Leggi sull’intelligenza artificiale nel 2026: le regole globali e come rispettarle

In sintesi

• Non esiste un’unica legge mondiale sull’IA. Adeguarsi significa seguire un mosaico di norme regionali e nazionali, di cui il regolamento europeo detta il ritmo.
• Il regolamento europeo sull’IA (EU AI Act) resta il regime di riferimento a livello mondiale: classificazione per livello di rischio, portata extraterritoriale e sanzioni fino a 35 milioni di euro o al 7 per cento del fatturato mondiale.
• Gli Stati Uniti non dispongono di una legge federale organica. Operano attraverso un mosaico di Stati in rapida evoluzione, con Colorado e Texas in prima fila.
• Gli standard volontari, ISO/IEC 42001 e il NIST AI RMF, costituiscono la spina dorsale che consente a un unico insieme di controlli di rispondere a più leggi.
• La risposta duratura non è l’ennesimo tracciatore giuridico, bensì un solo modello operativo: censire i sistemi di IA, classificarli, collegare gli obblighi ai controlli e conservare le prove.

Che cosa comprendono le leggi sull’intelligenza artificiale nel 2026

Dietro la ricerca di informazioni sulle leggi sull’intelligenza artificiale si celano in realtà tre strati di regole che oggi si sovrappongono. Il primo strato è la legge vincolante: i testi che prevedono sanzioni, come il regolamento europeo sull’IA, le leggi dei singoli Stati americani o le misure cinesi su algoritmi e contenuti. Il secondo strato riunisce gli standard certificabili, a partire dalla norma ISO/IEC 42001, riferimento internazionale di un sistema di gestione dell’IA che un organismo accreditato può sottoporre ad audit. Il terzo strato comprende i quadri volontari, come il NIST AI RMF e i principi dell’OCSE, che non sono leggi ma orientano sempre più le aspettative delle autorità e dei clienti. La dimensione del fenomeno spiega la posta in gioco. All’inizio del 2026 oltre 72 Paesi avevano avviato più di 1.000 iniziative di politica pubblica sull’IA, secondo un’analisi comparativa della regolazione. Soltanto due giurisdizioni, l’Unione europea e la Corea del Sud, hanno adottato una legge orizzontale organica. Ovunque altrove l’IA è disciplinata da un insieme di regole settoriali, dal diritto della protezione dei dati e da testi più circoscritti, rivolti ai deepfake, alla selezione del personale o alle elezioni. In Italia il Garante per la protezione dei dati personali e l’AgID accompagnano questa evoluzione con proprie indicazioni. Per un team di governance la conseguenza pratica è chiara: le leggi sull’intelligenza artificiale non vanno mai lette una alla volta. Un singolo sistema di IA impiegato su più mercati può attivare al tempo stesso il regolamento europeo, una legge statale americana e un’autorità di settore. Il resto di questa guida passa perciò dalla mappa delle regole a un modo di operare capace di reggere di fronte a tutte. Per le organizzazioni che partono da zero, la piattaforma AI Sigil trasforma questo quadro in un unico registro degli obblighi.

La mappa mondiale delle leggi sull’IA

La regolazione dell’IA nel 2026 si raggruppa in quattro grandi modelli. Ciascuno tratta la stessa tecnologia in modo diverso, cosicché il modello applicabile dipende dal luogo in cui i sistemi vengono progettati, immessi sul mercato e utilizzati.

Unione europea: il regolamento sull’IA

Il regolamento europeo sull’IA è la legge più completa in vigore. Classifica i sistemi in quattro livelli di rischio: inaccettabile (vietato), alto (fortemente regolato), limitato (obblighi di trasparenza) e minimo (pressoché libero). Gli obblighi entrano in applicazione per fasi. I divieti e l’obbligo di alfabetizzazione in materia di IA si sono applicati per primi, gli obblighi relativi all’IA per finalità generali (GPAI) valgono dal 2 agosto 2025 e i doveri per i sistemi ad alto rischio seguono in un secondo tempo. In virtù dell’accordo provvisorio denominato Digital Omnibus del 7 maggio 2026, gli obblighi per i sistemi autonomi ad alto rischio dell’allegato III sono stati rinviati dal 2 agosto 2026 al 2 dicembre 2027, mentre l’IA incorporata nei prodotti segue nel 2027, come indica il calendario ufficiale di applicazione. Il testo va oltre i confini dell’Unione: un fornitore o un deployer stabilito fuori dall’UE viene comunque coinvolto quando l’output del sistema è utilizzato nell’Unione. Le sanzioni arrivano fino a 35 milioni di euro o al 7 per cento del fatturato mondiale per le pratiche vietate e fino a 15 milioni di euro o al 3 per cento per le violazioni relative all’alto rischio, come illustra la sintesi di alto livello.

Stati Uniti: vuoto federale e mosaico di Stati

Gli Stati Uniti non hanno una legge federale organica sull’IA. A legiferare sono gli Stati. Nel dicembre 2025 la Casa Bianca ha emanato un provvedimento su un quadro nazionale di politica dell’IA volto a limitare gli ostacoli posti dalle leggi statali, il che aggiunge una questione di prevalenza senza eliminare il mosaico. Finché il punto non sarà risolto, chi opera in più Stati dovrà conformarsi a ciascuno di essi.

Asia-Pacifico: modelli organici e centrati sui contenuti

La legge quadro sudcoreana sull’IA è entrata in vigore il 22 gennaio 2026, facendo della Corea del Sud la seconda giurisdizione dopo l’UE dotata di una legge organica. La Cina applica un modello diverso, fondato su misure vincolanti: registrazione degli algoritmi presso l’amministrazione del cyberspazio, etichettatura obbligatoria dei contenuti generati dall’IA e autovalutazioni di sicurezza. Singapore e il Giappone privilegiano quadri e strumenti di test anziché leggi rigide.

Regno Unito e regimi basati su principi

Il Regno Unito ha scelto un approccio fondato su principi, guidato dalle autorità di settore, senza una legge dedicata all’IA, appoggiandosi al diritto esistente, come mostra un confronto 2026 dei principali regimi. Diverse altre economie seguono lo stesso schema adattivo, che mantiene regole flessibili ma lascia maggiore interpretazione all’organizzazione.

Quali regole si applicano a voi

Prima di leggere qualsiasi testo, rispondete a due domande: qual è il vostro ruolo e dove viene utilizzato l’output. Questi due assi determinano la maggior parte degli obblighi. Il ruolo è il primo asse. Il regolamento europeo, e la maggior parte delle leggi che vi si ispirano, distinguono il fornitore, che sviluppa o immette sul mercato un sistema, dal deployer, che lo utilizza sotto la propria responsabilità. Il fornitore sostiene l’onere maggiore: documentazione tecnica, valutazione di conformità e registrazione. Il deployer assume doveri più leggeri ma concreti. Ai sensi dell’articolo 26, un deployer deve utilizzare un sistema ad alto rischio conformemente alle istruzioni del fornitore, affidare la sorveglianza umana a persone competenti, monitorare il funzionamento e sospenderne l’uso in presenza di rischi, e conservare i registri generati automaticamente per almeno sei mesi, come ricorda la sintesi del regolamento. Molte organizzazioni sono al tempo stesso deployer di strumenti di terzi e fornitori dei propri sistemi, cumulando così entrambe le serie di doveri. Il territorio è il secondo asse. La portata extraterritoriale significa che la domanda non è dove avete sede, ma dove approda l’output del sistema. Se tale output è utilizzato nell’UE, il regolamento europeo può applicarsi. Se una decisione riguarda un residente del Colorado o del Texas, può applicarsi la legge di quello Stato. Le sovrapposizioni settoriali aggiungono un terzo livello: finanza, sanità e lavoro hanno proprie regole rilevanti per l’IA, a prescindere dalla legge orizzontale. Una breve lista di controllo dell’applicabilità: elencate ogni sistema di IA, indicate se lo fornite o lo utilizzate, annotate tutti i mercati in cui il suo output viene impiegato e segnalate ogni settore regolato coinvolto. Questa sola tabella vi dice quali delle regole di questa guida sono attive per voi e diventa l’ossatura del modello operativo descritto più avanti. Un registro strutturato di gestione del rischio IA rende l’esercizio ripetibile anziché occasionale.

Leggi dei singoli Stati americani: il fronte più mobile

La domanda più frequente dietro le leggi sull’intelligenza artificiale è americana: quali Stati regolano l’IA. Il ritmo è sostenuto. Gli Stati hanno approvato 145 testi sull’IA nel 2025, secondo il riepilogo legislativo della NCSL, e 29 Stati hanno legiferato nel 2026, con oltre 38 Stati che ora detengono almeno una legge più circoscritta, spesso rivolta ai deepfake o ai contenuti elettorali, come mostra un bilancio di metà 2026. Due Stati mostrano quanto rapidamente il terreno si sposti. Il Colorado aveva approvato la legge SB 24-205, un ampio testo di tutela dei consumatori, efficace dal 30 giugno 2026 dopo un rinvio dal 1 febbraio 2026. Nel maggio 2026 lo Stato l’ha abrogata e sostituita con la legge SB 26-189, più circoscritta, sulle tecnologie di decisione automatizzata, efficace dal 1 gennaio 2027, come segue lo studio Cooley. Il Texas ha imboccato un’altra via con il Texas Responsible AI Governance Act (TRAIGA, HB 149), firmato il 22 giugno 2025 ed efficace dal 1 gennaio 2026, incentrato su un breve elenco di usi vietati e su regole per l’IA delle amministrazioni, secondo una guida Stato per Stato. La lezione per i team di conformità è che le leggi statali sono bersagli mobili. Le date di efficacia slittano, gli ambiti si restringono, le definizioni cambiano da una sessione all’altra. Seguire il testo è necessario ma non sufficiente. A durare è uno strato di controlli capace di assorbire una nuova legge statale senza ricostruire tutto, oggetto della sezione seguente.

Dal testo giuridico ai controlli operativi

È qui che la maggior parte dei tracciatori giuridici si ferma ed è qui che un team di governance deve iniziare. Le leggi descrivono risultati attesi, non si eseguono dentro l’organizzazione. Per trasformare le leggi sull’intelligenza artificiale in pratica quotidiana, adottate un modello operativo in quattro passi. Il primo passo è l’inventario. Non si governa ciò che non si vede. Costruite un unico registro di ogni sistema di IA, compresi gli strumenti di terzi e quelli adottati in modo informale, affinché l’IA ombra non resti fuori dal perimetro. Ogni voce annota la finalità, i dati utilizzati, il responsabile e i mercati in cui l’output viene impiegato. Il registro AI Sigil è concepito per diventare questa fonte di verità. Il secondo passo è la classificazione. Sulla base di quel registro, classificate ogni sistema per rischio e per ruolo. Collegatelo ai livelli del regolamento europeo, indicate se siete fornitori o deployer e contrassegnate le giurisdizioni interessate. La classificazione converte la tabella di applicabilità della sezione precedente in un carico di lavoro con priorità. Il terzo passo è la mappatura dei controlli. È il punto che cambia l’economia della conformità. La maggior parte delle regole chiede gli stessi comportamenti di fondo: valutazione del rischio, governance dei dati, sorveglianza umana, registrazione, trasparenza e gestione degli incidenti. Anziché scrivere un insieme di controlli per ogni legge, definite un’unica libreria di controlli e collegate ciascun controllo agli obblighi che soddisfa in più testi. Un solo controllo di sorveglianza umana può rispondere al regolamento europeo, a una legge statale americana e a una politica interna al tempo stesso. Il quarto passo è la prova. Le autorità e i revisori non accettano le intenzioni, ma le tracce. Ogni controllo richiede un responsabile, una cadenza e prove conservate: valutazioni, approvazioni, registri e autorizzazioni. Quando la prova viene raccolta mentre il lavoro si svolge, un audit diventa un’interrogazione anziché una corsa contro il tempo. Qui si tratta di copertura e completezza dei controlli, non di un unico punteggio ponderato.

Gli standard come spina dorsale della conformità: ISO 42001 e NIST AI RMF

La libreria di controlli del terzo passo non deve essere inventata. Due standard la forniscono già, ed è il loro impiego a permettere a un solo programma di rispondere a molte leggi. La norma ISO/IEC 42001 è il riferimento internazionale di un sistema di gestione dell’IA. È certificabile: un organismo accreditato può sottoporre ad audit il vostro programma e rilasciare un certificato riconosciuto da clienti e autorità. Fornisce la struttura di governance: politica, ruoli, processo di rischio, controlli e miglioramento continuo. Il NIST AI RMF è un quadro statunitense volontario organizzato attorno a quattro funzioni, governare, mappare, misurare e gestire, più concreto sul come condurre il lavoro sul rischio. I due si incastrano: ISO/IEC 42001 fornisce il sistema di gestione verificabile e il NIST AI RMF il metodo di rischio che lo anima, come descrive un confronto in linguaggio chiaro dei tre regimi. Il vantaggio è il riuso da una giurisdizione all’altra. Il NIST pubblica tabelle di corrispondenza dal proprio quadro alla raccomandazione dell’OCSE e a ISO/IEC 42001, ed entrambe le norme si allineano strettamente alle aspettative del regolamento europeo in materia di gestione del rischio, documentazione e sorveglianza. Costruite la vostra libreria di controlli attorno a queste norme e gran parte dei vostri obblighi, ai sensi del regolamento europeo, delle leggi statali americane e dei regimi dell’Asia-Pacifico, sarà coperta dalle stesse prove. Mantenete un solo programma, non uno per legge. AI Sigil fornisce la propria libreria di controlli già collegata a ISO/IEC 42001 e al NIST AI RMF proprio per questo motivo.

Costruire un modello operativo di conformità IA

Mettere insieme i pezzi produce un metodo che sopravvive alle nuove leggi. Partite dal registro come fonte unica di verità per ogni sistema di IA in uso. Sovrapponete livelli di rischio affinché i sistemi ad alto rischio ricevano la massima attenzione. Separate i controlli in due gruppi: i controlli fondamentali validi per l’intera organizzazione, come una politica sull’IA o un programma di alfabetizzazione, e i controlli di sistema propri di un caso d’uso, come il test dei bias o la sorveglianza umana di un modello di selezione. La governance ha bisogno di un ancoraggio. Affidate a un comitato o a un responsabile identificato un’autorità reale per approvare gli usi ad alto rischio, esaminare gli incidenti e convalidare le prove. Stabilite una cadenza di monitoraggio affinché i controlli vengano riattestati secondo un calendario, e non verificati una volta e poi dimenticati, perché le leggi sull’intelligenza artificiale come i vostri stessi sistemi evolvono tra una revisione e l’altra. Il pregio di questo modello è che una nuova legge diventa un aggiornamento, non un progetto. Quando arriva la prossima legge statale o il prossimo atto delegato, collegate i suoi requisiti a controlli già attivi, colmate le lacune e proseguite. È la differenza tra rincorrere il testo giuridico e gestire un programma di governance. La piattaforma AI Sigil è progettata per far girare questo ciclo dall’inizio alla fine, dal registro alla prova.

Domande frequenti

Quali sono le leggi che regolano l’IA? Le leggi che regolano l’IA sono i testi vincolanti che ne disciplinano sviluppo e uso, integrati da standard e quadri che orientano le aspettative. Il testo vincolante più chiaro è il regolamento europeo sull’IA. Vi si aggiungono le leggi statali americane, le misure cinesi su algoritmi e contenuti e la legge quadro sudcoreana. Accanto figurano standard certificabili come ISO/IEC 42001 e quadri volontari come il NIST AI RMF, che non sono leggi ma spesso decidono ciò che autorità e clienti accettano. Quali Stati americani hanno leggi sull’IA? Più di 38 Stati americani detengono almeno una legge sull’IA e 29 Stati hanno legiferato nel 2026. Molti di questi testi riguardano temi circoscritti come i deepfake o i contenuti elettorali. Un gruppo più ristretto dispone di regole ampie e trasversali, con Colorado e Texas come esempi più noti. Poiché le date di efficacia e gli ambiti cambiano spesso, il conteggio va letto come un valore mobile anziché come un elenco fisso. Esiste una legge mondiale sull’IA? No. Non esiste un’unica legge mondiale sull’IA né un regolatore planetario. Il punto di riferimento più vicino è il regolamento europeo, perché la sua portata extraterritoriale obbliga molte organizzazioni non europee a conformarsi e perché altri governi ne riprendono la struttura per livelli di rischio. Anche standard globali come ISO/IEC 42001 creano una base comune, ma sono volontari e non vincolanti. Che cos’è il regolamento europeo sull’IA e a chi si applica? Il regolamento europeo sull’IA è la legge organica dell’Unione. Ordina i sistemi per livello di rischio e impone i doveri più gravosi agli usi ad alto rischio. Si applica ai fornitori e ai deployer, anche fuori dall’UE quando l’output del sistema è utilizzato nell’Unione. Le sanzioni arrivano fino a 35 milioni di euro o al 7 per cento del fatturato mondiale per le pratiche vietate. Quali sono le nuove leggi sull’IA nel 2026? Nel 2026 è entrata in vigore la legge quadro sudcoreana, il TRAIGA texano è diventato efficace il 1 gennaio e il Colorado ha sostituito la propria legge iniziale con un testo più circoscritto sulla decisione automatizzata previsto per il 2027. L’UE ha inoltre rinviato parte del calendario ad alto rischio a dicembre 2027. Nel frattempo decine di Stati americani hanno approvato misure più circoscritte, mantenendo il panorama in continuo movimento. Come ci si conforma alle leggi sull’IA in più Paesi? La via efficiente è un unico modello operativo anziché un progetto per legge. Censite ogni sistema di IA, classificatelo per rischio e per ruolo, collegate gli obblighi a una libreria di controlli costruita su ISO/IEC 42001 e sul NIST AI RMF e conservate la prova di ogni controllo. Poiché queste norme si allineano alla maggior parte delle leggi, gli stessi controlli e le stesse tracce soddisfano più regimi al tempo stesso, cosicché una nuova legge diventa un aggiornamento e non una ricostruzione.

Conclusione

Il tratto distintivo delle leggi sull’intelligenza artificiale nel 2026 è la frammentazione. Nessun corpus mondiale unico, un regolamento europeo che guida la marcia pur vedendo slittare il proprio calendario e un mosaico di Stati americani che cambia sessione dopo sessione. Voler tenere il passo legge per legge è una corsa persa in partenza. Le organizzazioni che restano conformi trattano il mosaico come una condizione duratura e vi rispondono con la struttura: un unico registro di IA, una chiara classificazione dei rischi, una libreria di controlli collegata a ISO/IEC 42001 e al NIST AI RMF e prove raccolte mentre il lavoro si svolge. Questo modello operativo trasforma ogni nuovo testo in un aggiornamento gestibile anziché in un’emergenza. Per costruirlo su un’unica piattaforma, dal registro alla prova pronta per l’audit, iniziate con AI Sigil.