Con l'approvazione definitiva del decreto legislativo di adeguamento all'AI Act, l'Italia ha sciolto uno dei nodi rimasti più a lungo aperti: chi controlla cosa. L'architettura scelta separa nettamente due funzioni che il regolamento europeo teneva concettualmente distinte ma che gli Stati membri potevano organizzare come preferivano.
All'Agenzia per l'Italia Digitale spetta il ruolo di autorità di notifica. Significa gestire il sistema degli organismi di valutazione della conformità: designarli, verificarne i requisiti, monitorarne l'operato. È il lato che riguarda chi certifica i sistemi prima che arrivino sul mercato.
All'Agenzia per la Cybersicurezza Nazionale è affidata invece la sorveglianza del mercato. È il lato ispettivo e sanzionatorio: controllare i sistemi già in circolazione, intervenire sulle non conformità, applicare le misure previste. Per un'impresa che utilizza AI in produzione, ACN è l'interlocutore che può bussare alla porta.
La scelta di collocare la vigilanza sull'AI dentro l'agenzia che presidia la cybersicurezza nazionale non è neutra. Segnala che il legislatore italiano legge i rischi dei sistemi di intelligenza artificiale come rischi di sicurezza, non solo come questioni di tutela del consumatore o di correttezza commerciale.
Resta da vedere come le due agenzie coordineranno la propria azione con il Garante Privacy, che ha già rivendicato un ruolo forte su tutto ciò che tocca dati personali e biometria. Nella pratica quotidiana delle imprese, la sovrapposizione tra AI Act e GDPR sarà il terreno su cui si misurerà la qualità reale di questa governance.