Chi regola i rischi dell’IA? Quattro approcci, quattro livelli di obblighi

Una tutela annunciata non è necessariamente una tutela già esigibile. È questa la distinzione decisiva per leggere le regole sull’intelligenza artificiale al 20 settembre 2026: l’Unione europea aveva una legge generale con applicazione graduale; negli Stati Uniti convivevano iniziative federali e leggi dei singoli Stati; la Cina disciplinava i servizi di IA generativa con misure specifiche; Singapore puntava sulla normativa esistente e su strumenti di governance.7111416

Unione europea: una legge comune, scadenze diverse

L’AI Act è entrato in vigore nell’agosto 2024, ma le sue disposizioni non sono diventate tutte applicabili nello stesso momento.7 La legge segue un’impostazione basata sul rischio. Tra le pratiche vietate indicate dalla Commissione europea figurano la manipolazione o l’inganno dannosi, lo sfruttamento delle vulnerabilità delle persone, il social scoring — l’attribuzione di punteggi sociali — e la raccolta indiscriminata di immagini per creare banche dati di riconoscimento facciale.3 Fra gli ambiti ad alto rischio la Commissione cita biometria, infrastrutture critiche, istruzione, lavoro e controllo delle frontiere.6

Le date richiedono particolare attenzione. Nell’annunciare l’approvazione di misure di semplificazione, il Parlamento europeo ha indicato il 2 dicembre 2027 per gli obblighi relativi ai sistemi autonomi ad alto rischio e il 2 agosto 2028 per determinati sistemi integrati come componenti di sicurezza.5 Ha inoltre annunciato l’approvazione di un divieto riguardante sistemi che generano materiale di abuso sessuale su minori o determinati contenuti intimi non consensuali.5 L’approvazione parlamentare, da sola, non dimostra che ogni parte della misura fosse già applicabile il 20 settembre.

Le fonti disponibili non bastano a ricostruire qui l’intera classificazione dei rischi, tutti gli obblighi di etichettatura o ogni requisito tecnico previsto per i sistemi ad alto rischio. Sarebbe quindi fuorviante presentarli come un elenco completo.

Stati Uniti: agenzie federali e leggi statali

Gli Stati Uniti non avevano una legge federale organica sull’IA. Accanto alle iniziative dei singoli Stati operavano autorità federali già esistenti, fra cui la Federal Trade Commission, l’agenzia che vigila anche sulle pratiche commerciali scorrette. La preferenza della Casa Bianca per standard nazionali meno onerosi era un indirizzo politico, non una legge generale già approvata.1116

Il Colorado mostra quanto possa cambiare una disciplina statale: una legge del 2024 affrontava la discriminazione algoritmica nelle decisioni importanti prese con sistemi di IA ad alto rischio; una legge firmata nel maggio 2026 ne ha abrogato e sostituito le disposizioni, concentrandosi sulle tecnologie decisionali automatizzate. Le fonti disponibili non confermano la data da cui i nuovi requisiti diventavano applicabili.913 In California, invece, una rassegna giuridica segnala l’entrata in vigore, il 1° gennaio 2026, di leggi su chatbot «companion», trasparenza dei dati usati per addestrare l’IA e trasparenza dei modelli più avanzati.12

Non emerge dalle fonti una norma federale in vigore che imponga a livello nazionale un pulsante obbligatorio di arresto, o kill switch, per i sistemi di IA.

Cina: misure specifiche per l’IA generativa

Le misure provvisorie sull’IA generativa sono identificate come una disciplina amministrativa specifica per questi servizi.16 Un confronto pubblicato il 20 settembre descrive un quadro più ampio, sotto la supervisione dell’autorità cinese per il cyberspazio, attento alla liceità dei dati, all’etichettatura dei contenuti e alla tutela dei minori.1116

Le fonti fornite non consentono però di stabilire con precisione quali servizi debbano registrarsi, quali siano le condizioni dettagliate per l’uso dei dati di addestramento o se particolari tutele per i chatbot «companion» fossero già in vigore. Pause d’uso, verifiche dell’età e limiti alle relazioni virtuali con minori non vanno descritti come obblighi applicabili senza una conferma del loro stato giuridico.

Singapore: norme esistenti e strumenti di governance

Secondo il monitoraggio normativo disponibile, Singapore non aveva una legge unica dedicata direttamente all’IA: faceva leva su regole esistenti e su modelli di governance.16 Nel 2026, l’Infocomm Media Development Authority (IMDA) ha pubblicato un modello di governance per gli agenti di IA, ossia sistemi capaci di svolgere compiti con un certo grado di autonomia. La Personal Data Protection Commission (PDPC), autorità per la protezione dei dati personali, ha pubblicato invece linee guida proposte sull’uso dei dati personali nell’IA generativa.14

Un modello di governance non è automaticamente un obbligo di legge; una proposta non è una regola già vincolante. Le fonti disponibili non permettono di affermare che, al 20 settembre, raccomandazioni come l’approvazione umana delle azioni più rischiose degli agenti o specifici avvisi ai consumatori sull’uso dei loro dati per l’addestramento fossero obbligatorie.

La domanda utile, in tutti e quattro i casi, è la stessa: quale tutela si applica, a chi, in base a quale autorità e da quando? Senza queste risposte, una scadenza futura o una buona pratica rischia di essere scambiata per una norma già in vigore.