AI Act UE, Digital Omnibus e legge coreana: la guerra globale delle regole sull’intelligenza artificiale

C’è un punto che spesso resta sullo sfondo, ma in realtà spiega tutto: i modelli general purpose non “restano in patria”. Un modello addestrato oggi può essere integrato domani in un’app bancaria europea, dopodomani in un servizio sanitario asiatico, la settimana dopo in un prodotto consumer globale. Il rischio, e la responsabilità, viaggiano con la stessa velocità della distribuzione.

Per questo si parla di “guerra globale delle regole”. Non è solo una competizione geopolitica, è una competizione di fiducia: quale regolatore riesce a creare un quadro chiaro, coerente e applicabile, senza spegnere l’innovazione e senza lasciare i cittadini scoperti.

UE e Corea del Sud stanno scegliendo strade diverse. L’Europa costruisce un sistema molto strutturato e a scaglioni, con obblighi lungo la filiera e un capitolo dedicato ai GPAI. La Corea punta su un impianto più snello e mirato, con un accento forte sulla trasparenza e sui casi “high-impact”. In mezzo c’è la proposta Digital Omnibus, che dice implicitamente: “abbiamo scritto regole ambiziose, ora dobbiamo farle funzionare davvero”.

Ti dico subito qual è il rischio maggiore, se stai seguendo questa storia da “non addetto ai lavori”: pensare che sia una discussione astratta, fatta di acronimi. In realtà è una discussione estremamente concreta: cambia i contratti, cambia i processi interni, cambia il modo in cui un prodotto può essere venduto in un mercato. E soprattutto cambia la domanda che un utente farà, anche senza saperlo: posso fidarmi?

Sommario dei contenuti

• Perché se ne parla adesso (e perché non è troppo presto)
• AI Act UE: le date vere e cosa cambia a ogni fase
• Obblighi sui modelli general purpose: cosa deve fare un provider
• Open source: eccezioni, limiti e “rischio sistemico”
• Digital Omnibus: cosa propone la Commissione e cosa può spostare
• Legge coreana: scadenze, “high-impact AI” e obblighi di trasparenza
• Fiducia nei regolatori: dove si vince e dove si perde
• Guida operativa: cosa fare in azienda, senza panico
• Fonti e documenti consultati
• FAQ

Perché se ne parla adesso (e perché non è troppo presto)

Perché la regolazione dell’AI non arriva come un interruttore. Arriva come una serie di scadenze che, per chi fa prodotto, equivalgono a una cosa molto semplice: o cambi il processo prima, o lo subisci dopo.

Il punto vero non è “mancano mesi”. Il punto vero è che documentazione, tracciabilità dei dataset, valutazioni del modello, policy sul copyright e procedure di incident response non si improvvisano. Se sei un provider di modello, devi ripensare la pipeline. Se sei un’azienda che integra un modello terzo, devi ripensare la due diligence e i contratti.

AI Act UE: le date vere e cosa cambia a ogni fase

L’AI Act non è solo “quando entra in vigore”. È un calendario con gradini. Ed è proprio qui che tante aziende si perdono: vedono la data 2026 e tirano il fiato, ma ignorano il 2025.

Timeline essenziale in una tabella

Obblighi sui modelli general purpose: cosa deve fare un provider

Questo è il cuore della storia per chi sviluppa modelli. L’AI Act non dice solo “non fare X”. Dice: se vuoi mettere un modello general purpose a disposizione del mercato, devi poter dimostrare come lo hai costruito e come lo rendi utilizzabile in modo responsabile.

La differenza che cambia tutto: modello vs sistema

Un sistema è l’applicazione finale. Un modello general purpose è “il motore” che può finire in cento applicazioni diverse. Regolare il modello significa intervenire prima che quel motore venga montato su prodotti ad alto rischio, o semplicemente su prodotti che scalano in massa.

Gli obblighi più importanti, tradotti in lingua “azienda”

• Documentazione tecnica: non un PDF generico, ma un set di informazioni che spiega capacità, limiti, contesto d’uso e aspetti tecnici rilevanti.
• Informazioni per chi integra il modello: se un’azienda usa il tuo modello per costruire un sistema, deve poter capire cosa può e non può fare, e quali misure servono per restare compliant.
• Policy sul diritto d’autore: l’AI Act lega i GPAI a un obbligo di impostare una politica di rispetto del copyright UE (qui il tema non è ideologico: è tracciabilità, gestione delle riserve di diritti, e prova di buona fede).
• Sintesi dei contenuti usati per il training: l’obiettivo è rendere più trasparente, a livello “macro”, che tipo di contenuti hanno alimentato il modello.

Quando un modello diventa “con rischio sistemico”

L’AI Act prevede una categoria speciale: general-purpose AI models with systemic risk. Qui l’idea è semplice: alcuni modelli, per potenza e diffusione, hanno un impatto potenziale paragonabile a un’infrastruttura critica.

C’è un indicatore molto concreto: se il calcolo cumulativo usato per l’addestramento supera 10^25 operazioni in virgola mobile, il modello è presunto avere capacità ad alto impatto. Da quel momento entrano obblighi aggiuntivi e, soprattutto, un rapporto più diretto con l’autorità (inclusa la notifica alla Commissione).

Obblighi extra per il rischio sistemico: non è “più carta”, è più controllo

• Valutazioni del modello: test e valutazioni secondo protocolli e metodologie, con l’idea di misurare capacità e rischi in modo comparabile.
• Gestione dei rischi sistemici: identificare, analizzare e mitigare rischi che non sono “bug”, ma effetti a scala (abusi, disinformazione, uso improprio, impatti su diritti).
• Incident reporting: obblighi di monitoraggio e segnalazione di incidenti gravi e misure correttive.
• Cybersecurity: protezione del modello e della sua disponibilità contro attacchi e compromissioni.

Sanzioni: perché la compliance non è un esercizio accademico

L’AI Act prevede un regime sanzionatorio significativo. Per alcune violazioni (come pratiche vietate) le multe possono arrivare fino a 35 milioni di euro o fino al 7% del fatturato mondiale dell’impresa, a seconda di quale valore è più alto. Per altre violazioni, ci sono soglie inferiori ma comunque rilevanti. E per i provider di GPAI, la Commissione può imporre sanzioni fino al 3% del fatturato mondiale o fino a 15 milioni (a seconda del caso).

Open source: eccezioni, limiti e “rischio sistemico”

Qui c’è una zona che merita attenzione, perché in molti la raccontano con troppa fretta. L’AI Act riconosce che il free e open source può essere un acceleratore di ricerca e innovazione. Per alcuni modelli rilasciati con licenza free e open source e con informazioni tecniche rese pubbliche, esistono eccezioni su una parte degli obblighi.

Ma ci sono due limiti importanti: primo, se un modello è classificato a rischio sistemico, l’eccezione non ti salva. Secondo, anche quando l’eccezione c’è, restano centrali gli obblighi legati a copyright e a sintesi dei contenuti usati per il training. In pratica: l’open source può alleggerire, ma non azzera.

Digital Omnibus: cosa propone la Commissione e cosa può spostare

“Digital Omnibus” è una parola che sembra neutra, ma non lo è. Vuol dire: prendere un corpus di norme digitali e provare a renderlo più coerente, più semplice da applicare e meno costoso. Nel caso specifico dell’AI, la proposta su AI Regulation punta a interventi tecnici sul quadro dell’AI Act, con due obiettivi dichiarati: ridurre oneri e migliorare l’implementazione.

I punti che interessano davvero chi lavora con l’AI

• Semplificazioni per imprese: estensione di misure di supporto e alleggerimenti anche oltre le sole micro e PMI, includendo le cosiddette “small mid-caps”.
• AI literacy: proposta di semplificazione spostando parte della responsabilità verso Commissione e Stati membri (per ridurre incertezza interpretativa per aziende e deployer).
• Post-market monitoring: maggiore flessibilità e semplificazione degli obblighi di monitoraggio dopo l’immissione sul mercato, soprattutto quando il rischio è basso.
• Registrazione: riduzione dell’onere per la registrazione di alcuni sistemi non high-risk per abbassare costi e burocrazia.
• Governance sui sistemi basati su GPAI: alcune modifiche puntano a chiarire la supervisione dell’AI Office quando tanti sistemi derivano da modelli general purpose sviluppati dallo stesso provider.
• Bias detection e dati sensibili: la proposta include la possibilità di usare categorie particolari di dati personali per rilevare e correggere bias, con salvaguardie, quando necessario.

Il nodo delle scadenze high-risk

Qui si entra nel punto più delicato per la fiducia. La proposta prevede un meccanismo per posticipare l’applicazione di alcune regole sui sistemi ad alto rischio, in funzione della disponibilità di standard armonizzati e guidance. In più, inserisce un “tetto” temporale: se non ci fossero decisioni specifiche, alcune regole non potrebbero slittare oltre determinate date (fine 2027 per una parte, 2028 per un’altra).

È un messaggio doppio: da un lato “vogliamo regole applicabili, non solo scritte”. dall’altro “attenzione, per chi investe oggi le scadenze potrebbero cambiare”. E qui la fiducia si gioca sulla qualità della comunicazione e sulla capacità di far uscire standard e linee guida in tempo.

Legge coreana: scadenze, “high-impact AI” e obblighi di trasparenza

La Corea del Sud ha scelto un percorso diverso e, per certi aspetti, più rapido. La legge coreana sull’AI entra in vigore il 22 gennaio 2026 e definisce “high-impact AI” in modo molto concreto: energia, acqua potabile, sanità, dispositivi medici, nucleare, biometria per indagini penali, selezione lavoro e credito, trasporti, decisioni pubbliche, valutazione studenti e altre aree che possono incidere su vita, sicurezza e diritti.

C’è un’altra cosa che, in prospettiva, interessa tantissimo chi lavora fuori dalla Corea: la portata extraterritoriale. Se le tue attività, anche svolte all’estero, impattano mercato o utenti coreani, la legge può entrare in gioco.

Trasparenza e generativa: obblighi che puntano dritti alla fiducia

La norma coreana punta forte su due idee: primo, l’utente deve poter capire quando sta interagendo con un sistema AI. secondo, quando un output generato dall’AI è difficile da distinguere dal reale, servono misure chiare di etichettatura e informazione.

High-impact AI: controllo umano e accountability

Uno degli elementi più citati della legge coreana è l’obbligo di garantire human oversight nei casi ad alto impatto. Non è un dettaglio “filosofico”. Vuol dire: progettare processi e responsabilità in modo che una decisione automatizzata non diventi un rimpallo di colpe.

Sanzioni e tempi di adattamento

Secondo la copertura Reuters ripubblicata da AsiaOne, il quadro coreano prevede sanzioni amministrative significative e un periodo di grazia di almeno un anno prima dell’avvio delle multe, con esempi di sanzione fino a 30 milioni di won per mancata etichettatura di output generativi in casi previsti. È un modo molto diretto di dire: “ti diamo tempo, ma poi vogliamo vedere comportamenti”.

Fiducia nei regolatori: dove si vince e dove si perde

Sembra un tema “soft”, ma è la cosa più concreta di tutte. La fiducia è ciò che fa funzionare le regole senza trasformare tutto in contenzioso. Se le aziende si fidano della coerenza del quadro, investono. Se i cittadini si fidano che ci siano controlli reali, adottano. Se la fiducia manca, succede una cosa tipica: tutti diventano iper-prudenti, e l’innovazione si sposta altrove o si nasconde.

L’Europa ha un punto di forza: ha scritto un impianto molto dettagliato e ha inserito una disciplina per i GPAI, cosa rara a livello globale. Il rischio dell’Europa è un altro: la complessità e le scadenze a scaglioni richiedono risorse e chiarezza comunicativa. Se i testi vengono percepiti come incomprensibili o instabili, la fiducia si erode.

La Corea ha un punto di forza diverso: obblighi mirati, più leggibili, e un segnale di “entrata in vigore” netto. Il rischio è che dettagli e decreti attuativi, se tardano o restano vaghi, spingano le aziende verso l’approccio più conservativo possibile. E anche quella è una forma di freno.

Guida operativa: cosa fare in azienda, senza panico

Se dovessi riassumerla in una frase, direi così: porta la compliance dentro il ciclo di vita. Non aspettare la “fase piena”.

La parte pratica, quella che spesso manca, è trasformare norme e scadenze in un piano di lavoro. Qui sotto trovi una guida operativa che puoi usare come struttura di partenza, sia che tu sia un provider di modello, sia che tu integri modelli terzi.

Fonti e documenti consultati

• EUR-Lex: Regolamento (UE) 2024/1689 (AI Act) e articoli su GPAI, rischio sistemico, sanzioni e tempistiche.
• Gazzetta Ufficiale dell’Unione Europea: pubblicazione del testo dell’AI Act.
• Commissione europea: documentazione sul pacchetto Digital Omnibus e proposta su AI Regulation.
• EUR-Lex: proposta COM(2025) 836 final (Digital Omnibus on AI Regulation).
• CSET (Georgetown University): traduzione inglese del Framework Act coreano sull’AI (definizioni, scope e obblighi).
• Reuters (ripubblicato da AsiaOne): entrata in vigore della legge coreana, focus su human oversight, etichettatura e sanzioni.

La cosa che mi colpisce, guardando UE e Corea insieme, è che stanno cercando di rispondere alla stessa paura con strumenti diversi. La paura è sempre la stessa: l’AI diventa infrastruttura, e quando qualcosa è infrastruttura non puoi gestirla con l’improvvisazione.

L’Europa prova a costruire un’architettura completa. È ambiziosa, e proprio per questo è fragile se la comunicazione non è chiara o se l’applicazione non è credibile. Il Digital Omnibus, in questo senso, può essere letto in due modi. Il modo buono è: “stiamo correggendo per rendere applicabile”. Il modo pericoloso è: “stiamo spostando la porta in corsa”. La differenza tra i due è una parola che torna sempre: fiducia.

La Corea prova un approccio più snello e immediato. Ha il vantaggio della leggibilità e dell’impatto rapido. Ma anche lì la fiducia dipende dai dettagli: decreti attuativi, linee guida, strumenti di supporto. Se restano vaghi, le aziende si chiudono a riccio.

La mia impressione è che, nei prossimi due anni, la vera competizione non sarà “chi ha scritto la norma migliore”. Sarà: chi riesce a farla funzionare senza perdere le persone per strada. E quando dico persone intendo cittadini, startup, aziende, e anche gli stessi regolatori, che devono essere messi nelle condizioni di fare bene il loro lavoro.

A cura di Junior Cristarella.