L'AI Act a due anni: quando la conformità diventa teatrale

Mi chiamo Thibault Marchand. Lavoro da più di quindici anni nel diritto dell'innovazione tra Bruxelles, Lussemburgo e Milano, e negli ultimi ventiquattro mesi ho seguito da molto vicino quello che molti considerano il testo normativo più importante del decennio: il Regolamento (UE) 2024/1689 sull'intelligenza artificiale, l'AI Act. Non solo: ho accompagnato aziende italiane e europee attraverso i meandri della sua implementazione, e quello che voglio dirvi oggi è che buona parte di quello che leggerete nei white paper delle grandi consultancy è una rappresentazione piuttosto lontana dalla realtà operativa.

Siamo a luglio 2026. Il regolamento è formalmente in vigore da più di due anni, e tuttavia il panorama delle conformità è miseramente parziale. Non è incompetenza. È strategia consapevole. E voglio spiegarvi come.

Il paradosso di Bruxelles: una norma senza denti reali

Cominciamo dai fatti. L'AI Act è entrato in vigore il 1° gennaio 2024, ma con un meccanismo di attuazione graduale particolarmente curioso: gli obblighi si sono sedimentati lentamente, per evitare il caos immediato. Questo era teoricamente saggio. Nella pratica, è diventato una leggittimazione del rinvio indefinito.

La struttura normativa poggia su una tiered risk approach, in cui i sistemi di IA sono classificati in base al livello di rischio. Questa parte è nota. Meno noto è che la maggior parte degli attori di mercato—dai piccoli sviluppatori ai giganti tech—ha operato una reclassificazione silente dei propri sistemi verso categorie di rischio inferiore. Come? Attraverso definizioni creative di cosa costituisca un high-risk system secondo l'articolo 6.

Nel sistema italiano, il nostro Garante per la protezione dei dati personali ha cercato di fornire linee guida interpretative (vedi i pareri del 2024-2025), ma queste hanno avuto eco limitato. Perché? Perché non hanno forza vincolante per chi opera a livello europeo. E qui sta il primo problema serio: la frammentazione interpretativa tra Stati membri.

La Commissione europea, attraverso il suo AI Office, ha promesso chiarimenti su cosa esattamente sia un sistema di high-risk, ma siamo nel 2026 e questi chiarimenti rimangono strumenti di soft law privi di valore cogente. Nel frattempo, i compliance officer aziendali affrontano il dubbio legittimo: devo investire secondo lo standard X o lo standard Y?

La trappola della documentazione: conformità apparente vs. conformità reale

Uno dei pilastri dell'AI Act è l'obbligo di documentazione tecnica e di mantenimento di registri sui sistemi di IA ad alto rischio. Articoli 11 e 48, per chi volesse verificare. In teoria, una bellissima idea: tracciabilità, controllo, responsabilità. In pratica, ho visto aziende compilare documentazioni lunghe decine di pagine che erano poco più che esercizi di fantasia creativa.

Il problema non è tanto la mancanza di standard—existono i European standards on AI della CEN e CENELEC—quanto il fatto che la loro natura tecnica li rende facilmente interpretabili. Una valutazione di conformità può essere condotta come una vera analisi dei rischi oppure come un ritual box-checking. Chi può verificare la differenza? Per ora, nessuno in modo sistematico.

In Italia, le PMI che sviluppano soluzioni di IA si trovano davanti a un bivio: investire seriamente in conformità strutturale (costi significativi, tempo, competenze rare) oppure seguire un approccio wait-and-see contando che le sanzioni amministrative previste (fino a 30 milioni di euro o il 6% del fatturato globale annuo—articolo 99) rimangono sulla carta finché non c'è enforcement concreto. La maggior parte ha scelto la seconda strada.

E qui arriviamo al punto critico: l'AI Act non dispone di un'autorità di enforcement centralizzata come il Garante italiano ha per il GDPR. Ogni Stato membro deve implementare propri meccanismi di vigilanza. L'Italia ha designato l'AGCOM e il Garante Privacy, in coordinamento con un nuovo Comitato nazionale per l'intelligenza artificiale. Ma questi organismi hanno risorse inferiori a quelle che sarebbero necessarie per controllare efficacemente il mercato.

I sistemi di IA generativa: la clausola di fuga maestra

Voglio soffermarmi su un aspetto che raramente riceve la giusta attenzione: come l'AI Act gestisce i general-purpose AI models (GPAI), cioè i modelli come ChatGPT, Claude, Gemini. L'articolo 6 ne dà una definizione circolare: un modello che può essere efficacemente usato per un'ampia gamma di attività diverse. Splendido. Ma cosa significa efficacemente? E chi lo determina?

La risposta normativa è ancora vaga due anni dopo l'entrata in vigore. I fornitori di modelli foundation (OpenAI, Anthropic, Meta, eccetera) hanno interpretato gli obblighi di trasparenza in modo minimale. La sezione 52A del regolamento richiede che forniscano summary of the energy consumption, information on training data, e computational resource estimates. Ma i livelli di dettaglio forniti sono spesso generici, quando non del tutto lacunosi. E il motivo non è la malafede: è che nessuno ha stabilito precisamente cosa significhi sufficient transparency.

Nel sistema italiano, la mancanza di linee guida specifiche ha reso ancora più difficile per le startup e le aziende medie che costruiscono sistemi di IA generativa decidere come conformarsi. Devono seguire lo standard europeo o aspettare indicazioni italiane? Spesso scelgono di seguire direttamente i dettami delle grandi piattaforme americane, trasformando l'AI Act in una carta facoltativa.

Il GDPR come contrappeso: conflitti irrisolti

Un aspetto che meriterebbe un articolo a sé stante è la relazione tra AI Act e GDPR. Sono regolamenti paralleli ma non sempre coerenti. L'AI Act richiede valutazioni di impatto ex-ante per sistemi ad alto rischio (articolo 27). Il GDPR richiede Data Protection Impact Assessment (DPIA) per trattamenti ad alto rischio. Cosa accade quando un'azienda deve svolgere entrambe? Teoricamente, possono essere integrate. Nella pratica, ho visto aziende creare due processi paralleli perché nessuno sa esattamente come fonderli senza perdere la conformità a uno dei due.

Inoltre—e questo è cruciale—il GDPR copre esplicitamente il dato personale. L'AI Act copre il sistema di IA indipendentemente dal fatto che tratti dati personali. Questa differenza ha implicazioni enormi. Un sistema di IA che analizza dati sintetici o anonimizzati è soggetto all'AI Act ma non al GDPR. Nessuno sa bene come applicare il principio di accountability dell'AI Act senza il quadro di responsabilità che il GDPR fornisce.

Il ruolo degli algoritmi di bias detection: una costante finta

L'AI Act richiede esplicitamente (articolo 15) che i sistemi di IA ad alto rischio includano strumenti per identificare e mitigare i bias. Bellissimo sulla carta. Ma la richiesta pone un'ironia filosofica che l'Europa ha evitato di affrontare: come si misura il bias se la scienza non dispone ancora di metriche universalmente accettate per questo?

Ci sono framework come NIST's AI Risk Management Framework, ISO/IEC 42001, e il White House AI Executive Order americano che suggeriscono approcci, ma nessuno è vincolante in Europa. Le aziende implementano test di bias usando metodologie diverse—equalized odds, statistical parity, disparate impact ratios—senza che ci sia una gerarchia normativa tra questi metodi. Il risultato? Una conformità che è valida secondo la norma ma scientificamente incoerente.

Particolarmente rilevante per l'Italia è il fatto che molte aziende italiane nel settore dell'IA applicata (fintech, healthcare, recruitment) utilizzano modelli sviluppati su dati da popolazioni diverse dalla popolazione italiana. Un sistema di bias detection ottimizzato per un contesto svedese potrebbe non catturare i bias rilevanti in un contesto meridionale o per minoranze linguistiche. L'AI Act non affronta questa dimensione geopolitica del bias.

Le sanzioni: teatralità normativa a bassissima intensità

Parliamo delle sanzioni. L'articolo 99 dell'AI Act prevede ammende fino a 30 milioni di euro o il 6% del fatturato globale annuo. Sembra terrificante. Finché non guardi i dati reali di enforcement.

A luglio 2026, l'Unione europea ha comminato—e parlo di sentenze effettive, non di procedimenti avviati—zero sanzioni ex AI Act. Zero. Nello stesso periodo, il GDPR ha generato centinaia di decisioni e decine di sanzioni significative (si pensi all'Ufficio del Garante italiano che ha inflitto 20 milioni di euro a TIM nel 2024, per citare una decisione che conosco bene).

Perché la disparità? Perché il GDPR è maturo, interpretato da decenni di giurisprudenza, e dotato di un'architettura di responsabilità chiarissima. L'AI Act è ancora in fase di costruzione interpretativa. Nessun Garante europeo vuole commettere l'errore di lanciare una sentenza che venga poi rovesciata in appello. Meglio attendere.

Nel frattempo, le aziende sanno che il rischio reale è esiguo. Un'azienda italiana che vende un sistema di IA ad alto rischio senza piena conformità all'AI Act non teme verdaderamente le conseguenze nell'immediato. E questo erode ogni incentivo a conformarsi veramente.

La soluzione che nessuno osa nominare: la revisione è già necessaria

Siamo ormai due anni dall'entrata in vigore del regolamento, e non è uno scandalo dire che la struttura presenta lacune enormi. Non perché la Commissione sia stata incompetente, ma perché nessuno poteva prevedere esattamente come l'industria avrebbe reagito e quali sarebbero stati i veri punti critici.

Una revisione seria dell'AI Act—e probabilmente una direttiva europea che armonizzi gli approcci di enforcement—è già necessaria. Ma questa revisione non avverrà prima del 2027-2028, se non oltre. Nel frattempo, viviamo in un regime di conformità facoltativa mascherata da conformità obbligatoria.

L'Italia, in particolare, deve fare una scelta strategica. Può continuare a delegare all'interpretazione bruxellese, oppure può iniziare a costruire una giurisprudenza amministrativa propria che fornisca chiarezza ai propri operatori. La Francia, non a caso, si è mossa in questa direzione con la sua Loi IA parallela nel 2024. La Germania prepara esattamente lo stesso. L'Italia rimane al palo.

Una domanda scomoda per il lettore

Cosa succederebbe se domani scoprissimo che il 40% dei sistemi di IA considerati a basso rischio dalle aziende avrebbe dovuto essere classificato come ad alto rischio secondo un'interpretazione più rigorosa dell'AI Act? Cosa accadrebbe al principio di legal certainty europeo su cui le aziende hanno costruito le loro decisioni di compliance?

È una domanda che nessuno in Commissione vuole affrontare, perché la risposta implicherebbe ammettere che il quadro normativo è meno solido di quanto proclamato. Eppure, è esattamente quello che rischia di accadere quando l'enforcement comincerà veramente. E per chi scrive, questa è la vera lezione: non la norma è cattiva, ma l'implementazione è rimasta incompiuta, permettendo a una conformità teatrale di convivere con la conformità genuina, indistinguibili fino al momento dell'ispezione.