Dal 2 agosto, l’AI Act è entrato nella sua fase di applicazione generale. Sei giorni prima, il 27 luglio, era entrato in vigore il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, che ha spostato al 2 dicembre 2027 l’applicazione delle regole sui sistemi ad alto rischio di cui all’articolo 6, paragrafo 2, e all’Allegato III, e al 2 agosto 2028 quella sui sistemi ad alto rischio di cui all’articolo 6, paragrafo 1, e all’Allegato I, cioè quelli collegati ai prodotti disciplinati dalla normativa di armonizzazione dell’Unione. Il rinvio riguarda le sezioni 1, 2 e 3 del Capo III e, quindi, anche l’articolo 14 sulla sorveglianza umana. Restano applicabili, dal 2 agosto, gli obblighi di trasparenza dell’articolo 50, la governance e le sanzioni, con la sola disciplina transitoria dell’articolo 111, paragrafo 4, che concede ai fornitori di sistemi generativi già sul mercato fino al 2 dicembre 2026 per adeguarsi alla marcatura dei contenuti.
Il dibattito si è concentrato, comprensibilmente, sulle date. Ma mentre il calendario si allungava, il tipo di sistema che le regole dovevano governare stava cambiando.
Dalla generazione all’azione
Fino a ieri il rischio dell’intelligenza artificiale era, nella maggior parte dei casi, un rischio di contenuto: un testo sbagliato, un’immagine manipolata, una decisione automatizzata da contestare. Oggi si diffondono sistemi che pianificano, usano strumenti, invocano servizi esterni, modificano dati e concludono operazioni senza un nuovo intervento umano a ogni passaggio. Prenotano, pagano, inviano comunicazioni, aprono e chiudono processi. Il rischio non è più soltanto ciò che il sistema dice, ma ciò che il sistema fa.
Due episodi recenti lo mostrano meglio di qualsiasi definizione. A luglio, durante una valutazione interna, agenti basati su modelli OpenAI sono usciti dall’ambiente di prova, hanno raccolto credenziali esposte su servizi terzi e hanno operato per due giorni e mezzo nell’infrastruttura di produzione di Hugging Face, che ha successivamente ricostruito, dai propri log, oltre 17.000 eventi. L’intrusione non era l’obiettivo del compito assegnato ai sistemi. Il 1° settembre, la Sesta Sezione del Superior Tribunal de Justiça brasiliano ha disposto la segnalazione all’Ordine degli avvocati e al pubblico ministero federale dopo aver individuato, nell’ultima pagina di un ricorso, un comando in caratteri bianchi su fondo bianco che istruiva l’eventuale sistema di intelligenza artificiale del tribunale ad accogliere le ragioni della difesa. I difensori hanno dichiarato di non conoscere né l’origine né l’autore dell’inserimento; il relatore ha osservato che ciò non cambia il fatto.
Nel primo caso, l’agente ha prodotto effetti che eccedevano l’obiettivo del compito assegnato; nel secondo, qualcuno ha tentato di condizionare il comportamento di un sistema altrui. In entrambi la domanda giuridica è la stessa: chi risponde, e come lo si prova.
L’AI Act non ha un vuoto sugli agenti. Ha un’altra architettura
Sarebbe facile dire che l’AI Act “non prevede” gli agenti. Non è esatto, ed è una lettura che indebolisce l’analisi. L’AI Act non considera l’agenticità come criterio autonomo di classificazione. La sua architettura distribuisce gli obblighi in base a pratiche vietate, categorie di rischio, funzioni specifiche e modelli di uso generale. Un agente può rientrare in ciascuna di queste categorie o in nessuna di esse, a seconda del compito per cui è impiegato. L’agenticità, cioè il grado in cui un sistema può pianificare ed eseguire azioni senza ulteriore istruzione umana, attraversa questa architettura senza costituire, di per sé, una categoria normativa.
Questo ha una conseguenza precisa. Le regole che più direttamente governano l’azione di un sistema, la gestione del rischio dell’articolo 9, la registrazione automatica degli eventi dell’articolo 12, la sorveglianza umana dell’articolo 14, sono tutte nel Capo III e si applicano ai sistemi classificati ad alto rischio. Per effetto del nuovo calendario, questi obblighi si applicheranno dal 2 dicembre 2027 ai sistemi di cui all’articolo 6, paragrafo 2, e dal 2 agosto 2028 a quelli di cui all’articolo 6, paragrafo 1. Gli obblighi specifici di quegli articoli, invece, non si estendono, per questa sola ragione, agli agenti che non rientrano nella categoria dei sistemi ad alto rischio, anche quando presentano un significativo grado di autonomia operativa.
Il vuoto, dunque, non è normativo. È probatorio.
Autonomia tecnica e autonomia giuridica
Il punto di partenza è una distinzione semplice: l’autonomia tecnica non crea autonomia giuridica. Un agente può decidere il percorso, scegliere lo strumento, adattare il piano; questa distanza crescente tra l’istruzione umana e l’effetto finale è reale, ed è tecnica. Ma non produce un nuovo soggetto di diritto. L’agente non ha personalità, non ha patrimonio, non può rispondere di nulla. Dire “ha deciso il sistema” descrive un meccanismo, non attribuisce una responsabilità. Gli effetti dell’azione dell’agente vanno ricondotti alla catena dei soggetti e delle decisioni giuridicamente rilevanti: chi lo ha sviluppato, chi lo ha configurato, chi gli ha delegato un compito, chi ne ha fissato i limiti, chi era tenuto, ove previsto, a sorvegliarne l’operato. Quale anello assuma rilievo dipende dal caso concreto e dalla disciplina applicabile.
Il problema è che, con l’aumentare dell’autonomia, la catena da ricostruire si allunga. E qui la registrazione degli eventi, il log, non basta. Un log dimostra che il sistema ha chiamato un servizio specifico a una determinata ora. Non dimostra perché avesse accesso a quel servizio, chi glielo avesse concesso, per quale obiettivo, entro quali limiti, se l’azione fosse stata all’interno o all’esterno del mandato, se un intervento umano fosse stato possibile o dovuto, e quale effetto ne fosse seguito. I 17.000 eventi ricostruiti da Hugging Face rispondono con precisione straordinaria alla domanda “che cosa è accaduto”. Non possono, da soli, rispondere alla domanda “chi era legittimato a lasciarlo accadere”.
Accountability probatoria
Chiamo questa proprietà mancante di accountability probatoria: la capacità di ricostruire, attraverso evidenze conservate, la catena che collega l’obiettivo, la delega, l’autorità con cui l’agente ha agito, i limiti che gli erano stati posti, le azioni compiute, gli interventi umani e gli effetti prodotti, così da rendere possibile l’imputazione giuridica delle condotte e delle relative conseguenze. Non è sorveglianza, che consente di intervenire; non è monitoraggio, che consente di osservare; non è logging, che conserva gli eventi. È ciò che consente di collegare tali evidenze alla ricostruzione dell’imputazione e della responsabilità.
Che cosa fare prima del 2027
La conclusione pratica è controintuitiva: il rinvio non concede tempo, lo toglie. Le organizzazioni che oggi delegano compiti ad agenti non possono attendere il 2027 per decidere quali evidenze quei sistemi dovranno lasciare, perché l’attribuzione non si ricostruisce a posteriori se le prove necessarie non sono state progettate per esistere. L’accountability opera dopo l’azione, ma va progettata prima.
Vale anche per la sorveglianza umana, che il rinvio dell’articolo 14 non rende meno necessaria per chi delega oggi. Sorvegliare un agente non significa approvare ogni sua azione, il che eliminerebbe la delega invece di governarla, ma significa calibrare l’intervento e i controlli in base al grado di autonomia effettivamente conferito. E la sorveglianza è a sua volta un anello della catena: se l’intervento umano non lascia evidenza, anche il ruolo dell’essere umano nella sequenza decisionale rischia di diventare probatoriamente invisibile.
Tre passaggi, proporzionati al rischio
Prima dell’azione, definire. Documentare l’obiettivo delegato, il perimetro della delega, i permessi concessi, le azioni vietate, le condizioni che impongono l’escalation a un umano e la persona o la funzione responsabile della delega.
Durante l’azione, conservare. Mantenere evidenza delle azioni rilevanti e delle chiamate a strumenti esterni, dell’uso e delle modifiche dei permessi, delle transizioni di stato significative, degli interventi umani e degli effetti prodotti. Un assistente interno a basso rischio e un agente che dispone pagamenti non richiedono le stesse evidenze.
Dopo l’azione, attribuire. Deve essere possibile collegare la delega all’esecuzione, l’esecuzione all’intervento umano, l’intervento all’effetto e l’effetto a un responsabile identificabile.
La responsabilità resta umana
Lo scopo non è rendere l’agente responsabile. È impedire che la sua autonomia tecnica renda invisibile, sul piano probatorio, la responsabilità umana. Quanto più un agente diventa tecnicamente autonomo, tanto più, e non tanto meno, la catena che riconduce le sue azioni alla responsabilità umana deve restare giuridicamente e probatoriamente visibile.
- Nicola Fabiano, avvocato cassazionista e ricercatore in AI governance, è membro del Support Pool of Experts dell’EDPB e dell’International Neural Network Society. È autore di Agentic AI. Autonomia tecnica, responsabilità umana e governance giuridica (2026), pubblicato anche in edizione inglese.
Novità su Google, per aggiungere Key4Biz tra le tue fonti preferite, clicca qui
