Con l’approvazione definitiva della legge nazionale sull’intelligenza artificiale, l’Italia inaugura una nuova fase nella regolazione del digitale. Si tratta del primo Stato dell’Unione Europea a dotarsi di un impianto normativo coerente in materia, articolato in sei Capi per un totale di ventotto articoli. L’obiettivo è governare lo sviluppo e l’impiego dei sistemi di IA in ambito sia pubblico sia privato, cercando un equilibrio tra impulso all’innovazione, requisiti di sicurezza e garanzie per i diritti fondamentali. Oltre la forma, però, permangono zone d’ombra che pongono interrogativi sul piano dell’efficacia operativa.
Struttura normativa e modelli di governance
Il testo individua due fulcri istituzionali per la regolazione e la supervisione: l’Agenzia per la Cybersicurezza Nazionale (ACN), incaricata della sicurezza tecnica, e l’Agenzia per l’Italia Digitale (AgID), competente per la ricezione di notifiche, il coordinamento e la valutazione delle applicazioni di IA. Si tratta però di enti governativi e non di autorità indipendenti, una scelta che solleva dubbi sull’imparzialità del controllo, soprattutto in aree ad alto impatto sociale dove la neutralità non è un’opzione accessoria, ma un requisito imprescindibile.
Il governo potrà adottare decreti attuativi in numerosi ambiti, ampliando così il proprio potere regolativo e riducendo, di fatto, il peso di un processo decisionale inclusivo e trasparente. L’assenza di contropoteri adeguati rischia di minare la legittimità della governance, in particolare nei settori più delicati come la giustizia, la sanità e la sicurezza pubblica.
La spinta verso l’accentramento viene presentata come una strategia per garantire coerenza operativa e rapidità nelle scelte, a beneficio anche dell’attrattività per gli investimenti. Ma il pericolo latente è quello di un impianto normativo poco trasparente, difficilmente influenzabile dal confronto democratico e scarsamente predisposto a correzioni di rotta o dinamiche partecipative.
Allineamento all’AI Act: simbolo o funzionalità?
La nuova legge incorpora alcuni cardini dell’AI Act, come la classificazione dei sistemi in base ai livelli di rischio e la previsione di obblighi modulati per gli ambiti più complessi. Tuttavia, molte disposizioni paiono avere una valenza più simbolica che operativa: la ripetizione di definizioni e principi già contenuti nel regolamento europeo può alimentare una sovrapposizione normativa non realmente produttiva.
L’efficacia dipenderà dalla capacità dell’ordinamento italiano di armonizzare queste regole con il quadro europeo, in modo efficiente e competente sul piano tecnico. Le sfide non mancheranno: i tempi lenti della burocrazia si scontrano con un’evoluzione tecnologica che procede senza soste.
Settori delicati e nodi critici: sanità, sicurezza e dati
Particolare rilievo viene attribuito alla regolazione dei cosiddetti settori sensibili, con la sanità in primo piano. L’articolo 8 autorizza l’uso di dati sanitari personali a fini di ricerca scientifica anche in assenza del consenso esplicito dell’interessato, purché vengano eliminati gli identificatori diretti. Il tutto viene comunicato tramite una generica informativa sul sito web del titolare del trattamento, una forma minima di trasparenza che indebolisce il diritto degli utenti a comprendere e, eventualmente, rifiutare.
Del tutto assente è un meccanismo di opt-out. Inoltre, il principio di minimizzazione dei dati – uno dei pilastri del GDPR – non trova un’attuazione chiara, lasciando spazio a interpretazioni estensive. Un’impostazione che espone a rischi, soprattutto quando i soggetti coinvolti sono categorie fragili come minori, persone con disabilità o pazienti vulnerabili.
Un dettaglio apparentemente secondario ma indicativo è l’inclusione, nello stesso articolo, dei dati relativi alla performance sportiva, anche a livello amatoriale. Se da un lato la norma protegge gli interessi economici degli organizzatori, dall’altro non propone tutele simmetriche per gli atleti, esposti a profilazioni e valutazioni automatizzate non sempre giustificate.
Un’ulteriore area di criticità è rappresentata dall’esclusione dal campo di applicazione della legge delle attività di IA impiegate per la sicurezza nazionale. In linea con l’AI Act, la normativa italiana lascia agli Stati la piena autonomia in materia di difesa e intelligence. Tuttavia, in mancanza di meccanismi di controllo indipendenti, tale esclusione rischia di tradursi in una zona franca immunizzata da ogni verifica, con potenziali effetti sul rispetto delle libertà individuali.
TDM e proprietà intellettuale: il rischio di incertezza
La legge tocca anche le implicazioni dell’IA sulla proprietà intellettuale, pur restando su un piano ancora incompleto. Si riafferma che i contenuti generati da sistemi automatizzati non possano essere protetti da copyright, salvo dimostrazione di un apporto creativo umano. Un principio coerente con l’orientamento della Corte di Giustizia dell’UE, ma che lascia aperti molti quesiti nei casi ibridi, dove valutare il peso effettivo dell’intervento umano è tutto fuorché semplice.
Più complessa ancora è la disciplina del text and data mining (TDM). Pur recependo la Direttiva Copyright, che consente l’estrazione di dati da fonti online per finalità di ricerca o sviluppo, la norma non prevede standard tecnici univoci per l’opt-out da parte dei titolari dei diritti. Senza modalità condivise per segnalare queste esclusioni, né una definizione solida di “accessibilità”, l’applicazione concreta resta incerta.
Il confronto con contesti normativi più flessibili, come il fair use statunitense, evidenzia un certo svantaggio competitivo. In mancanza di certezze, imprese e soggetti di ricerca in Italia potrebbero trovarsi disincentivati, preferendo operare in ambienti meno frammentati e più favorevoli all’innovazione.
Oltre la norma: la sfida dell’attuazione
Quella varata è una legge importante: rappresenta il primo tentativo sistemico, da parte di uno Stato membro, di regolare in maniera organica uno dei campi più dinamici del futuro digitale. Ma tutto dipenderà dalla sua traducibilità in pratiche efficaci. Senza linee guida operative, organismi realmente indipendenti e strumenti di controllo affidabili – soprattutto sul fronte della tutela dei diritti civili – il rischio è quello di un impianto normativo poco incisivo.
Un sistema normativo pensato per una tecnologia in continua trasformazione deve essere modulare, aggiornabile e capace di adattarsi nel tempo. Anche il meccanismo delle deleghe al governo richiede un bilanciamento. Accentrare può favorire l’efficienza, ma impoverisce il dialogo democratico e riduce lo spazio per il controllo pubblico.
Il decennio a venire sarà cruciale per ridefinire il rapporto tra intelligenza artificiale, governance e libertà fondamentali. L’Italia ha fatto una prima mossa, ma affinché si trasformi in un modello, occorre passare dalla formulazione delle norme alla costruzione condivisa dei processi. Solo un coinvolgimento attivo della comunità tecnica, imprese, istituzioni, centri di sapere, potrà garantire che l’innovazione cammini di pari passo con la responsabilità e la trasparenza.
