Perché "l'IA è già regolamentata?" è la domanda sbagliata per gli acquirenti dell'UE

Gli acquirenti IT che valutano fornitori di IA continuano a ridurre un insieme di strumenti giuridici diversi a un'unica domanda: l'IA è già regolamentata? Questa domanda non ha una risposta unica, perché un obbligo di trasparenza, un allegato sui sistemi ad alto rischio, una norma sugli appalti pubblici e un ordine esecutivo non entrano in vigore nella stessa data, per le stesse persone o con la stessa forza. L'obbligo di trasparenza previsto dall'articolo 50 dell'AI Act dell'UE, per esempio, è diventato applicabile il 2 agosto 2026, con un periodo di tolleranza fino al 2 dicembre per i sistemi già presenti sul mercato prima di tale data: un obbligo specifico e datato che riguarda fornitori e deployer, non un'affermazione generica secondo cui "l'IA ora è regolamentata". Trattare ciascuno di questi strumenti come un unico orologio porta a due errori opposti: bloccare un progetto che resta lecito oppure avanzare una dichiarazione di conformità che non resisterà a un controllo.

Tre orologi, non uno

Un primo orologio segna quando un obbligo diventa giuridicamente vincolante. Un secondo segna quando un acquirente in una gara pubblica inizia a chiedere ai fornitori prove di conformità, e questo può avvenire ben prima o ben dopo la scadenza legale. Un terzo è il clima politico — discorsi, bozze di orientamenti, post sui blog delle agenzie — che muove i titoli dei giornali e, a volte, i mercati, ma non modifica da solo una norma.

Come leggere una notizia normativa

• Indica lo strumento: si tratta di un atto, un allegato, un ordine esecutivo, una norma tecnica o un discorso?
• Indica il soggetto: l'obbligo ricade sul fornitore, sul deployer, sull'importatore o sull'acquirente?
• Indica il verbo: richiede divulgazione, registrazione, valutazione, divieto o una condizione di appalto?
• Indica la data ricavandola dal testo giuridico primario, non da un riassunto o da una newsletter.

Come si collocano residenza dei dati e latenza

La residenza dei dati è una questione di policy e contratto; la latenza è una questione di topologia di rete e dimensione del modello. Le due cose vengono continuamente confuse, ma rispondono a domande diverse degli acquirenti e andrebbero affrontate con requisiti misurabili, non con il linguaggio del marketing. Per gli MSP che confrontano dove eseguire l'inferenza per i clienti dell'UE, questa distinzione — insieme a una risposta chiara su chi può accedere ai log e su come si presenta un'uscita — conta più di quale fornitore rivendichi l'etichetta di sovranità più appariscente. Lodestar di Altovar è un'opzione per i team che desiderano un piano di controllo con sede nell'UE per quel tipo di decisione di instradamento, senza trattarlo come un sostituto della lettura dello strumento normativo sottostante.

Una risposta di conformità seria cita il documento primario, indica con chiarezza che cosa non decide e non trasforma mai un codice volontario in una sanzione né un'affermazione di marketing in una certificazione.

Fonti: Regolamento UE sull'intelligenza artificiale — Obblighi di trasparenza dell'articolo 50.