Nell'editoriale di Sara Sesti I giganti dell'IA escono allo scoperto sulla regolamentazione: la contraddizione nascosta, apparso sul Foglietto della ricerca del 16 settembre scorso, l'autrice chiede che le regole sull'intelligenza artificiale le scriva la politica, in forma pubblica, internazionale e vincolante. In Europa una parte di quelle regole esiste già: è l'AI Act, il Regolamento (UE) 2024/1689, e tocca università ed enti di ricerca più da vicino di quanto lasci pensare il dibattito sugli amministratori delegati dei grandi laboratori di IA.
Dall'appello dei CEO all'AI Act già in vigore
Sesti parte da un paradosso: Dario Amodei (Anthropic), Sam Altman (OpenAI) ed Elon Musk (xAI) invocano una regolamentazione internazionale e, allo stesso tempo, guardano con favore a forme di coordinamento volontario tra le loro aziende. Il regolamento europeo non risolve la partita globale, ma è un esempio concreto di regolamentazione dell'intelligenza artificiale scritta da istituzioni pubbliche, con autorità di vigilanza e un sistema di sanzioni che per le pratiche vietate arriva a 35 milioni di euro o al 7% del fatturato mondiale annuo.
Il testo è entrato in vigore il 1° agosto 2024 e si applica a tappe. Dal 2 febbraio 2025 valgono i divieti dell'art. 5 e l'obbligo di alfabetizzazione dell'art. 4; dal 2 agosto 2025 le regole sui modelli di IA per finalità generali; dal 2 agosto 2026 l'applicazione generale, compresi gli obblighi di trasparenza dell'art. 50 e il regime sanzionatorio. Il calendario è stato poi modificato dal Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, pubblicato in Gazzetta ufficiale il 24 luglio 2026 e in vigore dal 27 luglio: gli obblighi per i sistemi ad alto rischio dell'Allegato III slittano al 2 dicembre 2027, quelli per l'IA integrata in prodotti già regolati al 2 agosto 2028.
Anche una regola pubblica, insomma, si rinegozia. La differenza rispetto all'autoregolamentazione descritta da Sesti è che il rinvio è passato da una procedura legislativa, con un testo pubblicato e date certe che chiunque può leggere e contestare.
Ricerca esclusa, ma non tutto ciò che fa un ateneo
Il primo dubbio di chi lavora in un laboratorio riguarda il perimetro. L'art. 2 del regolamento esclude dal campo di applicazione, al paragrafo 6, i sistemi e i modelli di IA sviluppati e messi in servizio al solo scopo di ricerca e sviluppo scientifici; al paragrafo 8, le attività di ricerca, prova e sviluppo svolte prima dell'immissione sul mercato o della messa in servizio. Le prove in condizioni reali, però, restano fuori dall'esenzione.
Per la ricerca scientifica in senso stretto, quindi, il margine è ampio. Un ateneo, però, non fa solo ricerca. Gestisce le immatricolazioni, organizza esami, seleziona personale, risponde agli studenti attraverso sportelli digitali, acquista piattaforme per la didattica a distanza e per la sorveglianza delle prove online. Nessuna di queste attività è ricerca, e quando passa da un sistema di IA ricade nelle regole ordinarie. Lo stesso vale per un ente pubblico di ricerca che usa un software per vagliare le candidature a un bando di assunzione: la guida all'AI Act pubblicata da AIPIA ricorda che l'Allegato III comprende anche l'occupazione, oltre all'istruzione.
Ammissioni, esami e valutazione: dove scatta l'alto rischio
Il punto 3 dell'Allegato III, dedicato a istruzione e formazione professionale, classifica ad alto rischio quattro famiglie di sistemi: quelli usati per decidere l'accesso o l'ammissione agli istituti di istruzione di ogni livello, quelli che valutano i risultati dell'apprendimento, anche quando servono a orientare il percorso dello studente, quelli che stabiliscono il livello di istruzione a cui una persona potrà accedere e quelli che sorvegliano gli studenti durante le prove per individuare comportamenti vietati.
È un elenco che descrive bene la vita amministrativa di molti dipartimenti
Chi acquista e usa questi strumenti, nel linguaggio del regolamento, è un «deployer», mentre il «fornitore» è chi li sviluppa e li immette sul mercato. Gli obblighi principali ricadono sul secondo, ma il primo deve usarli secondo le istruzioni e affidarne la sorveglianza a persone competenti. Con il rinvio dell'Omnibus la scadenza è il 2 dicembre 2027, e un contratto di fornitura firmato oggi con ogni probabilità sarà ancora in corso a quella data.
Alfabetizzazione AI: l'art. 4 vale già per tutto il personale
Qui il calendario non concede attese. Dal 2 febbraio 2025 l'art. 4 chiede a fornitori e deployer di adottare misure per sviluppare l'alfabetizzazione in materia di IA del proprio personale, tenendo conto di conoscenze, esperienza e contesto d'uso. La norma non prevede un attestato standard: chiede misure proporzionate e documentabili. In un ateneo il personale coinvolto è più largo di quanto si pensi, perché comprende la docente che usa un assistente per preparare i test, il tecnico che configura la piattaforma degli esami e l'amministrativo che lavora con un sistema di smistamento delle pratiche, ciascuno con un bisogno di formazione diverso.
Dal 2 agosto 2026 si aggiunge l'art. 50. Chi sviluppa un sistema che dialoga direttamente con le persone, per esempio un assistente virtuale per le segreterie studenti costruito in casa, deve far sapere a chi lo usa che sta interagendo con un'IA. E chi pubblica testi generati o manipolati dall'IA per informare il pubblico su questioni di interesse pubblico deve dichiararlo, salvo che il testo sia passato da una revisione umana sotto la responsabilità editoriale di qualcuno: un dettaglio che riguarda da vicino gli uffici comunicazione degli enti di ricerca.
Dove la ricerca pubblica può dire la sua
Il Foglietto della Ricerca segue da anni contratti, carriere e politica della ricerca pubblica, e l'applicazione dell'AI Act negli atenei è prima di tutto una questione di organizzazione del lavoro: chi forma il personale, in quale orario, con quali risorse, e chi risponde della sorveglianza sugli strumenti di valutazione. Sono domande che il regolamento lascia alle singole istituzioni e che chi lavora negli enti ha tutto l'interesse a porre presto.
L'Associazione Italiana Professionisti dell'Intelligenza Artificiale (AIPIA), che riunisce sviluppatori, data scientist, consulenti e ricercatori, segue l'applicazione del regolamento e ne pubblica una lettura operativa aggiornata all'Omnibus. Per chi fa ricerca, però, lo strumento più vicino è un altro: la collana AIPIA Studies, open access, con ISBN e DOI, che accetta proposte di volumi. Un gruppo che ha documentato come il proprio ente ha impostato la formazione prevista dall'art. 4, o come ha valutato una piattaforma di sorveglianza degli esami, può trasformare quell'esperienza in un testo citabile e consultabile da altri atenei. È un modo per mettere a disposizione di tutti conoscenze che altrimenti resterebbero nei verbali interni.
Cosa conviene fare prima del dicembre 2027
Il primo passo è un inventario: quali sistemi di IA usa l'ateneo o l'ente, in quali uffici, per quali decisioni, e quali rientrano nei casi dell'Allegato III. Senza questo elenco ogni altra scelta resta astratta.
Il secondo riguarda gli acquisti. Nei capitolati per piattaforme di ammissione, valutazione o sorveglianza delle prove conviene chiedere fin da ora ai fornitori come intendono adeguarsi agli obblighi per l'alto rischio, con quale documentazione e con quali istruzioni d'uso per il personale.
Il terzo è la formazione già dovuta, da costruire per profili e da registrare.
Sesti scrive che lasciare l'autoregolamentazione agli stessi attori significa affidare loro anche il disegno del tavolo. Per università ed enti di ricerca esiste anche un tavolo più piccolo, quello degli acquisti e dei regolamenti interni, e su quello la mano pubblica sono loro.
Rafael Patron
Presidente del Comitato Tecnico-Scientifico AIPIA
