Governance e obblighi: cosa impone il regolamento, e cosa resta una scelta

«AI governance» e «AI compliance» sono due espressioni che nel regolamento europeo non compaiono come categorie rivolte alle imprese che usano l'intelligenza artificiale. Sono parole del mestiere, non della norma. Il che non le rende inutili: le rende una cosa diversa dagli obblighi, ed è quella differenza che conviene tenere ferma.

Gli obblighi che esistono oggi

Secondo il calendario ufficiale, per un'impresa che utilizza sistemi di AI sono già applicabili tre gruppi di regole:

• i divieti su alcune pratiche, dal 2 febbraio 2025;
• l'alfabetizzazione in materia di AI, dal 2 febbraio 2025, con la vigilanza che è cominciata il 2 agosto 2026;
• gli obblighi di trasparenza dell'articolo 50, dal 2 agosto 2026.

L'alfabetizzazione, all'articolo 4, è formulata come un obbligo di mezzi: fornitori e utilizzatori adottano misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione del proprio personale e delle altre persone che si occupano del funzionamento e dell'uso dei sistemi per loro conto, tenendo conto delle loro conoscenze tecniche, dell'esperienza, dell'istruzione e della formazione, del contesto d'uso e delle persone o dei gruppi nei cui confronti i sistemi saranno usati. Che cosa dice esattamente quell'articolo, e da quando, sta in Alfabetizzazione in materia di AI: l'articolo 4.

Gli obblighi dell'articolo 26 — istruzioni per l'uso, log per almeno sei mesi, informazione ai lavoratori, sorveglianza affidata a persone competenti — riguardano i sistemi ad alto rischio, e si applicano dal 2 dicembre 2027 o dal 2 agosto 2028 a seconda della categoria.

Quello che non discende da nessuna disposizione

Nel regolamento non si trova l'obbligo, per un'impresa che utilizza l'AI, di:

• tenere un registro dei sistemi usati;
• nominare un responsabile dell'intelligenza artificiale;
• adottare una policy interna sull'uso dell'AI;
• produrre un punteggio o un indice del proprio stato di conformità.

Sono pratiche organizzative. Possono essere ragionevoli, e alcune sono il modo più semplice per arrivare preparati agli obblighi che invece esistono — ma chiamarle adempimenti è impreciso, e l'imprecisione ha un costo: sposta l'attenzione e le risorse dalle cose dovute a quelle facoltative.

Una cosa è cambiata il 30 settembre, e non è questa

Dal 30 settembre 2026 è in vigore il decreto legislativo 160/2026, che porta l'AI nel codice penale e nel catalogo dei reati presupposto della «231», e scrive regole processuali per le cause di risarcimento. Non trasforma in obblighi nessuna delle quattro voci qui sopra: un obbligo di tenere un registro dei sistemi, di nominare un responsabile o di adottare una policy non c'è nemmeno lì.

Cambia però il prezzo di non avere documentazione, e lo cambia in modo molto concreto. Nelle cause di risarcimento per danni causati usando un sistema di AI, il giudice può ordinare l'esibizione dei registri del sistema, della documentazione tecnica e delle informazioni sulla sorveglianza umana; e se quei documenti non arrivano senza un giustificato motivo, «ritiene come ammessi i fatti allegati dall'istante». Lo stesso decreto precisa che la conformità al regolamento, «anche se certificata», non esclude di per sé la responsabilità.

Resta quindi vero che tenere un registro è una scelta e non un adempimento. È diventato più caro non farla: cosa dice esattamente il decreto, e a chi, sta in Il decreto 160/2026.

Un avvertimento sulle pagine che le contengono entrambe

Molto materiale divulgativo mescola i due piani in un elenco unico di «cose da fare». Il modo più rapido per distinguerli è chiedere, voce per voce, quale articolo la impone. Se la risposta non c'è, non significa che la voce sia sbagliata: significa che è una scelta, e come tale va decisa, non subita.

Una nota sulle fonti di questo articolo

Le pagine della Commissione che ospitano gli articoli 4 e 50 riportano un avviso: quelle disposizioni sono state modificate dall'AI Omnibus e il testo mostrato non è aggiornato. La pagina dell'articolo 26 non lo riporta. Per il testo vigente il riferimento resta il consolidato su EUR-Lex.