Leggi sull’IA in California: chi deve adeguarsi ed entro quando

In sintesi

• Le leggi sull’IA in California non formano un codice unico ma un mosaico di leggi mirate e regolamenti di agenzia, e già una dozzina vincola le imprese nel 2026.
• Gli obblighi dipendono dal ruolo: sviluppatore di modelli di frontiera, fornitore di IA generativa, gestore di chatbot, datore di lavoro, impresa soggetta al CCPA, piattaforma o fornitore dello Stato.
• La prossima scadenza rigida è il 1° gennaio 2027, quando si applicano le regole CCPA sulle decisioni automatizzate e i nuovi obblighi delle piattaforme.
• Il governatore Gavin Newsom ha firmato altre quattro leggi sull’IA il 9 e 10 settembre 2026, e circa 30 proposte attendono la sua decisione fino al 30 settembre 2026.
• L’offensiva federale contro le leggi statali non ha finora fatto cadere alcuna norma californiana: conviene adeguarsi con controlli riutilizzabili altrove.

Le leggi sull’IA in California non riguardano più soltanto i grandi laboratori della Silicon Valley. Un distributore che seleziona candidature, una banca che valuta il merito creditizio, un gruppo editoriale che genera immagini e una start-up che gestisce un chatbot di compagnia possono ricadere, ciascuno, sotto una legge, un’autorità e un calendario diversi. Per un’azienda italiana che vende negli Stati Uniti o vi impiega personale, la difficoltà non sta nel leggere una norma, ma nel riconoscerne una dozzina e nel capire quale si applichi a quale sistema. Questa guida ordina le leggi sull’IA in California per ruolo e per data: cosa è già esigibile, cosa si applica dal 1° gennaio 2027, cosa è stato firmato a settembre 2026, cosa resta in sospeso e come costruire un unico sistema di controlli valido anche per Colorado, Texas e AI Act europeo. Le informazioni sono aggiornate all’11 settembre 2026.

Le leggi sull’IA in California in breve: un mosaico, non un codice

La California ha tentato una sola volta la strada di una grande legge trasversale. Nel settembre 2024 Gavin Newsom ha posto il veto sul SB 1047, che avrebbe imposto test di sicurezza e un meccanismo di spegnimento ai modelli più grandi. Un anno dopo ha firmato il suo successore, molto più circoscritto, il SB 53, mentre il Parlamento statale continuava a legiferare un caso d’uso alla volta. Il risultato è un regime a tre livelli:

1. Le leggi approvate dal Parlamento e applicate soprattutto dall’Attorney General, talvolta con un’azione privata a disposizione dei danneggiati.
2. I regolamenti di agenzia, in primo luogo quelli della California Privacy Protection Agency (CPPA) sulla tecnologia decisionale automatizzata (ADMT) e quelli del Civil Rights Council sui sistemi decisionali automatizzati nel lavoro.
3. Gli ordini esecutivi del governatore, come il N-5-26 sugli acquisti pubblici di IA, che vincolano l’amministrazione e, per contratto, i suoi fornitori.

La mappatura normativa di AI Sigil conta per la California circa 35 strumenti e 110 obblighi distinti. La maggior parte delle imprese ne incontra solo una manciata. La tabella riporta le leggi sull’IA in California che toccano la platea più ampia di aziende. <table header-row=”true”> <tr> <td>Norma</td> <td>Destinatari</td> <td>Stato</td> <td>Controllo e sanzione</td> </tr> <tr> <td>SB 53, legge sulla trasparenza dell’IA di frontiera</td> <td>Sviluppatori di modelli di frontiera</td> <td>In vigore dal 1° gennaio 2026</td> <td>Attorney General, fino a 1 milione di dollari per violazione</td> </tr> <tr> <td>AB 2013, trasparenza dei dati di addestramento</td> <td>Sviluppatori di IA generativa offerta ai californiani</td> <td>In vigore dal 1° gennaio 2026</td> <td>Attorney General</td> </tr> <tr> <td>SB 942 modificato da AB 853, California AI Transparency Act</td> <td>Fornitori di IA generativa con oltre 1 milione di utenti mensili; piattaforme dal 2027</td> <td>Operativo dal 2 agosto 2026</td> <td>Attorney General e avvocature locali, 5.000 dollari per violazione al giorno</td> </tr> <tr> <td>SB 243, chatbot di compagnia</td> <td>Gestori di chatbot di compagnia</td> <td>In vigore dal 1° gennaio 2026</td> <td>Azione privata, 1.000 dollari per violazione</td> </tr> <tr> <td>Regolamenti CCPA su ADMT e valutazioni del rischio</td> <td>Imprese soggette al CCPA</td> <td>Efficaci dal 1° gennaio 2026; conformità ADMT entro il 1° gennaio 2027</td> <td>CPPA e Attorney General, fino a 7.500 dollari per violazione</td> </tr> <tr> <td>Regole FEHA sui sistemi decisionali automatizzati</td> <td>Datori di lavoro con almeno cinque dipendenti e loro incaricati</td> <td>In vigore dal 1° ottobre 2025</td> <td>Civil Rights Department e cause civili</td> </tr> <tr> <td>AB 316</td> <td>Chiunque sviluppi, modifichi o utilizzi un’IA</td> <td>In vigore dal 1° gennaio 2026</td> <td>Tribunali civili</td> </tr> </table> Il quadro globale si trova nella nostra guida alle leggi sull’intelligenza artificiale nel 2026. Qui restiamo sulle leggi sull’IA in California, dove la vera difficoltà di compliance è il ritmo dei cambiamenti.

Quali leggi sull’IA in California riguardano la vostra azienda? La classificazione per ruolo

Molti team di compliance affrontano le leggi sull’IA in California partendo dall’elenco dei numeri di legge. Funziona meglio il percorso inverso: partire dal proprio ruolo, perché ogni norma è costruita attorno a un attore e a un presupposto precisi.

• Sviluppatore di un modello di frontiera. Avete addestrato, o avviato l’addestramento di, un modello di base oltre 10^26 operazioni in virgola mobile: si applica il SB 53. Se il fatturato annuo supera anche i 500 milioni di dollari, siete uno sviluppatore “grande”, con obblighi aggiuntivi. Brookings stima che le imprese coinvolte siano da cinque a otto. Approfondimento: che cos’è un frontier model.
• Fornitore di IA generativa. Il vostro generatore di immagini, video o audio è accessibile al pubblico in California e supera un milione di visitatori o utenti mensili: si applica il California AI Transparency Act. A prescindere dalle dimensioni, pubblicare un sistema generativo per utenti californiani fa scattare l’obbligo di documentazione dell’AB 2013.
• Gestore di un chatbot di compagnia. Il vostro agente conversazionale offre risposte adattive, simili a quelle umane, capaci di sostenere una relazione: si applica già oggi il SB 243, e il SB 1119 aggiunge dal 2027 audit sulla sicurezza dei minori.
• Datore di lavoro. Avete almeno cinque dipendenti e usate un sistema decisionale automatizzato per assumere, promuovere, retribuire o licenziare: si applicano le regole FEHA, e il fornitore del software può essere trattato come vostro incaricato. La nostra guida sull’intelligenza artificiale nelle assunzioni le confronta con New York, Colorado, Illinois e Unione europea.
• Impresa soggetta al CCPA. Superate le soglie del CCPA e usate l’ADMT per una decisione significativa su consumatori, candidati o dipendenti: le regole della CPPA si applicano dal 1° gennaio 2027.
• Sanità. Il SB 1120 disciplina l’IA nella revisione delle prestazioni, l’AB 3030 impone avvertenze sulle comunicazioni ai pazienti generate con IA, l’AB 489 vieta a un’IA di far credere di possedere un’abilitazione sanitaria.
• Grande piattaforma o servizio di hosting. Dal 1° gennaio 2027 l’AB 853 impone il rilevamento dei dati di provenienza e vieta di ospitare consapevolmente generatori non conformi.
• Fornitore dello Stato. L’ordine esecutivo N-5-26 del 30 marzo 2026 chiede alle amministrazioni di inserire certificazioni dei fornitori di IA negli appalti (Ropes & Gray).
• Tutti. L’AB 316 esclude in sede civile la difesa “l’IA ha agito da sola”, e il SB 1001 impone ancora ai bot di dichiararsi quando servono a vendere o a influenzare un voto.

Non avere una sede in California non protegge. Le leggi sull’IA in California si agganciano a utenti, consumatori e dipendenti che si trovano nello Stato: un fornitore italiano con utenti californiani può rientrarvi senza avere un ufficio sul posto.

Cosa si applica già: gli obblighi esigibili oggi

Tra le leggi sull’IA in California, cinque strumenti concentrano la maggior parte degli obblighi per un’impresa tipo. Ognuno ha il suo presupposto, la sua autorità e la sua documentazione.

SB 53, la legge sulla trasparenza dell’IA di frontiera

Firmato il 29 settembre 2025 e in vigore dal 1° gennaio 2026, il SB 53 trasforma impegni volontari in impegni pubblici. Uno sviluppatore grande deve pubblicare un quadro di gestione dei rischi di frontiera che spieghi come individua e riduce i rischi catastrofici, allineato a standard nazionali e internazionali e rivisto almeno una volta l’anno. Ogni sviluppatore di frontiera pubblica un rapporto di trasparenza a ogni rilascio di un modello nuovo o sostanzialmente modificato. Gli incidenti critici di sicurezza vanno segnalati all’Office of Emergency Services entro 15 giorni dalla scoperta, o entro 24 ore in caso di rischio imminente di morte o lesioni gravi. Canali interni di segnalazione e tutela di chi segnala sono obbligatori, e l’Attorney General può chiedere fino a 1 milione di dollari per violazione, secondo Brookings. Il rischio catastrofico è definito in modo stretto: morte o lesioni gravi di almeno 50 persone, oltre 1 miliardo di dollari di danni, assistenza qualificata per armi chimiche, biologiche, radiologiche o nucleari, oppure un modello che sfugge al controllo del proprio sviluppatore. Per un lettore europeo l’equivalente più vicino è il capitolo Sicurezza e protezione del codice di buone pratiche GPAI, che si applica già da 10^25 FLOP: chi tiene quel quadro per l’Unione ha in mano gran parte del materiale richiesto dal SB 53.

AB 2013, la trasparenza dei dati di addestramento

Dal 1° gennaio 2026 lo sviluppatore di un sistema o servizio di IA generativa offerto ai californiani deve pubblicare sul proprio sito una documentazione dei dati di addestramento: fonti e titolari dei dataset, tipologie di dati, presenza di opere protette o di dati personali, uso di dati sintetici, periodi di raccolta e interventi di pulizia. L’obbligo risale ai sistemi pubblicati o sostanzialmente modificati dal 1° gennaio 2022, con un aggiornamento prima di ogni modifica sostanziale. xAI ha impugnato la legge sostenendo che distrugga i segreti commerciali e imponga di parlare; il 4 marzo 2026 un giudice federale ha respinto la richiesta di sospensiva e la causa prosegue (IAPP). Sul versante europeo il corrispondente è la sintesi pubblica dei contenuti di addestramento che l’articolo 53 dell’AI Act chiede ai fornitori di modelli di IA per finalità generali.

SB 942 e AB 853, il California AI Transparency Act

La legge è operativa dal 2 agosto 2026, dopo che l’AB 853 ha spostato la data originaria del 1° gennaio 2026. Un fornitore coperto, cioè un sistema di IA generativa accessibile al pubblico in California, che produce immagini, video o audio e supera un milione di visitatori o utenti mensili, deve:

• offrire uno strumento di rilevamento pubblico e gratuito che indichi se un contenuto proviene dal suo sistema;
• dare all’utente la possibilità di una dicitura visibile, permanente o estremamente difficile da rimuovere;
• incorporare in ogni contenuto una dicitura latente che identifichi fornitore, sistema, versione e data di creazione;
• imporre per contratto ai licenziatari di conservare le diciture e revocare la licenza entro 96 ore dalla scoperta di una violazione.

Dal 1° gennaio 2027 le grandi piattaforme dovranno rilevare e mostrare i dati di provenienza, e i servizi di hosting non potranno più offrire consapevolmente generatori non conformi; i produttori di dispositivi di acquisizione seguiranno il 1° gennaio 2028. La sanzione arriva a 5.000 dollari per violazione, e ogni giorno conta a sé (Morgan Lewis). La logica ricalca gli obblighi di trasparenza dell’articolo 50 dell’AI Act: un’unica catena di provenienza può servire le leggi sull’IA in California e il regime europeo.

SB 243, i chatbot di compagnia

In vigore dal 1° gennaio 2026, il SB 243 impone ai gestori di chatbot di compagnia di dichiarare che l’agente è artificiale quando una persona ragionevole potrebbe essere tratta in inganno, di adottare protocolli per rilevare l’ideazione suicidaria con rinvio ai servizi di crisi e di pubblicare tali protocolli. Con gli utenti che sanno essere minorenni, i gestori devono segnalare l’uso dell’IA, ricordare almeno ogni tre ore di fare una pausa e adottare misure ragionevoli contro i contenuti sessualmente espliciti. Dal 1° luglio 2027 i gestori inviano un rapporto annuale all’Office of Suicide Prevention. Chi subisce un danno può chiedere l’importo maggiore tra il danno effettivo e 1.000 dollari per violazione (Mayer Brown).

Le regole FEHA sui sistemi decisionali automatizzati

Dal 1° ottobre 2025 le regole del Civil Rights Council rendono illecito l’uso di un sistema decisionale automatizzato che discrimini in base a una caratteristica protetta, sia intenzionalmente sia per effetto sproporzionato. Il datore di lavoro conserva per quattro anni i dati del sistema: descrizioni dei dataset, punteggi prodotti, esiti degli audit. I test antidiscriminazione, o la loro assenza, pesano come prova, e il fornitore che agisce per conto del datore di lavoro può essere trattato come suo incaricato (Jackson Lewis). Questa regola, rara tra le leggi sull’IA in California, trasforma la valutazione dei fornitori in una necessità giuridica, non più in una semplice buona pratica.

Le regole CCPA sull’ADMT: la scadenza del 1° gennaio 2027

I regolamenti della CPPA su ADMT, valutazioni del rischio e audit di cybersicurezza sono stati approvati il 22 settembre 2025 e sono efficaci dal 1° gennaio 2026, ma gli obblighi più pesanti arrivano per gradi. Per ADMT si intende qualsiasi tecnologia che tratta dati personali per sostituire, o sostituire in misura sostanziale, la decisione umana. Quando un’impresa la usa per una decisione significativa, cioè relativa a credito o servizi finanziari, abitazione, istruzione, lavoro o sanità, deve entro il 1° gennaio 2027:

• fornire un’informativa preventiva su finalità, funzionamento della tecnologia e diritti dell’interessato;
• offrire un diritto di opposizione, salvo eccezioni, ad esempio la possibilità di ricorrere a un revisore umano;
• rispondere alle richieste di accesso sulla logica dell’ADMT e sull’uso del suo risultato.

Una valutazione del rischio è richiesta prima di ogni trattamento che presenti un rischio significativo: vendita o condivisione di dati personali, trattamento di dati sensibili, uso dell’ADMT per una decisione significativa, inferenze automatizzate tratte da un’osservazione sistematica o addestramento di un’ADMT. I trattamenti iniziati prima del 2026 e tuttora in corso vanno valutati entro il 31 dicembre 2027, e una prima attestazione con una sintesi deve arrivare alla CPPA entro il 1° aprile 2028. Le valutazioni si conservano per tutta la durata del trattamento o per cinque anni dal loro completamento, se più lungo (Morrison Foerster). Seguono gli audit annuali di cybersicurezza, con le prime certificazioni al 1° aprile 2028 per le imprese con oltre 100 milioni di dollari di fatturato, nel 2029 tra 50 e 100 milioni e nel 2030 al di sotto. Ogni violazione costa fino a 7.500 dollari. Tra le leggi sull’IA in California, è quella che ha più probabilità di coinvolgere un gruppo europeo, perché le soglie del CCPA si basano su fatturato e volume di dati, non sull’uso dell’IA. La buona notizia: una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 del GDPR, come quella che il Garante richiede per i trattamenti a rischio elevato, copre gran parte del terreno, così come una valutazione d’impatto sull’IA. Costruite il modello una volta e riutilizzatelo.

Cosa ha firmato Newsom a settembre 2026 e cosa resta in sospeso

La sessione legislativa 2026 si è chiusa il 31 agosto con circa 30 proposte legate all’IA trasmesse al governatore, che ha tempo fino al 30 settembre 2026 per firmarle o porre il veto. Una proposta su cui non decide diventa legge senza la sua firma (Transparency Coalition). Nella settimana in cui è stata scritta questa guida sono state firmate quattro leggi, che spostano le leggi sull’IA in California dalla semplice trasparenza verso la verifica da parte di terzi. Firmate il 9 settembre 2026. Il SB 813 crea un quadro per organismi di verifica indipendenti che valutano la conformità di sistemi e modelli di IA al diritto statale. L’AB 1405 istituisce un registro pubblico degli auditor di IA con regole di indipendenza, trasparenza e integrità; secondo la stampa, l’iscrizione diventerà obbligatoria per gli audit coperti dal 2029 (ufficio del governatore). Insieme creano il mercato della verifica di terza parte, dove le evidenze di un audit IA verranno messe alla prova. Firmate il 10 settembre 2026. Il SB 1119 rafforza le regole sui chatbot di compagnia per i minori: valutazione annuale e documentata dei rischi per gli utenti minorenni, strumenti di controllo per i genitori, audit indipendenti sulla sicurezza dei minori con rapporto trasmesso all’Attorney General entro 90 giorni, un rapporto pubblico dell’Attorney General dal 2028 e un’azione a disposizione di minori e genitori. Il SB 867 impone una moratoria di quattro anni sui giocattoli dotati di chatbot di compagnia per i minori di 16 anni (CalMatters). Salvo diversa previsione, una legge californiana entra in vigore il 1° gennaio successivo: la data da pianificare è il 1° gennaio 2027. Ancora in sospeso all’11 settembre 2026. Tra le proposte che amplierebbero le leggi sull’IA in California e attendono ancora una decisione:

• il SB 947, noto come “No Robo Bosses Act”: divieto di affidarsi soltanto a sistemi automatizzati per sanzionare o licenziare, con revisione umana e informativa (avvio proposto al 1° luglio 2027);
• l’AB 1609: informativa ai consumatori che interagiscono con chatbot di assistenza clienti delle grandi imprese;
• il SB 1000 e l’AB 2713: modifiche al California AI Transparency Act per fornitori e piattaforme;
• il SB 503, l’AB 2575, l’AB 1979 e il SB 903: IA nel supporto alle decisioni cliniche, nella cura e nella psicoterapia;
• il SB 951 e l’AB 1883: IA nei preavvisi di licenziamento collettivo e nella sorveglianza sul lavoro;
• il SB 574: obblighi per gli avvocati che usano l’IA generativa.

Le date proposte per ciascuna figurano nella sintesi di fine sessione di Wiley. Trattate l’elenco come una lista di monitoraggio da rivedere dopo il 30 settembre.

Il calendario delle leggi sull’IA in California, dal 2025 al 2030

Le date qui sotto trasformano le leggi sull’IA in California in uno strumento di pianificazione. Tutto ciò che precede la data odierna è già esigibile. Anche la legge riformata del Colorado punta al 1° gennaio 2027, come spiega la nostra guida al Colorado AI Act: è il traguardo naturale di un programma multi-statale. <table header-row=”true”> <tr> <td>Data</td> <td>Cosa si applica</td> <td>Chi</td> </tr> <tr> <td>1° ottobre 2025</td> <td>Regole FEHA sui sistemi decisionali automatizzati</td> <td>Datori di lavoro con almeno cinque dipendenti</td> </tr> <tr> <td>1° gennaio 2026</td> <td>SB 53, AB 2013, SB 243, AB 316, AB 489; regolamenti CCPA efficaci, valutazioni del rischio per i nuovi trattamenti</td> <td>Sviluppatori di frontiera e di IA generativa, gestori di chatbot, imprese CCPA</td> </tr> <tr> <td>2 agosto 2026</td> <td>Obblighi principali del California AI Transparency Act</td> <td>Fornitori di IA generativa con oltre 1 milione di utenti mensili</td> </tr> <tr> <td>30 settembre 2026</td> <td>Termine per le decisioni del governatore sulle proposte in sospeso</td> <td>Lista di monitoraggio</td> </tr> <tr> <td>1° gennaio 2027</td> <td>Informativa, opposizione e accesso ADMT; obblighi di piattaforme e hosting (AB 853); entrata in vigore attesa di SB 1119, SB 867, SB 813 e AB 1405</td> <td>Imprese CCPA, piattaforme, gestori di chatbot, produttori di giocattoli</td> </tr> <tr> <td>1° luglio 2027</td> <td>Primo rapporto annuale SB 243 all’Office of Suicide Prevention</td> <td>Gestori di chatbot</td> </tr> <tr> <td>31 dicembre 2027</td> <td>Valutazioni del rischio per i trattamenti iniziati prima del 2026</td> <td>Imprese CCPA</td> </tr> <tr> <td>1° gennaio 2028</td> <td>Diciture sui dispositivi di acquisizione; primo rapporto annuale dell’Attorney General sugli audit SB 1119</td> <td>Produttori di dispositivi, gestori di chatbot</td> </tr> <tr> <td>1° aprile 2028</td> <td>Attestazione delle valutazioni del rischio; prime certificazioni di audit di cybersicurezza</td> <td>Imprese CCPA con oltre 100 milioni di dollari di fatturato</td> </tr> <tr> <td>2029</td> <td>Iscrizione degli auditor di IA (AB 1405, secondo la stampa); audit di cybersicurezza per le imprese medie</td> <td>Auditor; imprese tra 50 e 100 milioni di dollari</td> </tr> <tr> <td>1° aprile 2030</td> <td>Audit di cybersicurezza per le imprese più piccole</td> <td>Imprese CCPA sotto i 50 milioni di dollari</td> </tr> </table>

La prelazione federale: adeguarsi comunque

L’11 dicembre 2025 il presidente Trump ha firmato l’ordine esecutivo 14365. Ha istituito presso il Dipartimento di Giustizia una AI Litigation Task Force, operativa dal 9 gennaio 2026, incaricata di contestare le leggi statali sull’IA, ha chiesto al Dipartimento del Commercio di individuare entro l’11 marzo 2026 le leggi statali ritenute “onerose”, ha legato parte dei fondi federali BEAD per la banda larga a tale esame e ha invitato il Congresso a sostituire con regole federali quelle degli Stati (King & Spalding). Le leggi sull’IA in California erano al centro di questo dibattito. Per le leggi sull’IA in California l’effetto concreto finora è limitato. La prima mossa della Task Force è stata unirsi, nell’aprile 2026, al ricorso di xAI contro la legge del Colorado, un caso superato quando il Colorado ha riscritto il testo a maggio. A metà 2026 non risultava alcuna azione federale contro una legge californiana sull’IA, e il Congresso non ha approvato alcuna moratoria. Altri due argomenti spingono verso la conformità. Diverse leggi sull’IA in California prevedono azioni private (SB 243, SB 1119, FEHA) che non dipendono dall’Attorney General. E un ordine esecutivo non può abrogare una legge statale: possono farlo soltanto il Congresso o un giudice. Newsom stesso ha presentato le firme di settembre come una risposta al vuoto federale. Per un team di compliance la posizione sensata è adeguarsi, documentare e mantenere controlli trasferibili, così che un cambiamento in uno Stato modifichi una corrispondenza e non l’intero programma. La nostra guida alla legge TRAIGA affronta il versante texano della stessa questione.

Un unico sistema di controlli per California, Colorado, Texas e AI Act

Un’impresa presente negli Stati Uniti e in Europa non ha bisogno di un programma californiano, di uno per il Colorado e di uno europeo. Serve un unico sistema di controlli con corrispondenze per giurisdizione. La tabella mostra come le principali leggi sull’IA in California si collegano all’AI Act europeo. <table header-row=”true”> <tr> <td>Controllo</td> <td>Aggancio californiano</td> <td>Aggancio AI Act</td> </tr> <tr> <td>Inventario dei sistemi di IA con etichette di giurisdizione</td> <td>Ambito di ogni legge californiana</td> <td>Articolo 6 (classificazione), articolo 49 (registrazione)</td> </tr> <tr> <td>Informativa, opposizione e revisione umana delle decisioni automatizzate</td> <td>Regole CCPA sull’ADMT, regole FEHA</td> <td>Articolo 26, paragrafo 11 (informazione), articolo 86 (spiegazione)</td> </tr> <tr> <td>Provenienza e marcatura dei contenuti</td> <td>SB 942 e AB 853</td> <td>Articolo 50, paragrafo 2</td> </tr> <tr> <td>Trasparenza di chatbot e bot</td> <td>SB 243, SB 1001</td> <td>Articolo 50, paragrafo 1</td> </tr> <tr> <td>Test sui bias e tracciabilità delle decisioni</td> <td>Regole FEHA, conservazione quadriennale</td> <td>Articolo 10, articoli 12 e 26, paragrafo 6 (log)</td> </tr> <tr> <td>Quadro di sicurezza e segnalazione degli incidenti</td> <td>SB 53</td> <td>Articolo 55, articolo 73</td> </tr> <tr> <td>Sintesi dei dati di addestramento</td> <td>AB 2013</td> <td>Articolo 53, paragrafo 1, lettera d)</td> </tr> <tr> <td>Valutazione del rischio o d’impatto</td> <td>Valutazioni del rischio CCPA, SB 1119</td> <td>Articolo 9, articolo 27</td> </tr> <tr> <td>Clausole per fornitori e licenziatari</td> <td>Obblighi dei licenziatari SB 942, regola dell’incaricato FEHA</td> <td>Articolo 25 (catena del valore)</td> </tr> </table> Colorado e Texas trovano posto nelle stesse righe delle leggi sull’IA in California. Il SB 26-189, firmato a maggio 2026, ha trasformato la legge del Colorado in un regime di informativa sulle decisioni automatizzate dal 1° gennaio 2027, coperto dalla riga “informativa”. La legge texana TRAIGA, in vigore dal 1° gennaio 2026, è soprattutto un elenco di divieti basati sull’intenzione, più obblighi di trasparenza per le amministrazioni, coperti dall’inventario e da un filtro sugli usi vietati. Chi in Italia opera già con l’AI Act e con la legge 132/2025, che attribuisce ad AgID e ACN i ruoli di autorità nazionali per l’IA, riconoscerà la stessa logica. È il modello che applica AI Sigil: 28 quadri normativi in quattro regioni, California inclusa, collegati a un’unica biblioteca di obblighi.

Il fascicolo delle prove: i documenti esigibili

Ciascuna delle leggi sull’IA in California genera documenti che un’autorità, un giudice o un ricorrente può pretendere. Assegnate un responsabile a ciascuno prima che arrivi la prima richiesta. <table header-row=”true”> <tr> <td>Documento</td> <td>Norma</td> <td>Termine o conservazione</td> </tr> <tr> <td>Quadro di gestione dei rischi di frontiera e rapporti di trasparenza</td> <td>SB 53</td> <td>Quadro rivisto almeno ogni anno; rapporto a ogni rilascio; informazioni oscurate conservate cinque anni</td> </tr> <tr> <td>Segnalazioni di incidenti critici</td> <td>SB 53</td> <td>15 giorni, o 24 ore se il rischio è imminente</td> </tr> <tr> <td>Documentazione dei dati di addestramento</td> <td>AB 2013</td> <td>Prima del rilascio e prima di ogni modifica sostanziale</td> </tr> <tr> <td>Specifica delle diciture latenti, strumento di rilevamento, clausole di licenza, registro delle revoche</td> <td>SB 942 e AB 853</td> <td>Continuo; revoca entro 96 ore</td> </tr> <tr> <td>Numero di rinvii ai servizi di crisi e protocolli di prevenzione del suicidio</td> <td>SB 243</td> <td>Rapporto annuale dal 1° luglio 2027</td> </tr> <tr> <td>Input, output, punteggi e audit sui bias dei sistemi decisionali</td> <td>Regole FEHA</td> <td>Quattro anni</td> </tr> <tr> <td>Informative ADMT, registri di opposizione e accesso</td> <td>Regolamenti CCPA</td> <td>Dal 1° gennaio 2027</td> </tr> <tr> <td>Valutazioni del rischio</td> <td>Regolamenti CCPA</td> <td>Durata del trattamento o cinque anni, se più lungo</td> </tr> <tr> <td>Valutazioni del rischio per i minori e rapporti di audit</td> <td>SB 1119</td> <td>Annuali; rapporto all’Attorney General entro 90 giorni</td> </tr> </table> Le segnalazioni di incidenti meritano la massima cura, perché il termine del SB 53, come quello dell’articolo 73 dell’AI Act, decorre dalla scoperta. Per la logica europea sui sistemi più delicati, si veda la nostra guida ai sistemi di IA ad alto rischio.

Un piano in 90 giorni per le leggi sull’IA in California

Giorni 1-30: inventario e ambito. Censite ogni sistema di IA, individuate quelli che raggiungono utenti, consumatori o dipendenti in California e annotate per ciascuno il vostro ruolo secondo la classificazione sopra. La maggior parte delle organizzazioni scopre a questo punto strumenti non dichiarati; la nostra guida alla shadow AI copre questa fase. Giorni 31-60: colmare le lacune del 1° gennaio 2027. Redigete le informative preventive ADMT, costruite il flusso di opposizione e accesso, svolgete le valutazioni del rischio che l’ADMT fa scattare e verificate il rilevamento della provenienza se ospitate contenuti. I gestori di chatbot dovrebbero pianificare fin da ora gli audit SB 1119, perché il mercato degli auditor creato da SB 813 e AB 1405 sarà presto saturo. Giorni 61-90: prove e monitoraggio. Assegnate un responsabile a ogni documento del fascicolo delle prove, fissate le date di revisione e tenete sotto osservazione le proposte in sospeso fino al 30 settembre e i contenziosi federali. Collegate i controlli a un quadro riconosciuto come il NIST AI RMF, lo standard nazionale più ovvio per l’allineamento che il SB 53 chiede ai quadri di frontiera.

Domande frequenti

La California ha una legge sull’IA paragonabile all’AI Act europeo? No. Le leggi sull’IA in California sono norme mirate come il SB 53, l’AB 2013, il SB 942 e il SB 243, affiancate da regolamenti sulla privacy nell’ambito del CCPA e da regole antidiscriminazione nell’ambito del FEHA. L’unico progetto trasversale, il SB 1047, è stato bloccato dal veto nel 2024. In pratica non esiste un test di applicabilità unico: ogni norma ha il suo presupposto e l’ambito va verificato legge per legge, a partire dal proprio ruolo. Le leggi sull’IA in California si applicano alle imprese italiane? Nella maggior parte dei casi sì. Si agganciano a utenti, consumatori e dipendenti che si trovano in California, non alla sede legale dell’impresa. Un fornitore europeo di IA generativa con oltre un milione di utenti mensili californiani, o un datore di lavoro che seleziona candidati californiani con uno strumento automatizzato, può rientrarvi anche senza una sede locale. Quali leggi sull’IA in California riguardano i datori di lavoro? Contano tre insiemi di regole. Le regole FEHA sui sistemi decisionali automatizzati, in vigore dal 1° ottobre 2025, vietano esiti discriminatori e impongono quattro anni di conservazione. Le regole CCPA sull’ADMT richiedono informativa, opposizione e accesso per le decisioni significative in materia di lavoro dal 1° gennaio 2027. Il SB 947, in sospeso fino al 30 settembre 2026, vieterebbe di affidarsi soltanto a sistemi automatizzati per sanzionare o licenziare. Da quando si applicano le regole CCPA sull’ADMT? I regolamenti sono efficaci dal 1° gennaio 2026, ma un’impresa che usa già l’ADMT per decisioni significative deve rispettare i requisiti ADMT entro il 1° gennaio 2027. Le valutazioni del rischio per i trattamenti iniziati prima del 2026 sono dovute entro il 31 dicembre 2027, con una prima attestazione alla CPPA entro il 1° aprile 2028. Quali leggi sull’IA in California ha firmato Newsom a settembre 2026? Il 9 settembre 2026 ha firmato il SB 813, sugli organismi di verifica indipendenti, e l’AB 1405, che istituisce un registro degli auditor di IA. Il 10 settembre ha firmato il SB 1119, sulla sicurezza dei minori nei chatbot di compagnia con audit indipendenti, e il SB 867, una moratoria di quattro anni sui giocattoli con chatbot di compagnia per i minori di 16 anni, insieme a diverse leggi sulla sicurezza dei minori online. Il governo federale può scavalcare le leggi sull’IA in California? Solo il Congresso o un giudice possono disapplicare una legge statale. L’ordine esecutivo 14365 ha creato una task force del Dipartimento di Giustizia per contestare le leggi statali sull’IA e ha legato alcuni fondi federali al loro esame, ma a metà 2026 non risultava alcuna azione federale contro una legge californiana sull’IA e il Congresso non aveva approvato alcuna moratoria. Le azioni private previste da SB 243, SB 1119 e FEHA non dipendono dallo Stato.

Conclusione

Le leggi sull’IA in California premiano le imprese che smettono di leggerle una per una. I loro obblighi si riducono a pochi gesti: informare, valutare, conservare, testare i bias, segnalare gli incidenti. Gli stessi gesti ritornano in Colorado, in Texas e nell’AI Act. La prossima scadenza, il 1° gennaio 2027, è abbastanza vicina da pianificarla ora e abbastanza lontana da rispettarla, se l’inventario parte in questo trimestre. AI Sigil mappa le leggi sull’IA in California accanto all’AI Act e ad altre 26 leggi nazionali e statali sull’IA, in un’unica biblioteca di obblighi: una nuova firma diventa un aggiornamento delle corrispondenze, non un nuovo progetto. Se state definendo i vostri obblighi ai sensi delle leggi sull’IA in California, partite dall’inventario e dal calendario qui sopra e ricontrollate l’elenco delle proposte in sospeso dopo il 30 settembre.