Che cos’è la governance dell’IA

La governance dell’IA è l’intreccio di leggi, standard, istituzioni e norme che decide come l’IA può essere costruita e usata, e chi ne risponde quando qualcosa va storto. Questo articolo mappa i principali strumenti e attori e mostra che cosa significano per una scuola, un ospedale o un comune.

Quattro livelli, non un unico insieme di regole

La governance viene spesso immaginata come una singola legge. In pratica funziona attraverso più livelli che si rafforzano a vicenda, e una lacuna in uno di essi viene di solito colmata, bene o male, da un altro.

• Diritto vincolante: obblighi accompagnati da controlli e sanzioni, come l’AI Act dell’UE o la normativa sulla protezione dei dati.
• Standard e quadri di riferimento: metodi condivisi che traducono i doveri giuridici in pratiche verificabili.
• Istituzioni: autorità di regolazione, organismi di vigilanza e tribunali che interpretano, vigilano e fanno rispettare le regole.
• Norme: etica professionale, politiche interne e aspettative del pubblico che orientano i comportamenti prima che arrivi un ispettore.

Diritto vincolante: l’AI Act dell’UE e gli strumenti che lo affiancano

L’AI Act dell’UE, il regolamento (UE) 2024/1689, in vigore dal 1° agosto 2024, è la prima legge vincolante e organica sull’IA e si applica per fasi, in base al rischio. Un numero ristretto di pratiche è vietato dal 2 febbraio 2025, e i fornitori di modelli di IA per finalità generali hanno obblighi propri dal 2 agosto 2025. I sistemi utilizzati per le finalità elencate dal regolamento in ambiti come occupazione, istruzione, affidabilità creditizia, prestazioni sociali e attività di contrasto sono ad alto rischio e devono rispettare requisiti in materia di gestione del rischio, qualità dei dati, documentazione, supervisione umana e robustezza. Questi requisiti avrebbero dovuto applicarsi dal 2 agosto 2026, e dal 2 agosto 2027 per l’IA ad alto rischio presente in prodotti già coperti dalla legislazione dell’UE sui prodotti, come i dispositivi medici; nel luglio 2026 un regolamento modificativo, l’omnibus digitale sull’IA (regolamento (UE) 2026/1744), li ha rinviati rispettivamente al 2 dicembre 2027 e al 2 agosto 2028.

L’articolo 22 del GDPR aggiunge il diritto di non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o effetti altrettanto significativi, con eccezioni e garanzie come l’intervento umano. Al di fuori dell’UE, la Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale, aperta alla firma nel settembre 2024, è il primo trattato internazionale giuridicamente vincolante sull’IA e impegna gli Stati che la ratificano a proteggere i diritti umani, la democrazia e lo Stato di diritto.

Standard: trasformare gli obblighi in prove

Le leggi indicano per lo più risultati, non metodi; gli standard traducono un dovere come la gestione del rischio in test, registrazioni e prove. La ISO/IEC 42001 (2023) è uno standard sui sistemi di gestione per l’IA: l’organizzazione definisce politiche, assegna ruoli, valuta i rischi e migliora in modo continuo. L’AI Risk Management Framework 1.0 del NIST (gennaio 2023) è un quadro di riferimento volontario statunitense costruito attorno a quattro funzioni: governare, mappare, misurare e gestire. Nell’UE, le norme tecniche armonizzate richieste dalla Commissione danno ai fornitori una presunzione di conformità una volta pubblicate nella Gazzetta ufficiale dell’Unione europea, e il Codice di buone pratiche per l’IA per finalità generali (2025), facilitato dall’Ufficio per l’IA dell’UE, offre ai fornitori di modelli una via analoga per dimostrare la conformità.

Individuare i bias in un modello per le assunzioni o per il credito, ad esempio, richiede di solito attributi sensibili come l’origine etnica o lo stato di salute. L’articolo 4a dell’AI Act, aggiunto nel 2026, consente di trattare questi dati per il rilevamento e la correzione dei bias solo in presenza di garanzie e solo quando dati sintetici o anonimizzati non basterebbero allo scopo. Il rapporto tecnico della Fondazione sul rilevamento dei bias ai sensi dell’articolo 4a dell’AI Act dell’UE esamina quando i dati sintetici, anonimizzati o protetti con la privacy differenziale sono sufficienti e dove invece non bastano.

Istituzioni: chi interpreta, vigila e fa rispettare le regole

Nell’UE, l’Ufficio per l’IA presso la Commissione europea vigila sui modelli di IA per finalità generali e coordina l’attuazione; le autorità nazionali di vigilanza del mercato controllano i sistemi ad alto rischio; gli organismi notificati verificano alcuni sistemi ad alto rischio prima dell’immissione sul mercato; le autorità per la protezione dei dati fanno applicare il GDPR; i tribunali decidono i casi controversi.

Le istituzioni internazionali per lo più coordinano, non fanno rispettare le regole. I Principi dell’OCSE sull’IA (2019, aggiornati nel 2024) sono stati il primo standard intergovernativo sull’IA, e la Raccomandazione dell’UNESCO sull’etica dell’intelligenza artificiale (2021) ha allargato quel consenso. I vertici sull’IA di Bletchley Park (2023) e Seul (2024) hanno riunito governi e sviluppatori attorno ai rischi dei modelli di frontiera, e diversi Paesi hanno creato istituti per la sicurezza dell’IA. Il Vertice per l’azione sull’IA di Parigi (2025) ha poi spostato l’accento su un’IA inclusiva e sostenibile. Nessuno di essi può multare un’azienda; agiscono attraverso impegni, pressione tra pari e lavoro tecnico preparatorio che può poi confluire nelle leggi.

I compromessi a cui nessun quadro normativo sfugge

Ogni assetto normativo bilancia valori in concorrenza tra loro. Le regole dettagliate danno certezza ma invecchiano in fretta; i principi generali si adattano ma lasciano le organizzazioni nell’incertezza. I controlli prima dell’immissione sul mercato individuano i problemi in anticipo ma richiedono tempo e tendono a favorire le imprese più grandi; la responsabilità successiva al danno costa meno all’inizio ma pone rimedio tardi. Con l’AI Act la maggior parte degli obblighi ricade sui fornitori, ma i deployer, cioè gli utilizzatori, devono comunque usare il sistema secondo le istruzioni, affidare la supervisione umana a personale formato e monitorarlo durante l’uso, spesso con team ridotti.

Un comune che usa uno strumento che assegna punteggi per classificare le domande di prestazioni sociali opera in un ambito che l’AI Act considera ad alto rischio; se le decisioni vengono prese senza un coinvolgimento umano effettivo, l’articolo 22 del GDPR si applica già oggi. Un ospedale che acquista un software diagnostico che è esso stesso un dispositivo medico, o che è integrato in uno, rientra nella transizione più lunga fino al 2028, perché il dispositivo è già soggetto alle regole europee sui prodotti. Una scuola che adotta un servizio di tutoraggio basato sull’IA è di solito un deployer, non un fornitore ai sensi del regolamento, e questo cambia i suoi doveri e che cosa dovrebbe chiedere a chi le vende il servizio.

Che cosa tenere a mente

Per chiunque acquisti, costruisca o supervisioni un sistema di IA, la governance si riduce in gran parte a tre cose.

• Ruolo: se l’organizzazione è un fornitore, un deployer o entrambi.
• Categoria di rischio: quale si applica e quali obblighi ne derivano.
• Prove: che cosa potrebbe esibire domani per dimostrare che il sistema funziona come dichiarato.

Mettere per iscritto queste risposte e rivederle man mano che le regole cambiano è un’abitudine che qualsiasi organizzazione può adottare fin da ora. La Fondazione studia come l’AI Act dell’UE funziona nella pratica e quali prove tecniche richiede ai fornitori, e pubblica i risultati in Research & Insights.

In breve

La governance dell’IA è l’intreccio di leggi, standard, istituzioni e norme che decide come l’IA può essere costruita e usata, e chi ne risponde quando qualcosa va storto. Funziona su quattro livelli: il diritto vincolante, come l’AI Act dell’UE; gli standard e i quadri di riferimento; istituzioni come autorità e tribunali; e norme come l’etica professionale e le politiche interne.

Domande frequenti

Che cos’è l’AI Act dell’UE e da quando si applica?

L’AI Act dell’UE, il regolamento (UE) 2024/1689, è la prima legge vincolante e organica sull’IA ed è in vigore dal 1° agosto 2024. Si applica per fasi, in base al rischio. Un numero ristretto di pratiche è vietato dal 2 febbraio 2025, e i fornitori di modelli di IA per finalità generali hanno obblighi propri dal 2 agosto 2025.

L’UE ha rinviato i requisiti per i sistemi ad alto rischio dell’AI Act?

Sì. I requisiti per i sistemi ad alto rischio dovevano applicarsi dal 2 agosto 2026, e dal 2 agosto 2027 per l’IA ad alto rischio nei prodotti già coperti dalla normativa europea sui prodotti, come i dispositivi medici. A luglio 2026 l’omnibus digitale sull’IA (regolamento (UE) 2026/1744) li ha rinviati rispettivamente al 2 dicembre 2027 e al 2 agosto 2028.

Qual è la differenza tra ISO/IEC 42001 e il NIST AI Risk Management Framework?

ISO/IEC 42001 (2023) è uno standard per i sistemi di gestione dell’IA: l’organizzazione definisce politiche, assegna ruoli, valuta i rischi e migliora di continuo. Il NIST AI Risk Management Framework 1.0 (gennaio 2023) è un quadro volontario statunitense costruito su quattro funzioni: governare, mappare, misurare e gestire.

Chi fa rispettare le regole sull’IA nell’UE?

Nell’UE l’Ufficio per l’IA, all’interno della Commissione europea, vigila sui modelli di IA per finalità generali e coordina l’attuazione. Le autorità nazionali di vigilanza del mercato controllano i sistemi ad alto rischio, gli organismi notificati verificano alcuni di questi sistemi prima dell’immissione sul mercato, le autorità per la protezione dei dati applicano il GDPR e i tribunali decidono i casi controversi.

Una scuola che usa un servizio di tutoraggio basato sull’IA è un fornitore o un deployer?

Una scuola che adotta un servizio di tutoraggio basato sull’IA è di solito un deployer, non un fornitore, e questo cambia i suoi obblighi e ciò che deve chiedere al fornitore. Secondo l’AI Act la maggior parte degli obblighi ricade sui fornitori, ma i deployer devono comunque usare il sistema come indicato, affidare la supervisione umana a personale formato e monitorarlo durante l’uso.

Come citare Fondazione LASTHUMAN. (2026, 12 agosto). Che cos’è la governance dell’IA. https://lasthuman.today/it/insights/ai-governance-explained.html