AI Act UE ed EO 14409 USA sull'IA: le scadenze per chi compra

I responsabili IT, gli MSP e i compliance lead che seguono la regolamentazione sull'IA su entrambe le sponde dell'Atlantico si trovano davanti a due sistemi che non condividono né calendario, né ambito, né impianto di base. Confonderli può voler dire bloccare un progetto ancora lecito, oppure accettare la dichiarazione di conformità di un fornitore che non regge. Questa guida chiarisce a che punto sono davvero l'AI Act UE e l'ordine esecutivo USA sull'IA a settembre 2026, cosa è cambiato e cosa verificare prima di firmare.

Cosa è già in vigore nell'UE

Gli obblighi di trasparenza dell'AI Act previsti dall'articolo 50 — informativa per i chatbot ed etichettatura dei contenuti generati dall'IA — si applicano dal 2 agosto 2026, e l'Ufficio IA della Commissione europea ha già poteri di controllo sugli obblighi dei modelli di IA per finalità generali, entrati in vigore un anno prima. Le pratiche vietate dell'articolo 5 e gli obblighi di alfabetizzazione all'IA dell'articolo 4 si applicano da ancora più tempo, dal febbraio 2025. Su questo fronte non è cambiato nulla con il Digital Omnibus del 2026.

Cosa è cambiato nel 2026

A cambiare è la tempistica per l'alto rischio. Il Digital Omnibus sull'IA dell'UE, approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026, ha rinviato gli obblighi sostanziali per i sistemi ad alto rischio. I sistemi a sé stanti dell'allegato III — che coprono ambiti come occupazione, istruzione e biometria — si applicano dal 2 dicembre 2027 invece che da agosto 2026, mentre i sistemi incorporati nei prodotti dell'allegato I slittano ad agosto 2028.

Il motivo dichiarato è che le norme tecniche armonizzate necessarie a dare ai sistemi ad alto rischio la presunzione di conformità non erano pronte. La sostanza delle regole non è cambiata: è cambiata solo la data da cui iniziano a mordere.

Cosa fa davvero l'ordine esecutivo USA

Gli Stati Uniti hanno scelto una strada diversa. Il presidente Trump ha firmato l'Executive Order 14409, “Promoting Advanced Artificial Intelligence Innovation and Security”, il 2 giugno 2026. Si applica alle agenzie federali e non direttamente alle aziende private, e inquadra l'IA soprattutto come una questione di cybersicurezza e innovazione, non come un regime di conformità basato sul rischio.

L'ordine impone alle agenzie di dare priorità alla difesa informatica dei sistemi federali civili entro 30 giorni dalla firma, con la CISA che emette linee guida per accelerare il lavoro, e istituisce un centro di scambio per la cybersicurezza dell'IA — coordinato da Treasury, NSA e CISA — per condividere informazioni su vulnerabilità e rimedi legati ai sistemi di IA. Separatamente, crea un quadro volontario con cui gli sviluppatori possono condividere i “modelli di frontiera coperti” con il governo per una valutazione prima del rilascio pubblico.

L'ordine esclude esplicitamente le licenze obbligatorie: la Sezione 3(c) afferma che nulla in esso autorizza un requisito governativo obbligatorio di licenza, autorizzazione preventiva o permesso per sviluppare, pubblicare o distribuire nuovi modelli di IA. Si tratta di un impegno politico contenuto in questo ordine, non di un divieto legale permanente, perché un futuro ordine o una legge potrebbero comunque introdurlo. Non prevede inoltre alcuna classificazione simile all'allegato III né un equivalente degli obblighi UE per i deployer di sistemi ad alto rischio.

Cosa significa per chi acquista

La posizione di un fornitore statunitense ai sensi dell'EO 14409 non dice nulla sulla sua preparazione all'AI Act UE, e vale anche il contrario: i due regimi coprono materie diverse, per soggetti diversi, con tempistiche diverse. Per i responsabili IT europei l'ordine non ha efficacia giuridica diretta, ma segnala il contesto in cui operano i fornitori di IA statunitensi — revisione volontaria pre-rilascio anziché obbligatoria, con obblighi di cybersicurezza che ricadono sulle agenzie federali e non sui prodotti commerciali dei fornitori.

Cerca prove che un fornitore partecipi al quadro volontario sui modelli di frontiera, invece di dare per scontato che ciò equivalga a una revisione conforme all'AI Act UE. Se stai già raccogliendo evidenze per NIS2 e DORA, puoi applicare la stessa disciplina alle scadenze dell'AI Act: Auris Comply offre supporto per la conformità NIS2/DORA e per la tracciabilità degli audit su questo tipo di documentazione.

Cosa fare

Prima di dare per assodata la dichiarazione di conformità IA di un fornitore, verifica questi punti:

• Chiedi quale articolo o allegato specifico il fornitore dichiara di soddisfare e verifica la data in cui quella disposizione è realmente entrata in vigore — alcune scadenze UE sono state spostate, altre no.
• Considera il rinvio dell'allegato III a dicembre 2027 come tempo in più, non come un'esenzione: gli obblighi di trasparenza dell'articolo 50 si applicano già, indipendentemente da quando arriverà l'allegato III.
• Per i fornitori statunitensi, chiedi se hanno condiviso modelli attraverso il quadro volontario dell'EO 14409, invece di presumere che ci sia stata una revisione governativa formale.
• Non leggere l'assenza di licenze obbligatorie nell'ordine USA come prova di preparazione all'AI Act UE: i due testi affrontano questioni normative del tutto diverse.
• Tieni separati i due calendari, UE e USA, nei contratti e nei fascicoli di audit, perché un rinvio da una parte non sposta le scadenze dall'altra.

Fonti: artificialintelligenceact.eu, La Casa Bianca, Congressional Research Service.