Chi guida la conformità di un’impresa italiana che vende negli Stati Uniti, o acquista IA americana, si pone a fine ottobre 2026 una domanda: quale legge federale regola l’IA e che cosa bisogna dimostrare? La regolamentazione dell’IA negli Stati Uniti non offre una risposta altrettanto semplice: nessuna legge federale organica paragonabile all’AI Act (il Regolamento europeo sull’IA), ma uno statuto settoriale per le piattaforme, un corpo di ordini esecutivi per le agenzie e i loro fornitori, e una campagna di preemption che non ha ancora prevalso su alcuna legge statale.
Questa guida descrive lo stato del diritto al 31 ottobre 2026 dalla prospettiva di chi tiene i registri: per ogni obbligo, il documento che ne prova il rispetto, al livello federale, statale ed europeo.
In sintesi
- Al 31 ottobre 2026 la regolamentazione dell’IA negli Stati Uniti non ha alcuna legge federale organica, alcuna licenza o registrazione e alcuna preemption delle leggi statali.
- L’unico statuto sull’IA che vincola i privati è il TAKE IT DOWN Act, applicato dalla FTC dal 19 maggio 2026, fino a 53.088 USD per violazione.
- Le agenzie federali applicano all’IA leggi preesistenti: FTC Act, ECOA, Title VII, diritto dei valori mobiliari, ACA Section 1557, SR 26-2.
- L’EO 14365 non ha prodotto alcuna preemption: nessun tribunale ha fatto prevalere il diritto federale su una legge statale sull’IA.
- Un solo fascicolo probatorio per sistema di IA (inventario, valutazione d’impatto, bias, avvisi, incidenti) copre i livelli federale, statale ed europeo.
Esiste una legge federale sull’IA? La risposta a ottobre 2026
Per un responsabile della conformità abituato al Garante per la protezione dei dati personali e all’AgID, e a un calendario europeo che ha reso vigenti gli obblighi di trasparenza dell’articolo 50 dell’AI Act dal 2 agosto 2026 e rinviato quelli dell’allegato III al 2 dicembre 2027 con il Digital Omnibus (regolamento (UE) 2026/1744), la situazione americana appare rovesciata. Negli Stati Uniti non esiste uno statuto federale organico sull’IA, nessuna licenza o registrazione dei sistemi e nessuna preemption delle leggi statali: lo confermano per assenza congress.gov e il rapporto R48555 del Congressional Research Service.
Le leggi federali che nominano l’IA vincolano le agenzie, non le imprese: il National Artificial Intelligence Initiative Act of 2020 (Pub. L. 116-283), che fissa in <code>15 U.S.C. 9401(3)</code> la definizione giuridica di IA richiamata da tutti gli atti successivi; l’AI in Government Act of 2020 e l’AI Training Act (Pub. L. 117-207), rivolti all’OMB; l’Advancing American AI Act del 2022, con l’inventario dei casi d’uso della sezione 7225; il National Defense Authorization Act per il 2026 (18 dicembre 2025), che alle sezioni da 1532 a 1534 vieta l’IA straniera «coperta» alla Difesa e ai suoi appaltatori, senza clausola di preemption.
Un solo statuto del 119° Congresso riguarda direttamente i privati: il TAKE IT DOWN Act (Pub. L. 119-12) sulle immagini intime non consensuali, comprese le contraffazioni digitali generate dall’IA. È il solo punto in cui la regolamentazione dell’IA negli Stati Uniti diventa un obbligo statutario per le imprese.
Resta una questione di vocabolario: l’EO 14434 «Inaugurating the Era of Super Intelligence» del 29 settembre 2026 (l’ordine che inaugura l’era della «superintelligenza») fa scrivere alle agenzie «Super Intelligence» al posto di «Artificial Intelligence» nei documenti non statutari, ma la definizione in <code>15 U.S.C. 9401(3)</code> resta immutata, con una proposta di linguaggio statutario attesa entro circa il 28 novembre 2026. Il quadro mondiale è nel nostro hub sulle leggi sull’intelligenza artificiale nel 2026.
Regolamentazione dell’IA negli Stati Uniti: le norme che vincolano oggi un’impresa
Nessuna delle norme che seguono si chiama «legge sull’IA». Insieme, però, costituiscono la regolamentazione dell’IA negli Stati Uniti che un’impresa privata deve rispettare oggi, e ciascuna produce un registro che un’autorità può chiedere.
| Legge o norma | Chi raggiunge | Obbligo | Registro che lo prova | Stato al 31 ottobre 2026 |
|---|---|---|---|---|
| TAKE IT DOWN Act, sez. 3 | Piattaforme coperte (siti e app con contenuti degli utenti) | Rimozione entro 48 ore, copie identiche comprese | Richieste datate, prova della rimozione | In vigore; FTC dal 19 maggio 2026; nessun caso |
| FTC Act, Section 5 | Qualsiasi impresa | Nessuna dichiarazione ingannevole sull’IA | Fondamento delle affermazioni, test di accuratezza | Operation AI Comply dal settembre 2024 |
| ECOA, Regulation B <code>12 CFR 1002.9</code> | Creditori | Motivi specifici di rifiuto, anche con modelli complessi | Registro dei motivi per decisione | Immutato; circolari CFPB ritirate il 12 maggio 2025 |
| Title VII e ADA | Datori di lavoro | Nessuna discriminazione, anche tramite IA | Test di impatto disparato, validazione | Immutati; guide EEOC rimosse il 27 gennaio 2025 |
| Diritto dei valori mobiliari | Emittenti e consulenti | Nessun «AI washing» | Prova delle capacità dichiarate | SEC: GenesisAI (26 agosto 2026), due denunce (29 settembre 2026) |
| ACA Section 1557, <code>45 CFR 92.210</code> | Enti sanitari coperti | Individuare gli input discriminatori nel supporto clinico | Inventario degli strumenti, analisi degli input, mitigazioni | Dal 1° maggio 2025; intatta dopo l’avviso HHS del 2 giugno 2026 |
| SR 26-2 / OCC Bulletin 2026-13 | Banche vigilate | Inventario, validazione indipendente, documentazione | Inventario, rapporti di validazione, cadenza basata sul rischio | Dal 17 aprile 2026; sostituisce la SR 11-7 dopo quindici anni |
| FDA, dispositivi abilitati dall’IA | Fabbricanti di dispositivi medici | Ciclo di vita, controllo delle modifiche | PCCP, documentazione di sottomissione | PCCP definitivo (dicembre 2024); guida in bozza (7 gennaio 2025) |
La nozione di <b>piattaforma coperta</b> è più ampia dei social network: qualsiasi sito o applicazione aperta al pubblico che ospiti principalmente contenuti degli utenti. La sezione 3 impone la rimozione entro 48 ore da una richiesta valida, con sanzioni civili fino a 53.088 USD per violazione. La FTC applica la legge dal 19 maggio 2026 attraverso TakeItDown.ftc.gov; al 31 ottobre 2026 non risulta alcun procedimento.
Le altre righe sono leggi anteriori all’IA. Il CFPB ha ritirato il 12 maggio 2025 le circolari 2022-03 e 2023-03, ma l’obbligo della Regulation B di motivare in modo specifico una decisione sfavorevole, anche se proviene da un modello complesso, è immutato (guide ritirate). L’EEOC ha rimosso il 27 gennaio 2025 i propri documenti tecnici e l’EO 14281 del 23 aprile 2025 ha tolto priorità all’impatto disparato, ma statuti e azioni private restano (intelligenza artificiale nelle assunzioni). Sanità e banche hanno avuto nel 2026 la conferma che le proprie norme valgono per l’IA.
Ordini esecutivi e memorandum dell’OMB: la politica federale che governa le agenzie e i loro fornitori
La politica federale sull’IA è fatta di ordini esecutivi e di memorandum dell’Office of Management and Budget. L’EO 14179 «Removing Barriers to American Leadership in Artificial Intelligence» del 23 gennaio 2025 (sulla rimozione degli ostacoli alla leadership americana) ha revocato l’EO 14110 del 2023 e ordinato un piano d’azione, consegnato il 23 luglio 2025 come America’s AI Action Plan.
Il memorandum OMB M-25-21 del 3 aprile 2025 (sull’accelerazione dell’uso federale dell’IA) è la norma di governance dell’IA più completa che gli Stati Uniti possiedano: ogni agenzia designa un Chief AI Officer, un comitato di governance, un piano di conformità e un inventario dei casi d’uso. L’«IA ad alto impatto», il cui output è base principale di decisioni con effetti giuridici, materiali o significativi sui diritti o sulla sicurezza, è soggetta a pratiche minime (test prima del dispiegamento, valutazione d’impatto, monitoraggio continuo, sorveglianza umana e formazione, rimedio e ricorso, pubblicazione delle deroghe) e, se non conforme, va sospesa. Il gemello <code>M-25-22</code> disciplina gli acquisti dal 1° ottobre 2025: divieto di addestrare sui dati pubblici senza consenso, portabilità, monitoraggio lungo il ciclo di vita.
Il memorandum M-26-04 dell’11 dicembre 2025 inserisce in ogni bando per modelli linguistici i due «Unbiased AI Principles» e chiede ai fornitori politiche di uso accettabile, model card e un canale di segnalazione degli output. L’EO 14409 «Promoting Advanced Artificial Intelligence Innovation and Security» del 2 giugno 2026 (sull’innovazione e la sicurezza dell’IA avanzata) prevede un benchmark classificato per i «covered frontier models» e un accesso volontario del governo trenta giorni prima del rilascio, senza alcuna licenza o autorizzazione preventiva (sezione 3(c)).
La misura di tutto questo è l’inventario consolidato 2025 del 14 aprile 2026: 3.611 casi d’uso, 445 ad alto impatto, 1.818 dispiegati o in sperimentazione. Chi vende IA a un’agenzia federale trova nei memorandum dell’OMB la propria regolamentazione dell’IA negli Stati Uniti di fatto, e i registri che essi esigono sono quelli delle leggi statali e dell’AI Act: la nostra guida alla governance dell’IA parte da lì.
La preemption federale delle leggi statali sull’IA: cosa ha fatto l’EO 14365 e cosa no
La <i>preemption</i> (la prevalenza del diritto federale sulle leggi statali) è fallita due volte in Congresso: il 1° luglio 2025 il Senato ha cancellato con 99 voti contro 1 la moratoria decennale della legge di bilancio; a dicembre 2025 la clausola del NDAA è caduta prima del testo finale, dopo l’opposizione di 36 procuratori generali e di circa 280 legislatori statali.
L’11 dicembre 2025 è arrivato l’EO 14365 «Ensuring a National Policy Framework for Artificial Intelligence» (l’ordine per un quadro nazionale sull’IA): un ordine di procedimento, non di risultato. La sezione 3 crea al Dipartimento di Giustizia una AI Litigation Task Force incaricata solo di contestare le leggi statali (memorandum del 9 gennaio 2026). La sezione 4 chiede al Commercio una valutazione delle leggi «onerose» entro l’11 marzo 2026, non pubblicata a fine ottobre 2026; la sezione 7 una dichiarazione FTC, proposta il 1° luglio 2026 e non definitiva; la sezione 8 ha prodotto il National Policy Framework del 20 marzo 2026, raccomandazione non vincolante al Congresso; la sezione 9 esclude diritti azionabili. Da solo, l’ordine non prevale su alcuna legge statale.
Nei tribunali il bilancio è netto. In X.AI LLC v. Weiser il Dipartimento di Giustizia è intervenuto il 24 aprile 2026 e una sospensione concordata del 27 aprile 2026 impedisce al Colorado di applicare la propria legge, compresa la SB 26-189 che l’ha sostituita, fino a una decisione sull’ingiunzione preliminare legata alle regole del procuratore generale attese per il 1° gennaio 2027. In X.AI v. Bonta il giudice ha negato il 4 marzo 2026 l’ingiunzione contro l’AB 2013 californiana: la legge resta applicabile, l’appello è pendente. Nessun tribunale ha dichiarato prevalente il diritto federale su una legge statale sull’IA. Al Congresso nessun testo è uscito da una commissione (il markup del Senato è scivolato dal 29 luglio al 23 settembre 2026 senza esito), mentre ventisei procuratori generali chiedevano, il 23 settembre 2026, una clausola esplicita di non preemption.
| Strumento | Data | Cosa può fare | Stato |
|---|---|---|---|
| EO 14365 | 11 dicembre 2025 | Avviare procedimenti; non prevale di per sé | In vigore, risultati mancanti |
| AI Litigation Task Force (DOJ) | 9 gennaio 2026 | Contestare le leggi statali | Un intervento, sospeso |
| Valutazione del Commercio (leggi «onerose») | Dovuta l’11 marzo 2026 | Innescare BEAD e FCC | Non pubblicata a fine ottobre 2026 |
| National Policy Framework | 20 marzo 2026 | Raccomandare al Congresso | Non vincolante |
| Dichiarazione FTC sull’accuratezza | 1° luglio 2026 | Orientare la FTC in giudizio | Proposta, non definitiva |
| Procedimento FCC (sez. 6) | Nessuna | Standard federale di trasparenza | Non aperto |
| H.R. 5388 (16 settembre 2025), TRUMP AMERICA AI Act (bozza di 291 pagine senza numero, 18 marzo 2026), SANDBOX Act S. 2750 | 2025-2026 | Preemption per legge | Nessuno approvato in commissione |
Per chi segue la normativa sull’intelligenza artificiale nel suo insieme, la conclusione è una: la regolamentazione dell’IA negli Stati Uniti è la somma dei due livelli, mai un’alternativa.
Il livello statale che un lettore «federale» non può ignorare
Mentre Washington discute, gli Stati legiferano. Il Colorado ha abrogato la propria legge del 2024 con la SB 26-189 del 14 maggio 2026, un quadro di trasparenza e diritti dei consumatori sulle tecnologie decisionali automatizzate (ADMT) in vigore dal 1° gennaio 2027, con applicazione sospesa dal caso xAI e regole del procuratore generale in udienza il 26 ottobre 2026 (Colorado AI Act).
La California è il laboratorio più denso: la SB 53 sui modelli di frontiera vige dal 1° gennaio 2026; l’AB 2013 sui dati di addestramento è stata confermata in tribunale; i regolamenti CCPA sugli ADMT prevedono avvisi e opposizione dal 1° gennaio 2027, valutazioni dei rischi alla CPPA entro il 1° aprile 2028 e audit di cibersicurezza tra il 2028 e il 2030; la SB 243 sui chatbot di compagnia vige dal 1° gennaio 2026; nel settembre 2026 sono stati firmati 22 disegni di legge, tra cui SB 813 e AB 1405 (registro dei revisori di IA) e SB 947 (IA nelle decisioni sul lavoro). I dettagli: leggi sull’IA della California, regolamento CCPA, chatbot di compagnia, legge californiana sulla trasparenza dell’IA.
Il Texas applica dal 1° gennaio 2026 il TRAIGA, con esecuzione del solo procuratore generale, 60 giorni di regolarizzazione e un porto sicuro per chi segue il NIST AI RMF (legge TRAIGA del Texas). L’Illinois vieta dal 1° gennaio 2026, con l’HB 3773, l’IA con effetto discriminatorio nelle decisioni di lavoro. New York ha emendato il RAISE Act il 27 marzo 2026 (in vigore dal 1° gennaio 2027) e firmato il 28 ottobre 2026 la legge sui chatbot per i minori; a New York City la Local Law 144 impone l’audit annuale dei bias. Lo Utah mantiene la propria legge fino al 1° luglio 2027, Washington applicherà l’HB 2225 dal 1° gennaio 2027 e il 2026 conta 14 leggi statali sui chatbot. Chi riduce la regolamentazione dell’IA negli Stati Uniti al livello federale trascura la metà più attiva del sistema.
La regolamentazione dell’IA negli Stati Uniti come questione di registri: il fascicolo probatorio che copre entrambi i livelli
Se si legge la regolamentazione dell’IA negli Stati Uniti non come un dibattito politico ma come un elenco di documenti da produrre, il quadro si semplifica: l’OMB, il Colorado, la California, il TAKE IT DOWN Act e l’AI Act chiedono le stesse nove famiglie di registri.
| Registro | Aggancio federale | Aggancio statale | Aggancio AI Act | Guida AI Sigil |
|---|---|---|---|---|
| Inventario dei sistemi di IA | Inventari M-25-21; Advancing American AI Act, sez. 7225 | Colorado SB 26-189; TRAIGA | Art. 49, registrazione | Inventario dei sistemi di IA |
| Valutazione d’impatto | Pratica minima M-25-21 (alto impatto) | Valutazione dei rischi CCPA; Colorado SB 26-189; proposta Algorithmic Accountability Act | Art. 27 (FRIA) | Valutazione d’impatto dell’IA |
| Registro dei test sui bias | Title VII; <code>45 CFR 92.210</code> | NYC Local Law 144; Illinois HB 3773 | Art. 10 | Bias dell’IA |
| Avvisi e spiegazioni | Regulation B, motivi di rifiuto | Avvisi ADMT Colorado e CCPA; disclosure TRAIGA e SB 243 | Art. 50 e 86 | Spiegabilità dell’IA |
| Registro degli incidenti | TAKE IT DOWN Act, flusso a 48 ore | Incidenti critici SB 53; RAISE Act | Art. 73 | Segnalazione degli incidenti di IA |
| Documentazione di dati e modelli | Model card M-26-04; proposta FMTA H.R. 8094 | AB 2013 | Art. 53 e allegato XI | Model card |
| Clausole con i fornitori | M-25-22: divieto di addestramento, portabilità | Questionari AI-CAIQ | Art. 25 | Due diligence dei fornitori di IA |
| Sorveglianza umana e ricorso | M-25-21: rimedio e ricorso | SB 947 | Art. 14 | Sorveglianza umana |
| Documentazione del rischio di modello | SR 26-2: inventario e validazione | Nessuno specifico | Art. 9 e 15 | Gestione del rischio di modello |
Tre regole lo rendono utilizzabile davanti a qualsiasi autorità: un registro per ogni sistema di IA, non un documento di gruppo; una data su ogni registro, perché le scadenze sono puntuali (19 maggio 2026, 1° gennaio 2027, 1° aprile 2028); un collegamento tra il registro e l’obbligo che prova, così che una valutazione d’impatto risponda insieme all’OMB, al Colorado, alla CPPA e all’AI Act. La piattaforma che tiene l’inventario tiene anche le prove: su questo principio AI Sigil costruisce i propri registri per sistema di IA, controlli ed evidenze collegati. Per verificarne la tenuta: auditabilità dell’IA e guida operativa al Regolamento europeo sull’IA.
Cosa osservare da qui al 2027
Il calendario fino al 2027 è quasi tutto datato.
- Intorno al 28 novembre 2026: la proposta di definizione statutaria di «Super Intelligence» (EO 14434, sezione 3).
- Senza data: la lista del Commercio, la dichiarazione definitiva della FTC, l’eventuale procedimento FCC.
- 1° gennaio 2027: le regole del procuratore generale del Colorado (poi la mozione di xAI 28 giorni dopo); entrano in vigore SB 26-189, RAISE Act e legge sui chatbot di New York, HB 2225 di Washington, avvisi ADMT della CCPA.
- Il Nono Circuito su X.AI v. Bonta.
- La sessione di fine legislatura (<i>lame duck</i>): il NO FAKES Act, bloccato il 30 settembre 2026; il KOSA e il KIDS Act della Camera; il CREATE AI Act, approvato in commissione 29 a 0.
- Gennaio 2027: il 120° Congresso; la revisione del NIST AI RMF e il Cyber AI Profile in bozza; la legge che codificherebbe il CAISI.
- Per le multinazionali: l’articolo 50 dell’AI Act vige dal 2 agosto 2026 e l’allegato III scatta il 2 dicembre 2027 dopo il Digital Omnibus (regolamento (UE) 2026/1744).
Nessuna di queste date cambia la natura della regolamentazione dell’IA negli Stati Uniti per chi tiene i registri: un fascicolo completo per sistema di IA arriva a ogni scadenza con i documenti pronti. La guida al NIST AI RMF spiega perché quel quadro volontario resta il riferimento dei porti sicuri statali; il monitoraggio della conformità dei sistemi di IA trasforma un calendario in controlli ricorrenti.
Domande frequenti
<b>Esiste una legge federale organica sull’IA negli Stati Uniti?</b>
No. Al 31 ottobre 2026 la regolamentazione dell’IA negli Stati Uniti non comprende alcuno statuto federale organico, alcuna licenza o registrazione e alcuna preemption delle leggi degli Stati. Le leggi federali che nominano l’IA regolano le agenzie, non le imprese. L’unico statuto rivolto ai privati è il TAKE IT DOWN Act; il resto sono ordini esecutivi, memorandum dell’OMB e leggi preesistenti.
<b>Che cosa impone il TAKE IT DOWN Act e chi è una «piattaforma coperta»?</b>
La sezione 3 impone alle piattaforme coperte una procedura di notifica e rimozione: le immagini intime non consensuali, comprese le contraffazioni digitali generate dall’IA, vanno rimosse entro 48 ore da una richiesta valida. È «piattaforma coperta» qualsiasi sito o applicazione aperta al pubblico che ospiti principalmente contenuti degli utenti. Sanzioni FTC fino a 53.088 USD per violazione; applicazione dal 19 maggio 2026, nessun procedimento al 31 ottobre 2026.
<b>L’Executive Order 14365 prevale sulle leggi statali sull’IA?</b>
No. L’EO 14365 dell’11 dicembre 2025 avvia procedimenti amministrativi e giudiziari, e la sezione 9 esclude diritti azionabili. A fine ottobre 2026 la valutazione non è pubblicata, il procedimento FCC non è aperto, la dichiarazione FTC è una proposta e la task force ha un solo intervento, sospeso. L’unica decisione di merito, X.AI v. Bonta del 4 marzo 2026, ha confermato una legge statale. Solo il Congresso può disporre la preemption.
<b>Il memorandum OMB M-25-21 si applica alle imprese private?</b>
Non direttamente: vincola le agenzie federali. Raggiunge però chi vende IA al governo, perché il gemello M-25-22 impone clausole contrattuali e le pratiche minime per l’IA ad alto impatto, e perché l’M-26-04 chiede ai fornitori di modelli linguistici politiche di uso accettabile, model card e un canale di segnalazione. Senza valutazione d’impatto, test e documentazione del modello, un fornitore non supera la selezione.
<b>Quali agenzie federali applicano oggi norme sull’IA, e in base a quali leggi?</b>
La FTC, con il TAKE IT DOWN Act e la Section 5 del FTC Act. Il CFPB, con l’ECOA e la Regulation B. L’EEOC e i tribunali, con il Title VII e l’ADA. La SEC, contro l’«AI washing». L’HHS, con la Section 1557 dell’ACA e <code>45 CFR 92.210</code>. La Federal Reserve, l’OCC e la FDIC, con la SR 26-2. La FDA, con le guide sui dispositivi medici. Nessuna di queste leggi nomina l’IA nel titolo; tutte producono un registro.
<b>Che cosa ha cambiato l’ordine esecutivo sulla «Super Intelligence»?</b>
L’EO 14434 del 29 settembre 2026 chiede alle agenzie federali di usare «Super Intelligence» e «SI» al posto di «Artificial Intelligence» e «AI» nei documenti non statutari. La definizione di <code>15 U.S.C. 9401(3)</code> resta la stessa; una proposta di linguaggio statutario è attesa entro circa il 28 novembre 2026. Per un’impresa privata non cambia alcun obbligo, e nulla cambia al NIST o al CAISI.
Conclusione
La regolamentazione dell’IA negli Stati Uniti, al 31 ottobre 2026, è un insieme di norme che non si chiamano «legge sull’IA» ma producono obblighi concreti: una procedura a 48 ore per le piattaforme, motivi specifici per il credito, test di non discriminazione per il lavoro e la sanità, inventari e validazioni per le banche, memorandum che diventano contratto per chi vende al governo. Sopra, una campagna di preemption che non ha prevalso su nulla; accanto, Stati che legiferano a ritmo crescente. Per un’impresa attiva su entrambe le sponde dell’Atlantico, l’unica strategia che regge è quella probatoria: lo stesso fascicolo che soddisfa l’AI Act soddisfa l’OMB, il Colorado e la California (guida alla conformità dell’IA). Tenete un registro per ogni sistema di IA, datato e collegato all’obbligo che prova.