L'Italia ha chiuso il cerchio sull'adeguamento all'AI Act europeo. Il Consiglio dei Ministri ha approvato in via definitiva i decreti legislativi che traducono il regolamento comunitario in norme nazionali applicabili, intervenendo su cinque fronti: riconoscimento biometrico, responsabilità per i sistemi classificati ad alto rischio, individuazione delle autorità di vigilanza, obblighi di formazione e impieghi dell'intelligenza artificiale nei rapporti di lavoro.
Il principio che regge l'impianto è quello della centralità della persona. Nella versione finale del testo è stato rafforzato un vincolo che ha conseguenze operative molto concrete per chiunque adotti sistemi decisionali automatizzati: una decisione che produce effetti sfavorevoli su una persona non può essere fondata unicamente sull'esito di un algoritmo. Serve sempre un passaggio umano documentabile, non una ratifica formale a valle di un output già confezionato.
Rispetto agli schemi circolati nei mesi precedenti diversi punti sono stati modificati. Il perimetro del riconoscimento biometrico è stato ristretto e circondato da garanzie più esplicite, in particolare sull'uso da parte delle forze di polizia, dove restano fissati presupposti, limiti temporali e obblighi di tracciamento del trattamento.
Per le imprese il messaggio è che la fase interpretativa si sta chiudendo. Chi ha rimandato la mappatura dei propri sistemi in attesa di regole definitive non ha più margine: l'obbligo di sapere quali modelli sono in uso, su quali dati lavorano, chi risponde dei loro output e come viene esercitata la supervisione umana è oggi un requisito verificabile, non una buona pratica.
È esattamente il livello a cui si gioca la differenza tra un'adozione dell'AI improvvisata e una governata. Avere un registro degli agenti attivi, log delle interazioni, controllo sui dati che entrano nei prompt e possibilità di dimostrare a un'autorità cosa è successo e perché non è un vincolo burocratico: è la condizione per poter usare questi strumenti su processi che contano.