
Sul primo piano i programmatori vincono. Il collegio riconosce lo standing ex Articolo III, perché gli attori hanno allegato in modo plausibile un rischio sostanziale di danno.
Sul secondo piano il risultato si ribalta. La corte esclude che quelle allegazioni integrino una claim ai sensi della § 1202(b) del DMCA, la disposizione che protegge le informazioni sulla gestione del diritto d'autore.
La distinzione pesa sul bilancio del rischio. Una porta processuale aperta, con una teoria di merito chiusa, produce contenzioso che dura, costa e migra verso altre basi giuridiche. Il segnale di governance è questo: la soglia di accesso al giudice resta bassa, la soglia della responsabilità si alza.
La teoria «output» e il motivo del rigetto
Gli attori sostenevano che Copilot e Codex riproducessero il loro codice privandolo dell'attribuzione.
La § 1202(b) colpisce la rimozione o l'alterazione delle informazioni sulla gestione dei diritti da una copia di un'opera protetta esistente. Il collegio applica la lettera della norma e conclude che gli strumenti creano opere nuove, prive fin dall'origine di quelle informazioni.
Il passaggio è tecnico e decisivo. Una copia spogliata dell'attribuzione rientra nella fattispecie; un output che nasce già privo di attribuzione resta fuori dal perimetro.
Chi legge la pronuncia come un'assoluzione generale dei modelli generativi forza il testo. Il collegio decide su una singola disposizione del DMCA, in una singola fase processuale, dentro il perimetro delle allegazioni portate dagli attori. Le altre teorie restano dove erano.
La teoria «input» resta sul tavolo
Il punto più rilevante per i prossimi dodici mesi sta in una riga di procedura.
Il collegio rifiuta di esaminare la teoria «input» della responsabilità DMCA e la dichiara rinunciata. La questione resta processuale: riguarda il modo in cui l'argomento è stato portato nei gradi precedenti, e lascia il merito intatto.
Per il General Counsel la lettura è diretta. Una teoria dichiarata forfeited in questo fascicolo resta disponibile ad altri attori, in altri procedimenti, con allegazioni costruite meglio fin dal primo grado. L'esposizione legata alla fase di addestramento rimane quindi aperta, e una difesa calibrata sull'esito «output» risulta sbilanciata.
La domanda sulla generazione dell'output ha ricevuto risposta. Una seconda domanda, quella sull'ingestione dei dati di addestramento, si è aperta.
La mappa dell'esposizione per chi ha già gli assistenti in produzione
Per un'organizzazione che usa assistenti di codice in produzione, la pronuncia ridisegna la mappa dell'esposizione, invece di cancellarla.
Il rigetto della claim § 1202(b) chiude una via. Restano percorribili le altre: la violazione classica del diritto d'autore, il rispetto delle licenze open source e dei loro obblighi di attribuzione, il contratto con il fornitore dello strumento, la tutela del segreto industriale.
Molte licenze libere legano l'uso alla conservazione dell'avviso di attribuzione. Un assistente che restituisce codice privo di quell'avviso sposta il problema dal DMCA al diritto delle licenze e dei contratti. Il perimetro cambia, l'obbligo di verifica resta.
Qui serve un nome. Quale ruolo, per iscritto e prima del deployment, risponde della provenienza e dell'attribuzione del codice generato in azienda? Un framework che lascia la domanda aperta produce documentazione, invece di governance.
Il piano europeo si muove su un'altra norma
La decisione vincola i tribunali federali del Nono Circuito. Chi opera in Europa risponde a un impianto diverso, con altri obblighi e altri arbitri.
Il Regolamento (UE) 2024/1689, l'AI Act, è in vigore dal 1° agosto 2024. Gli obblighi sui modelli di uso generale si applicano dal 2 agosto 2025; gli obblighi di trasparenza dell'Articolo 50 dal 2 agosto 2026.
Il framework europeo chiede quindi tracciabilità del modello e informazione all'utente, invece di una regola sull'attribuzione del singolo frammento di codice.
Sul fronte dei dati personali le autorità agiscono già con continuità. Il Comitato europeo per la protezione dei dati ha dato conto della sanzione da 300.000 euro inflitta dal CNIL alla società Extia per mancato rispetto dei diritti degli interessati, come riporta la nota pubblicata sul sito dell'EDPB[2]. La materia è diversa, e il piano dell'enforcement europeo si vede bene: procedura, diritti, prova documentale.
Tre decisioni per il board
La decisione trasforma tre questioni astratte in scelte con una scadenza.
- General Counsel: mappare i contratti con i fornitori di assistenti di codice e stabilire chi assume l'obbligo di indennizzo sulla proprietà intellettuale.
- Chief Risk Officer: aggiornare il registro dei rischi separando la voce DMCA dalla voce licenze open source, con due valutazioni distinte e due titolari distinti.
- Board Audit e Risk Committee: chiedere al management il nome del ruolo che risponde della provenienza del codice generato, e la data della prossima verifica.
La verifica va condotta per iscritto, con esiti datati e archiviati. L'audit resta richiesto; la sua portata è cambiata.
Al CEO resta una decisione strategica vincolata: quali progetti dipendono da codice generato, e quale livello di controllo l'azienda finanzia prima del rilascio. La compliance costruita adesso funziona come vantaggio competitivo, invece che come costo.
Orizzonte regolatorio
Stato attuale: l'opinione è depositata il 16 settembre 2026 ed è efficace nel Nono Circuito. Il giudizio di primo grado prosegue sulle domande rimaste vive davanti al Distretto Nord della California.
Giurisdizione: federale statunitense per il DMCA, con effetto diretto sugli Stati del Nono Circuito, California inclusa. Per i deployer europei il riferimento resta il Regolamento (UE) 2024/1689, applicabile per fasi.
Scadenze: gli obblighi di trasparenza dell'Articolo 50 si applicano dal 2 agosto 2026, e i lavori attuativi dell'AI Office proseguono. Le organizzazioni che oggi nominano un ruolo, tracciano la provenienza e archiviano gli esiti arrivano preparate alla fase attiva dell'enforcement.
Una via è chiusa nel Nono Circuito. La mappa, nel resto del mondo, resta da percorrere.
Questo articolo è stato redatto da un autore editoriale AI con supervisione umana, in conformità agli obblighi di trasparenza del Regolamento (UE) 2024/1689 (AI Act, Art. 50). Le fonti sono linkate nel testo.
Article by ATLAS
Fonti
- opinione nel caso Doe v. GitHub, Inc. (No. 24-7700) 16 set 2026 (courtlistener.com)
- nota pubblicata sul sito dell'EDPB (edpb.europa.eu)