Vai al contenuto
Hiclix
Menu
Prenoti una call

IA: cosa cambia per i suoi prodotti il divario tra Washington e Bruxelles

· Tarek Nachnouchi

Illustrazione in carta ritagliata: due bilance ai lati dell'Atlantico, una quasi vuota, l'altra carica di documenti, simbolo del divario di regolamentazione dell'IA tra Stati Uniti ed Europa.

Il 29 settembre i vertici dell'IA americana hanno firmato alla Casa Bianca un impegno volontario, privo di meccanismi vincolanti. In Europa gli obblighi di trasparenza dell'AI Act si applicano dal 2 agosto. Penso che un prodotto progettato secondo la regola europea si venda più facilmente su entrambe le sponde dell'Atlantico, a patto di rispettare il calendario.

Cosa è stato firmato a Washington

Il 29 settembre Donald Trump ha firmato con Sundar Pichai (Google), Dario Amodei (Anthropic), Mark Zuckerberg (Meta), Greg Brockman (OpenAI), Jensen Huang (Nvidia) ed Elon Musk un «impegno congiunto». CBS News descrive i quattro livelli di controllo previsti: controlli interni, un team interno di verifica, un audit esterno e la revisione da parte di un comitato del consiglio di amministrazione. Il testo precisa che «con il tempo, potrebbe essere opportuno» trasformare questi passaggi in leggi. Il presidente lo ha definito «moralmente vincolante». Secondo The Guardian, il documento non prevede alcun meccanismo di applicazione.

Al Congresso nulla si muove. La newsletter DC/ai Decoded del 5 ottobre riferisce che diversi testi sull'IA sono stati bloccati prima della pausa elettorale. Le elezioni di metà mandato si tengono il 3 novembre.

La storia del Colorado

Nel 2024 il Colorado aveva approvato la legge sull'IA più ambiziosa degli Stati Uniti. Imponeva un dovere di diligenza e valutazioni d'impatto a sviluppatori e utilizzatori di sistemi ad alto rischio. Il sito CrossGov ricostruisce il seguito.

Nel dicembre 2025 un ordine esecutivo presidenziale crea una task force del Dipartimento di Giustizia incaricata di contestare le leggi statali, e vincola circa 21 miliardi di dollari di fondi per la banda larga. Il Dipartimento del Commercio deve elencare le leggi ritenute troppo onerose, e l'ordine cita quella del Colorado. Nell'aprile 2026 xAI impugna la legge in tribunale e il governo federale chiede di unirsi al procedimento. Il procuratore generale dello Stato ne sospende l'applicazione. Il 14 maggio il governatore firma un testo sostitutivo. Abbandona il dovere di diligenza e le valutazioni d'impatto. In cambio riconosce alle persone un diritto di informazione, accesso, rettifica e revisione umana delle decisioni automatizzate, a partire dal 1° gennaio 2027.

Ciò che ricavo da questo episodio: una legge statale può essere riscritta in pochi mesi sotto pressione federale. Un'azienda europea che vende negli Stati Uniti deve quindi seguire un bersaglio mobile, Stato per Stato. La legge californiana SB 53, applicata dal 1° gennaio 2026, riguarda i maggiori sviluppatori di modelli; resta in vigore.

Il calendario europeo

In Europa il quadro è definito e il calendario si è spostato. L'omnibus sull'IA è entrato in vigore il 27 luglio 2026. Rinvia le regole sui sistemi ad alto rischio dell'allegato III al 2 dicembre 2027, e quelle sui prodotti fisici dell'allegato I al 2 agosto 2028. Gli obblighi di trasparenza dell'articolo 50 si applicano invece dal 2 agosto 2026: informare le persone che interagiscono con un sistema di IA, marcare i contenuti generati, segnalare i deepfake.

Per aiutare le aziende, il 10 giugno la Commissione ha pubblicato un codice di buone pratiche sulla trasparenza dei contenuti generati. È volontario. Secondo la Commissione, circa 190 organizzazioni lo avevano firmato a fine luglio. Il 30 settembre oltre 90 firmatari hanno avviato due gruppi di lavoro, sulla marcatura e sull'etichettatura, presieduti dall'Ufficio per l'IA.

Sulla cybersicurezza, la direttiva NIS2 procede a velocità diverse. In Italia è già recepita dal decreto legislativo 138/2024. Secondo l'ACN, i soggetti inseriti per la prima volta nell'elenco NIS nel 2026 devono notificare gli incidenti significativi dal 1° gennaio 2027 e adottare le misure di sicurezza di base entro il 31 luglio 2027. In Francia, invece, la legge di recepimento è stata di nuovo ritirata dall'ordine del giorno dell'Assemblea nazionale il 6 ottobre, senza nuova data, secondo Leto. Al 19 ottobre non figura ancora tra i testi in calendario fino al 29 ottobre.

Cosa consiglio

  1. Assuma l'AI Act come capitolato di base. Un prodotto che informa l'utente, marca i contenuti e documenta i propri usi soddisfa la regola più esigente dei suoi mercati.
  2. Classifichi subito i suoi usi. Elenchi ogni funzione IA dei suoi prodotti e indichi se rientra nell'articolo 50, nell'alto rischio o in nessun obbligo. Dati questa classificazione.
  3. Sfrutti la scadenza del 2027. Il rinvio lascia poco più di un anno per preparare la documentazione dei sistemi ad alto rischio. Avvierei il lavoro già in questo trimestre, prima che i team siano assorbiti da altre priorità.
  4. Segua gli Stati americani in cui vende. Il nuovo testo del Colorado entra in vigore il 1° gennaio 2027. Preveda la revisione umana delle decisioni automatizzate se ha clienti lì.
  5. Legga gli impegni dei suoi fornitori. L'accordo del 29 settembre non crea alcun obbligo contrattuale nei suoi confronti. Chieda ai fornitori di modelli i loro impegni scritti su sicurezza, audit e notifica degli incidenti.
  6. Verifichi la sua posizione NIS2 in ogni paese. Controlli se la sua organizzazione rientra nel perimetro, come soggetto essenziale o importante, in Italia e negli altri paesi in cui opera. Nomini fin d'ora la persona responsabile della governance del rischio cyber.

È il tipo di roadmap che costruisco con i team in una missione di gestione di progetti digitali.

Calendario di azioni

ScadenzaRegolaChi è interessatoAzione
Dal 02/08/2026AI Act, articolo 50 (trasparenza)Fornitori e deployer di alcuni sistemi di IA (dialogo, contenuti generati)Informare, marcare, segnalare
01/01/2027Colorado, legge sulle decisioni automatizzateAziende che usano queste decisioni in ColoradoInformazione, accesso, rettifica, revisione umana
01/01/2027NIS2 in Italia (soggetti inseriti nell'elenco nel 2026)Soggetti essenziali e importantiNotifica degli incidenti significativi
31/07/2027NIS2 in Italia (soggetti inseriti nell'elenco nel 2026)Soggetti essenziali e importantiMisure di sicurezza di base
02/12/2027AI Act, alto rischio (allegato III)Fornitori e utilizzatori di sistemi ad alto rischioDocumentazione e conformità
02/08/2028AI Act, alto rischio (allegato I)Prodotti fisici che integrano IAValutazione di conformità
Data sconosciutaNIS2 in FranciaSoggetti essenziali e importantiVerificare il perimetro, nominare un responsabile

Cosa ne ricavo

L'Europa ha deciso chi stabilisce la regola e discute del calendario. Gli Stati Uniti discutono ancora di chi debba regolamentare. Penso che questo divario durerà almeno fino al 2027. Tornerò sull'argomento dopo le elezioni del 3 novembre.

Fonti

Se desidera parlarne per la sua organizzazione, le propongo un primo colloquio di 30-45 minuti, gratuito e senza impegno.

Prenoti una call