Mentre l’ONU celebra a Ginevra l’”AI for Good”, Bruxelles ha appena concesso diciotto mesi in più sull’AI Act. Sono due facce della stessa illusione: che la governance dell’intelligenza artificiale si decida nei summit e nelle proroghe. Si decide, invece, nelle procedure quotidiane di ogni impresa che lascia a un algoritmo una decisione sulle persone.
Due notizie nel mese
Dal 7 al 10 luglio 2026 il Palexpo di Ginevra ospita l’AI for Good Global Summit, la principale piattaforma delle Nazioni Unite sull’intelligenza artificiale, co-organizzata dalla ITU con oltre cinquanta agenzie ONU e il Governo svizzero. Quattro giorni di principi, dichiarazioni d’intenti, robot in passerella e tavole rotonde sul “bene comune algoritmico”.
Pochi giorni prima, il 16 giugno, è arrivata una notizia molto meno scenografica ma assai più concreta per chi un’impresa la manda avanti davvero: il Parlamento europeo ha approvato l’accordo sul Digital Omnibus — da non confondere con i “decreti omnibus” nazionali: qui parliamo del pacchetto di semplificazione del digitale varato dall’Unione Europea — che rinvia l’applicazione degli obblighi sui sistemi di IA ad alto rischio. Per i sistemi dell’Allegato III, quelli che decidono sulle persone (selezione del personale, valutazione, accesso a servizi), la scadenza slitta dal 2 agosto 2026 al 2 dicembre 2027.
Due notizie, una sola tentazione: pensare che ci sia ancora tempo, che il tema sia ancora materia da convegno e non da CdA. È esattamente l’errore che le imprese più esposte stanno per commettere.
Il rinvio non è un’assoluzione
Bisogna leggere perché l’Europa ha rinviato. Non perché abbia ripensato i rischi dell’IA, né perché li ritenga meno gravi. Ha rinviato per una ragione tecnica e quasi imbarazzante: mancavano gli strumenti per applicare la norma. Gli standard armonizzati non erano pronti, molte autorità nazionali competenti non erano state ancora designate, gli schemi di valutazione di conformità erano incompleti.
In altre parole: il legislatore non ha tolto l’esame, ha solo spostato la data perché l’aula non era pronta. Il programma resta identico. Chi interpreta i diciotto mesi come una pausa si presenterà a dicembre 2027 nelle stesse identiche condizioni di oggi, con l’aggravante di aver sprecato l’unica finestra utile per arrivarci preparato.
E attenzione: non tutto è stato rinviato. Gli obblighi di trasparenza dell’articolo 50 — informare le persone quando interagiscono con un sistema di IA o quando un contenuto è generato artificialmente — restano in vigore secondo la tabella di marcia originaria. Il “liberi tutti” non esiste.
Cosa rischia davvero un’impresa
Ricordiamo la posta in gioco, perché tende a sfumare tra una slide e l’altra. Per i sistemi ad alto rischio non conformi, l’AI Act prevede sanzioni fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, a seconda di quale importo sia maggiore. Non è una multa: è una cifra che può riscrivere il bilancio di una PMI o di una cooperativa.
Ma la sanzione è solo il rischio più visibile. Ce n’è uno più insidioso e più immediato: la decisione algoritmica che non si sa spiegare. Quando un candidato escluso, un lavoratore valutato negativamente o un utente a cui è stato negato un servizio chiede perché, la risposta “lo ha deciso il sistema” non è una risposta. È un’ammissione di resa. Ed è, già oggi, un problema di responsabilità che chiama in causa l’articolo 2086 del Codice civile e l’adeguatezza degli assetti organizzativi, ben prima di qualsiasi scadenza europea.
La governance non si compra a dicembre 2027
Qui sta il punto che i summit non raccontano: la conformità all’AI Act non è un adempimento dell’ultimo minuto, è un’architettura che si costruisce nel tempo. Non si “installa” una governance algoritmica la settimana prima della scadenza, come non si redige un bilancio di sostenibilità credibile il giorno prima dell’assemblea.
È il principio attorno a cui ruota il framework DAAF — Democratic Algorithmic Accountability Framework, che propongo da tempo in questo osservatorio. Tre pilastri, semplici da enunciare e impegnativi da praticare:
- Spiegabilità funzionale — le decisioni dei sistemi devono essere comprensibili agli organi di governo, non solo ai tecnici che li hanno configurati.
- Controllo democratico — gli organi legittimi dell’organizzazione (CdA, assemblea, direzione) conservano il potere reale di rivedere, contestare e ribaltare la decisione automatica. È la “riserva di cognizione umana”.
- Architettura di accountability — la responsabilità resta dentro la struttura giuridica dell’impresa, con una catena chiara, e non evapora nel codice.
Su questa base poggia il livello operativo, il Protocollo TRACE: registro dei sistemi di IA, matrici di tracciabilità, control card, cicli di valutazione. Perché — vale la pena ripeterlo — la supervisione umana che non si documenta, semplicemente non esiste. In sede di ispezione conta la prova, non la buona intenzione.
I diciotto mesi giusti
Il rinvio al 2 dicembre 2027, letto bene, è una buona notizia: è il tempo che serve per fare le cose nell’ordine corretto, senza la fretta che produce documenti finti e conformità di facciata. Il calendario sensato è questo:
- Mappare i sistemi algoritmici già in uso e capire se ricadono tra quelli ad alto rischio, e in quale ruolo li si utilizza, perché nell’AI Act gli obblighi seguono il ruolo (provider o deployer), non chi ha scritto il codice.
- Identificare i gap documentali e organizzativi rispetto agli obblighi.
- Costruire la governance — spiegabilità, controllo, accountability — e iniziare a documentarla mentre la si pratica, non a posteriori.
Diciotto mesi bastano per fare tutto questo con serietà. Non bastano se si comincia a ridosso della scadenza. La differenza tra le due imprese non sarà la fortuna: sarà la data in cui hanno deciso di iniziare.
Il bene “reale”, non solo il bene “buono”
A Ginevra si parlerà, giustamente, di intelligenza artificiale al servizio dell’umanità. È un orizzonte necessario. Ma l’IA “buona” dei summit diventa IA “reale” solo quando si traduce in una procedura verificabile dentro un’organizzazione concreta: una cooperativa che spiega ai propri soci come funziona l’algoritmo che assegna i turni, una PMI che può dimostrare chi ha controllato la decisione di scarto di una candidatura.
Il bene comune algoritmico non si dichiara in plenaria. Si documenta, una control card alla volta. L’algoritmo deve restare uno strumento al servizio della persona — e questo si misura sulle decisioni che prende sulle persone, non sugli applausi che raccoglie in sala.
Il tempo dei convegni, per chi ha sistemi ad alto rischio in casa, è finito. È iniziato il tempo della costruzione.
Vuoi sapere in quattro minuti se i tuoi sistemi rientrano tra quelli ad alto rischio e quali documenti ti mancano? Fai il self-assessment gratuito su CheckAIAct: è anonimo, immediato, e ti dà una prima mappa dei tuoi gap. Da lì si parte.