Siamo una società legale estone che ha vissuto nella pratica la regolamentazione delle criptovalute: licenze, vigilanza, inasprimento dei requisiti, uscita di parte del mercato dalla giurisdizione. Parallelamente, lavoriamo ogni giorno con strumenti di IA e assistiamo progetti di IA. Per questo ci permettiamo di parlare non dalla prospettiva della teoria, ma da quella dell’esperienza.
Regolamentare per regolamentare significa rallentare
La regolamentazione ha senso solo quando affronta un rischio oggettivo e misurabile. Tali ambiti esistono, ma sono pochi: IA nella gestione dei trasporti, nei dispositivi medici, nelle infrastrutture critiche, nei sistemi che possono danneggiare una persona fisicamente o giuridicamente — prendendo decisioni sulla libertà, sull’accesso al lavoro o al credito.
Si tratta di pochi ambiti. Tutto il resto — un modello che scrive codice, analizza documenti, genera testi e immagini, aiuta i ricercatori — non comporta un rischio che richieda un regime autorizzativo separato. Tanto più che già oggi i modelli leader vengono rilasciati con meccanismi di sicurezza integrati e gli sviluppatori competono anche su questo parametro.
Quando il regolatore vuole «limitare qualcosa», senza ancora comprendere che cosa esattamente e rispetto a quale danno, non sta proteggendo la società. È paura di ciò che non si comprende, formalizzata in un atto normativo. Il costo di tale paura sono imprese perdute, posti di lavoro perduti, leadership perduta.
Cosa è realmente in vigore nell’UE oggi
Per rendere la discussione concreta, fissiamo cosa è effettivamente in vigore a settembre 2026.
Regolamento sull’IA (AI Act, Regolamento (UE) 2024/1689). La prima legge orizzontale completa al mondo sull’IA è entrata in vigore il 01/08/2024 e si applica gradualmente secondo quattro livelli di rischio: maggiore è il potenziale danno, più severi sono i requisiti.
Cosa si applica già:
- Pratiche vietate (articolo 5) — da febbraio 2025. Punteggio sociale, sistemi manipolativi, determinati tipi di identificazione biometrica. Dal 02/12/2026 si aggiunge il divieto di sistemi per creare immagini intime senza consenso e materiale di abuso sessuale su minori.
- Obblighi dei fornitori di modelli di IA per finalità generali (GPAI) — gli articoli 51–55 si applicano da agosto 2025. Comprendono documentazione, rispetto del diritto d’autore e, per i modelli con rischio sistemico, valutazione e mitigazione dei rischi.
- Obblighi di trasparenza (articolo 50) — dal 02/08/2026. Informazione dell’utente sull’interazione con l’IA, etichettatura dei contenuti generati e dei deepfake. Per i sistemi già immessi sul mercato, l’etichettatura dei contenuti sintetici è rinviata al 02/12/2026.
Cosa è stato rinviato — ed è indicativo. Il 27/07/2026 è entrato in vigore il Digital Omnibus on AI (Regolamento (UE) 2026/1744), che ha rinviato gli obblighi più gravosi:
- per i sistemi autonomi ad alto rischio (Allegato III — HR, credito, istruzione, forze dell’ordine ecc.) — dal 02/08/2026 al 02/12/2027;
- per l’IA integrata in prodotti soggetti a regolamentazione settoriale (Allegato I — dispositivi medici, macchine, trasporti) — dal 02/08/2027 al 02/08/2028;
- le «sandbox» regolamentari nazionali devono essere operative entro il 02/08/2027.
Il motivo del rinvio indicato dalla stessa Commissione europea è che né le imprese, né gli organismi di normazione (CEN/CENELEC), né l’infrastruttura di valutazione della conformità erano pronti. In altre parole, la legge è stata scritta prima di capire come applicarla. Questa è la migliore illustrazione della nostra tesi: una regolamentazione che precede la comprensione non funziona neppure per il regolatore stesso.
Livello nazionale. Entro agosto 2025 gli Stati membri avrebbero dovuto designare le autorità di vigilanza e stabilire le sanzioni. Alla primavera del 2026, solo pochi Paesi lo avevano fatto. In Estonia non è ancora stata adottata una legge di attuazione separata; il lavoro è svolto dal Ministero della giustizia e delle tecnologie digitali, mentre l’Ispettorato per la protezione dei dati (AKI) mantiene la reputazione di regolatore pragmatico e proporzionato.
La nostra posizione
-
Sosteniamo i progetti di IA. In Estonia, in Europa e oltre. Riteniamo che lo sviluppo dell’IA sia lo sviluppo dell’umanità e vogliamo che le imprese che la creano operino qui, anziché trasferirsi in giurisdizioni con regole più comprensibili.
-
Siamo a favore della regolamentazione dei rischi oggettivi — e solo di essi. Trasporti, medicina, infrastrutture critiche, decisioni che incidono sui diritti umani. Qui i requisiti sono giustificati e noi aiutiamo a rispettarli.
-
Siamo contrari a regolamentazioni draconiane. Contrari a divieti «per ogni evenienza», a regimi autorizzativi per ciò che non comporta danni, a regole scritte senza comprendere la tecnologia.
-
Se esiste una regolamentazione, aiuteremo a rispettarla. Classificazione del sistema per livello di rischio, obblighi del fornitore e del deployer, documentazione, trasparenza, interazione con le autorità di vigilanza, preparazione alle scadenze del 2027–2028, sandbox regolamentari. La nostra esperienza con la regolamentazione delle criptovalute ci ha insegnato la cosa principale: la conformità ai requisiti non è un ostacolo per l’impresa, ma un modo per continuare a operare quando le regole cambiano.
La regolamentazione deve proteggere le persone, non proteggere il regolatore dalla necessità di comprendere ciò che è nuovo. Lavoreremo al fianco di chi costruisce.
