AI Act, Epifani: “Da Bruxelles troppe regole e pochi investimenti, ecco perché sull’Intelligenza artificiale c’è ancora molto da fare”

AI Act, Stefano Epifani: “Troppe regole e pochi investimenti, ecco perché sull’Intelligenza artificiale c’è ancora molto da fare”

L’Europa ha scritto il regolamento sull’intelligenza artificiale più avanzato al mondo, ma rischia di arrivare impreparata alla sfida più importante: non quella di controllare le macchine, ma quella di saperle costruire, utilizzare e governare. È questa la contraddizione al centro dell’analisi di Stefano Epifani, presidente della Fondazione per la Sostenibilità Digitale, che legge l’AI Act come un passaggio necessario ma non sufficiente. Il vero problema non è tanto lo storico equilibrio tra tutela dei cittadini e libertà delle imprese quanto, piuttosto, il fatto che l’Europa ha investito enormemente sulla definizione delle regole per poi restare distante dai grandi protagonisti globali sul piano delle infrastrutture, dei capitali e della capacità industriale.

La nuova normativa europea lascia nodi aperti: dal rinvio degli obblighi per i sistemi ad alto rischio alla trasparenza su chatbot e deepfake, fino al rapporto tra regolazione e competitività. Cittadini, imprese e istituzioni arriveranno preparati a una trasformazione che sta già cambiando il modo in cui lavoriamo, decidiamo e produciamo conoscenza? L’intervista di Affaritaliani all’esperto, Stefano Epifani.

Secondo lei, l’Europa ha trovato il punto di equilibrio giusto tra tutela dei cittadini e libertà d’impresa, o ha sbagliato qualcosa?

Non credo che il problema sia l’equilibrio tra tutela e libertà d’impresa. È una cornice che ci portiamo dietro dagli anni Novanta e che oggi spiega poco. L’Europa ha regolato gli usi dell’intelligenza artificiale con una sofisticazione che non ha eguali al mondo, e nello stesso tempo ha investito nella capacità di produrla cifre ridicole, che non reggono il confronto con nessuno. Lo squilibrio è quello, e non passa da imprese e cittadini. Poi c’è una seconda asimmetria, meno visibile. L’AI Act protegge dai danni che un sistema può produrre: discriminazioni, errori, decisioni opache. Non si occupa in modo specifico di ciò che accade quando una persona smette progressivamente di decidere e lascia decidere, convinta di star decidendo. La delega cognitiva non compare come categoria di rischio autonoma. Ed è il rischio che mi preoccupa di più, perché non produce incidenti da segnalare. Produce assuefazione.

Il rinvio degli obblighi sull’alto rischio al 2027-2028: è stata una scelta saggia o una resa di fronte alla pressione delle imprese?

Né saggia né resa: presa d’atto. Gli obblighi per i sistemi ad alto rischio dell’Allegato III dovevano applicarsi da oggi, ma le norme tecniche armonizzate non erano pronte e la macchina istituzionale dell’applicazione arrancava. Formalmente un’impresa può dimostrare la conformità anche senza standard armonizzati. Nella pratica significa farlo senza quella presunzione di conformità che avrebbe dovuto rendere il sistema prevedibile. Il rinvio al dicembre 2027 e all’agosto 2028 era quindi sostanzialmente inevitabile. Quello che dovrebbe preoccuparci è ciò che rivela: abbiamo costruito un calendario normativo scollegato dalla macchina tecnica che avrebbe dovuto renderlo praticabile. Adesso ci sono sedici mesi in più. Serviranno a prepararsi o ad aspettare? L’esperienza del GDPR suggerisce che ci si muove nell’ultimo trimestre utile.

Leggi anche: Amazon, cloud e AI convincono Wall Street: ora è nel club delle aziende che valgono più di 3mila miliardi di dollari

Gli obblighi di trasparenza scattati ieri (etichettatura di chatbot e deepfake) cambieranno davvero qualcosa nella vita delle persone, o restano più che altro un adempimento sulla carta?

Una precisazione di calendario, prima di tutto. Da oggi gli obblighi di trasparenza dell’articolo 50 si applicano per intero: l’informazione a chi interagisce con un sistema di IA, la disclosure dei deepfake, la marcatura leggibile dalle macchine dei contenuti sintetici. Il 2 dicembre riguarda soltanto una coda transitoria, per i sistemi generativi già immessi sul mercato prima di oggi. Sul merito: la marcatura è condizione necessaria e non sufficiente. Funziona se c’è qualcuno in grado di leggerla. Il 42,3% degli italiani usa ChatGPT, ma il 20,7% dichiara di non conoscerlo affatto. Segnalare a quest’ultimo che sta parlando con un chatbot serve a poco, perché l’informazione manca molto meno della competenza per usarla. Senza alfabetizzazione, la trasparenza diventa un trasferimento di responsabilità sull’utente. Ed è esattamente ciò che l‘articolo 4 dell’AI Act chiedeva di evitare, imponendo a fornitori e utilizzatori professionali di adottare misure per garantire un livello sufficiente di alfabetizzazione sull’IA di personale e collaboratori. Un obbligo di cui non parla quasi nessuno.

Le aziende italiane sono culturalmente e tecnicamente pronte per queste regole, o l’Italia rischia di subire la normativa più che applicarla con consapevolezza?

Tecnicamente una parte del sistema industriale è pronta. Culturalmente molto meno. E la frattura non passa dove ce l’aspettiamo, tra grandi e piccoli. Nella rilevazione DISI di quest’anno il 46,9% dei titolari di microimprese indica come ostacolo principale il non capire a cosa serva l’intelligenza artificiale nella propria attività. La percentuale sale al 52,3% tra le imprese digitalmente più mature, e tocca il 62,5% in quelle che chiamiamo insostenibili digitali. Salendo di maturità digitale il problema non si riduce: si aggrava. Il 63,5% non si attende impatti rilevanti nei prossimi tre o cinque anni. Con questi numeri il rischio non è subire la normativa. È non accorgersene. Un’impresa che non usa l’IA non ha obblighi da rispettare, e non ha nemmeno percezione della trasformazione che la riguarda. La conformità, del resto, non è consapevolezza: si può essere perfettamente in regola e completamente fuori tempo.

L’AI Act nasce da una logica di rischio e controllo: è il framework giusto per un settore che cambia ogni sei mesi, o l’Europa sta regolando ieri una tecnologia che sarà già diversa domani?

L’approccio basato sul rischio non è sbagliato in sé. È lo stesso schema che usiamo per i dispositivi medici e per le macchine, e regge perché regola gli usi e non le tecnologie. Un sistema che seleziona il personale va trattato per quello che fa, quale che sia l’architettura sottostante. Il limite è un altro. L’AI Act costruisce buona parte della classificazione dell’alto rischio intorno a casi d’uso predefiniti, soprattutto nell’Allegato III. Quell’elenco la Commissione può aggiornarlo con atti delegati, quindi chiuso non è. Resta però più lento di quanto si ricombinino le capacità dei sistemi: lo stesso modello generalista può finire in sistemi che ricadono in categorie normative del tutto diverse, a seconda dello scopo e del contesto d’uso. E manca la classe che conterebbe di più: quella che riguarda non il sistema che decide male, ma la persona che smette di porre domande. Non esiste un allegato per questo. Forse perché non sapremmo come misurarlo.

Il pacchetto “omnibus” di semplificazione appena approvato le sembra un ripensamento intelligente o un cedimento politico?

Sul piano tecnico ci sono cose difendibili. Il regolamento elimina sovrapposizioni reali con la normativa di prodotto, chiarisce la nozione di componente di sicurezza, interviene su diversi adempimenti per ridurre duplicazioni e costi di attuazione. E dove serviva ha stretto, non allentato: dal 2 dicembre saranno vietati i sistemi che generano contenuti sessuali e intimi non consensuali. Chi lo racconta solo come una resa forse non l’ha letto bene. Il problema è il messaggio che arriva, ed è uno solo: l’Europa fa marcia indietro. Politicamente costa più di quanto la norma guadagni in praticabilità. Perché quando una scadenza di legge si sposta alla vigilia della sua applicazione, la scadenza successiva nessuno la prende più alla lettera. E la credibilità di un calendario è un asset regolatorio esattamente come le sanzioni.

Mentre l’Europa si dà queste regole, USA e Cina corrono senza vincoli paragonabili: secondo lei l’AI Act aiuta o danneggia le imprese europee, comprese le startup?

Il divario competitivo non nasce dall’AI Act. Le Big Tech americane supereranno nel solo 2026 i settecento miliardi di dollari di investimenti, trainati da data center, chip e infrastrutture per l’IA. L’Europa contrappone i duecento miliardi di InvestAI. Ma quei duecento miliardi non sono nuova spesa europea: centocinquanta erano impegni di investimento privato della AI Champions Initiative, e la componente pubblica aggiuntiva attinge a programmi già esistenti, da Digital Europe a Horizon Europe e InvestEU. Stiamo confrontando capex industriale effettivo con un aggregato da mobilitare. Quel divario esisteva prima del regolamento ed esisterebbe se il regolamento non ci fosse. Attribuire alla regolazione la debolezza europea è comodo, perché lascia credere che il rimedio sia gratuito: basta deregolare. Chi lo sostiene, di norma, non spiega quale sarebbe il piano industriale alternativo. Detto questo, un costo esiste, e per le startup è reale. Ma non sono gli obblighi. È l’incertezza su come dimostrarli, con standard tecnici in ritardo e autorità nazionali appena definite. Un’impresa piccola non muore per un adempimento. Muore perché non sa quanto le costerà, e quindi non riesce a metterlo a budget.

È immaginabile un’IA “europea” competitiva proprio grazie a queste regole, o è un’illusione consolatoria?

Nella versione in cui viene raccontata di solito, è una illusione consolatoria. Le regole non producono competitività. L’effetto Bruxelles ha funzionato sul GDPR perché l’Europa era un mercato che non si poteva ignorare, ma sui modelli di frontiera contano soprattutto il calcolo, il capitale e il talento. La forza del mercato di sbocco, da sola, non basta. Esiste però una versione non consolatoria della stessa idea. Le regole creano competitività quando aprono un mercato che prima non c’era: verifica, auditabilità, tracciabilità, misurazione. È il terreno su cui l’Europa ha competenze vere e un vantaggio di posizione. A una condizione: che la sovranità si costruisca con l’apertura e non con la chiusura. Modelli a pesi aperti, piattaforme interoperabili, regole ispezionabili. Un sistema che non si può ispezionare non è sovrano. È soltanto nostro.

La legge italiana 132/2025, con il nuovo reato sui contenuti IA ingannevoli: è un passo avanti utile o un doppione che complica le cose alle imprese?

Non è un doppione, perché i due testi lavorano su piani diversi. L’AI Act regola i sistemi e obbliga chi li produce a marcare i contenuti generati. Il nuovo articolo 612-quater del codice penale punisce una condotta: diffondere senza consenso immagini, video o voci alterati mediante sistemi di IA, idonei a ingannare sulla loro genuinità e capaci di provocare un danno ingiusto alla persona. Il primo previene, il secondo sanziona. La complicazione sta altrove, nella geografia delle competenze. AgID come autorità di notifica, ACN come autorità di vigilanza del mercato, il Garante per quanto attiene al trattamento dei dati, e poi Banca d’Italia, Consob, IVASS per i rispettivi settori. Gli schemi di decreto attuativi sono ora all’esame parlamentare e provano a mettere ordine, con la delega che scade il 10 ottobre. Per un’impresa la domanda non è quante regole ci siano. È a chi ci si deve rivolgere.

Sull’AI stiamo facendo passi avanti o a suo dire siamo ancora molto indietro?

Sulle regole abbiamo fatto passi avanti, e non è poco: l’Europa resta la giurisdizione con il quadro orizzontale più avanzato sull’intelligenza artificiale, e l’Italia è stata il primo Stato membro a dotarsi di una legge nazionale. Sulla capacità industriale siamo indietro, e il ritardo si allarga. Il 44% delle microimprese italiane e circa un terzo dei cittadini stanno nel cluster che chiamiamo degli insostenibili analogici: fuori dalla trasformazione, e non per scelta consapevole. Stiamo costruendo la governance di una tecnologia che una quota larghissima di persone usa senza sapere come funziona, mentre un’altra non la usa senza sapere perché. La sovranità cognitiva è la premessa della sostenibilità, non un suo accessorio. E la domanda dei prossimi sedici mesi non è se saremo conformi nel dicembre 2027. È se ci arriveremo avendo deciso noi cosa farne, di queste macchine.

LEGGI LE NEWS DI ECONOMIA

L'articolo AI Act, Epifani: “Da Bruxelles troppe regole e pochi investimenti, ecco perché sull’Intelligenza artificiale c’è ancora molto da fare” proviene da Affaritaliani.it.