Quasi metà delle aziende che richiamano l'AI Act dell'UE nelle informative sulla governance non ha alcun obbligo legale di rispettarlo, secondo nuove ricerche che mostrano come le norme stiano influenzando le pratiche ben oltre i confini dell'Unione.
La nota inclinazione di Bruxelles a quella che molti considerano un'eccessiva regolamentazione sta producendo effetti a catena ben oltre i confini dell'UE.
PUBBLICITÀ
PUBBLICITÀ
Quasi la metà delle aziende che citano l'Artificial Intelligence Act (AI Act) dell'UE nelle proprie informative sulla governance non ha sede nell'Unione, secondo una nuova ricerca. Un dato che suggerisce che Bruxelles stia iniziando a fissare uno standard globale per la governance dell'intelligenza artificiale ancora prima che le norme più severe del blocco entrino pienamente in vigore.
L'analisi, pubblicata dalla Thomson Reuters Foundation sulla base dei dati della sua AI Company Data Initiative (AICDI), si fonda su oltre 100.000 punti dati raccolti da 2.973 aziende in tutto il mondo.
È emerso che il 47% delle società che citano l'AI Act nelle proprie informative ha sede fuori dall'UE.
Il rapporto definisce questo fenomeno una prova del "Brussels Effect" nella governance dell'IA, cioè la tendenza della normativa dell'UE a trasformarsi in punto di riferimento globale, come è già avvenuto con il GDPR.
Secondo i risultati, questo effetto "non è ancora generalizzato, ma è visibile, significativo e concentrato dove gli incentivi di mercato all'allineamento sono più forti".
L'AI Act, che sarà pienamente applicabile da agosto 2026, è la prima legge completa e trasversale sull'intelligenza artificiale.
La sua portata va oltre i confini dell'UE. Si applica a qualsiasi organizzazione i cui sistemi di IA siano utilizzati nel blocco o i cui risultati incidano su cittadini, imprese o istituzioni pubbliche europee.
Un iter durato anni
L'AI Act è formalmente in vigore dal 2024, ma i suoi obblighi vengono introdotti gradualmente e non tutti insieme.
Il divieto degli utilizzi più rischiosi dell'IA e le norme di trasparenza per i modelli di IA di uso generale erano già effettivi a dicembre 2025. Sono in particolare le regole per i sistemi ad alto rischio, che riguardano ambiti come assunzioni, credito e sanità, a diventare pienamente vincolanti da agosto 2026.
Come avviene con il GDPR, questa portata extraterritoriale fa sì che anche le aziende non UE siano soggette agli stessi obblighi vincolanti, con sanzioni che per le violazioni più gravi possono arrivare a 35 milioni di euro o al 7% del fatturato annuo globale.
Tutto ciò non va però confuso con un'ampia tendenza delle imprese a dichiarare l'uso dell'IA o a dotarsi di cornici regolamentari per il suo impiego.
In tutti i settori, solo il 13% delle aziende dispone di un qualche quadro formale di governance dell'IA, a prescindere dal fatto che citi o meno l'AI Act dell'UE.
Di quel 13% che ha adottato un framework, poco più della metà, il 53%, fa esplicito riferimento all'AI Act europeo. E tra queste, il 47% ha sede fuori dall'UE.
Il settore tecnologico apre la strada
Il livello di coinvolgimento con l'AI Act varia molto a seconda del settore e dell'area geografica.
Le sole aziende di information technology rappresentano quasi il 40% di tutte le imprese extra UE che citano l'AI Act, mentre i servizi di comunicazione e quelli finanziari contribuiscono insieme per un ulteriore 29%.
A livello geografico, il Nord America guida il coinvolgimento non UE con poco meno del 40%, trainato soprattutto da società statunitensi della tecnologia e della sanità con una forte presenza sul mercato europeo.
Seguono le aziende europee non appartenenti all'UE – in particolare quelle britanniche, svizzere e norvegesi – con circa il 24%, a conferma dei loro stretti legami commerciali e normativi con il blocco.
Le imprese asiatiche presentano un tasso di citazione di circa il 28%, concentrato soprattutto tra le aziende tecnologiche inserite nelle catene di fornitura globali dell'IA.
Gli Stati Uniti offrono un esempio particolarmente significativo, considerato il loro approccio poco interventista alla regolamentazione dell'IA.
Negli USA non esiste una legge federale organica sull'IA, eppure le aziende americane rappresentano il 35% di tutti i soggetti non UE che citano l'AI Act europeo, il contributo nazionale più elevato.
All'interno degli Stati Uniti, il 53% delle società che lo citano appartiene al settore IT. Una su cinque tra le aziende IT statunitensi incluse nel dataset fa riferimento all'AI Act, la quota più alta tra tutti i settori a livello nazionale.
Secondo il rapporto, grandi aziende tecnologiche statunitensi tra cui Microsoft, Google, OpenAI e xAI si sono volontariamente allineate ad alcune disposizioni dell'AI Code of Practice dell'UE, spinte dalla prospettiva di mantenere l'accesso al mercato europeo.
Le lacune dietro i buoni risultati
Le aziende che menzionano l'AI Act tendono a gestire bene gli aspetti fondamentali. Hanno un piano chiaro sull'IA, un controllo a livello di consiglio di amministrazione e trasparenza sui dati utilizzati. Le imprese non UE che citano l'AI Act ottengono risultati persino migliori rispetto a quelle europee su questi punti.
D'altro canto, le aziende dell'UE sono in testa per la formazione del personale: il 49,4% offre programmi di riqualificazione o alfabetizzazione all'IA, contro il 40,6% delle imprese non UE.
Ma la supervisione della strategia è una cosa. Verificare concretamente, caso per caso, cosa fa l'IA è un'altra. Solo il 12,4% delle aziende nel mondo dispone di una policy che impone a una persona di rivedere le singole decisioni prese dall'IA e, anche tra queste, quasi la metà non ha ancora definito come tale controllo debba funzionare nella pratica.
Le verifiche sul rispetto dei diritti sono ancora più rare. Meno di un'azienda su quattro valuta se i propri sistemi di IA possano danneggiare i diritti dei lavoratori, persino tra le più impegnate sull'AI Act.
Questo aspetto sarà presto molto più rilevante. Da agosto 2026, le imprese che usano sistemi di IA ad alto rischio, nelle assunzioni, nel credito o nella sanità, dovranno per legge effettuare tale verifica prima della messa in opera e comunicare i risultati alle autorità di vigilanza.