AI Act, quanto costa alle imprese un calendario che continua a cambiare

Da mesi tutti coloro che si occupano di intelligenza artificiale in Europa ripetono, quasi per automatismo, la stessa data: il 2 agosto 2026. È la scadenza che l’AI Act indicava come soglia oltre la quale la disciplina sui sistemi ad alto rischio sarebbe diventata pienamente vincolante, ed è anche, non a caso, la data che compare nella maggior parte dei titoli giornalistici dedicati al Digital Omnibus.

Se però la si osserva con l’attenzione che merita un giurista abituato a leggere non soltanto ciò che una norma dice, ma anche ciò che tace, ci si accorge che quella data ha smesso, nel frattempo, di significare quel che significava quando fu scritta.

Dopo l’adozione definitiva del Digital Omnibus da parte del Consiglio dell’Unione, avvenuta il 29 giugno 2026^[1], il 2 agosto resta formalmente centrale, continua ad applicarsi il Regolamento nella sua disciplina generale, fatte salve le parti espressamente differite, ma proprio gli obblighi che la rendevano temuta dalle imprese sono stati spostati altrove, al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli integrati in prodotti già sottoposti a normativa di settore^[2].

Ciò rappresenta la fotografia nitida di un fenomeno che merita di essere osservato per quello che è: nell’arco di appena otto mesi, dalla proposta della Commissione del 19 novembre 2025, attraverso l’accordo politico del 7 maggio, l’approvazione del Parlamento del 16 giugno, fino all’adozione definitiva del Consiglio del 29 giugno^[3], l’Unione ha riscritto il calendario applicativo di una norma già promulgata e già, in larga parte, in vigore. E lo ha fatto mentre pubblicava, l’8 luglio, un ulteriore regolamento correttivo, il 2026/1744, che ha spostato al 2 dicembre 2026 gli obblighi di watermarking sui contenuti sintetici^[4] e ha introdotto, questa volta senza alcun rinvio, nuovi divieti sui sistemi destinati a produrre contenuti sessuali non consensuali o materiale pedopornografico generato con l’intelligenza artificiale^[5].

Dalla mia posizione privilegiata di osservatrice dei sistemi di progettazione e dell’etica applicata agli stessi, si nota un pattern che la pubblicistica sulla compliance non sta ancora citando, forse perché troppo assorbita dal compito, pur legittimo, di tradurre le nuove scadenze in adempimenti operativi. L’Unione Europea non si sta limitando a correggere norme imperfette, come ogni legislatore maturo è chiamato a fare quando la realtà supera le previsioni del testo. Sta, piuttosto, sedimentando un metodo (legiferare in corsa con clausole di salvaguardia che si attivano a ridosso della scadenza anziché nella fase istruttoria) le cui conseguenze sulla fiducia riposta dagli operatori economici nel calendario europeo cominciano a essere misurabili, anche se nessuno le sta ancora contabilizzando in termini espliciti. È questa la tesi che l’articolo intende argomentare. Il costo reale del Digital Omnibus non risiede tanto nelle scadenze che sposta, quanto nella dimostrazione, ormai reiterata a sufficienza da diventare un precedente comportamentale, che le scadenze europee sono un punto di partenza negoziale invece che un vincolo.

Certezza del diritto e AI Act: le radici teoriche

Prima di misurare un’erosione, occorre sapere con precisione cosa si stia erodendo, ed è proprio su questo punto che il dibattito di policy, tutto concentrato su liste di adempimenti e conto alla rovescia verso le scadenze, finisce per smarrire la sostanza filosofica del problema.

La certezza del diritto, quella che la dottrina tedesca chiama Rechtssicherheit, non è un concetto che si lasci esaurire in un’unica definizione. Nella riflessione giuspositivista del Novecento si sono depositati almeno due strati che il linguaggio comune tende a confondere, ma che vale la pena distinguere con cura. Il primo riguarda la prevedibilità formale: la norma dice, con sufficiente precisione linguistica, che cosa accadrà in un determinato caso. È la dimensione su cui insisteva Kelsen quando descriveva l’ordinamento giuridico come un sistema gerarchico di norme, la cui validità discende da una Grundnorm e la cui tenuta dipende dalla coerenza interna necessaria a produrre effetti prevedibili^[6]. Sotto questo profilo, l’AI Act non presenta particolari fragilità; è un testo tecnicamente elaborato, corredato di definizioni puntuali, allegati e categorie di rischio articolate con un dettaglio che, semmai, alcuni operatori giudicano eccessivo. La sua architettura formale regge, quindi.

Prevedibilità formale e costanza nel tempo

È il secondo strato, quello su cui si gioca in realtà la partita del Digital Omnibus, a rivelarsi decisivo. Lon Fuller, nel 1964, lo definisce la moralità interna del diritto, ossia un insieme di otto condizioni procedurali che un sistema normativo deve rispettare per meritare, appunto, il nome di diritto e non quello di mero esercizio di potere travestito da regola^[7]. Tra queste condizioni, Fuller isola quella che chiama constancy through time, la costanza nel tempo. Una norma che muta con eccessiva frequenza o che viene riscritta a ridosso della propria entrata in applicazione, fallisce come diritto anche quando resta impeccabile sul piano della forma, perché tradisce la funzione stessa della regola giuridica, che è quella di consentire a chi vi è sottoposto di pianificare la propria condotta facendo affidamento su di essa. Fuller ricorre a un’immagine che, a distanza di sessant’anni, mantiene intatta la sua forza esplicativa: un sovrano che promulgasse leggi chiarissime, ma le mutasse ogni settimana non starebbe governando attraverso il diritto, bensì esercitando arbitrio con una sintassi più elegante^[8]. È difficile non pensare a questa immagine leggendo, in sequenza, le tre versioni del calendario dell’AI Act che si sono succedute tra il novembre 2025 e il luglio 2026.

Una convergenza sorprendente, se si considera la distanza ideologica tra i due autori, si trova in Friedrich Hayek, il quale sosteneva come la libertà economica non dipenda dall’assenza di regole, quanto, piuttosto, dalla loro conoscibilità anticipata: un individuo è libero non quando le regole sono poche, ma quando può conoscerle in anticipo e regolare di conseguenza la propria condotta, senza che il potere pubblico possa modificarle a sorpresa per colpire situazioni ormai consolidate^[9]. Per Hayek, insomma, l’arbitrarietà non è l’opposto della regolamentazione, bensì l’opposto della sua prevedibilità: un regime iper regolato ma stabile risulta, in questi termini, più libero di un regime leggero, ma imprevedibile (conclusione che dovrebbe far riflettere chi, nel dibattito sul Digital Omnibus, continua a presentare la semplificazione normativa come sinonimo automatico di maggiore libertà d’impresa).

Un terzo riferimento, meno frequentato nel dibattito giuridico corrente ma centrale per chi si occupa anche di sistemi complessi e algoritmici, viene da Luhmann, il quale nella sua teoria dei sistemi sociali descrive il diritto come un meccanismo di stabilizzazione controfattuale delle aspettative^[10]. Il diritto, per Luhmann, serve a permettere che ci si aspetti un certo comportamento anche quando, di fatto, potrebbe non verificarsi, perché la norma assorbe la delusione trasformandola in illecito anziché in mero errore di previsione. Questa è una funzione che precede il contenuto della norma: prima ancora di dire cosa sia vietato, il diritto dichiara che ci si può fidare del fatto che ciò che è vietato oggi lo sarà anche domani, salvo un processo trasparente e conoscibile di modifica. Quando quel processo diventa esso stesso imprevedibile il diritto smette di svolgere la propria funzione di riduzione della complessità sociale e ne diventa, paradossalmente, un moltiplicatore, perché costringe gli operatori a includere nei propri calcoli anche l’incertezza sulla persistenza della norma stessa.

Chiude questo quadro dottrinale un richiamo che chi scrive ritiene decisivo per inquadrare correttamente la posta in gioco, ed è la celebre formula con cui Gustav Radbruch, nel dopoguerra tedesco, descrisse la tensione strutturale tra certezza del diritto e giustizia sostanziale, interna a ogni ordinamento^[11]. Radbruch ammoniva che un diritto ingiusto ma certo può risultare, in determinate condizioni, preferibile a un diritto sostanzialmente più giusto ma imprevedibile, perché la certezza è essa stessa un valore morale e non un mero accidente tecnico: è la precondizione perché il diritto possa proteggere l’individuo dal potere arbitrario, indipendentemente da quanto sia buono il contenuto della norma. Non si tratta, qui, di sostenere che l’AI Act nella sua versione originaria fosse più giusto della versione emendata dal Digital Omnibus – sarebbe una lettura semplicistica e, francamente, poco interessante. Si tratta di riconoscere che il modo in cui l’Unione sta gestendo la revisione delle proprie norme digitali sta privilegiando, in modo sistematico e mai dichiarato come scelta politica esplicita, la flessibilità sostanziale a scapito della certezza procedurale.

AI Act e certezza del diritto nei modelli di Stati Uniti, Cina e UE

Il dibattito pubblico compara abitualmente Unione Europea, Stati Uniti e Cina sul contenuto delle rispettive politiche (più o meno tutela del rischio, più o meno libertà d’impresa, più o meno controllo statale). È una comparazione legittima, ma parziale, perché lascia fuori la domanda che qui interessa: quale dei tre sistemi offra agli operatori economici un impegno credibile, nel senso tecnico che la teoria dei giochi attribuisce ai commitment device^[12], ossia un meccanismo che renda costoso, per l’attore pubblico, tradire la propria promessa normativa.

Il confronto con Stati Uniti e Cina

Gli Stati Uniti rappresentano, da questo punto di vista, il caso dell’assenza di impegno. L’amministrazione Trump ha revocato l’Executive Order 14110 il giorno stesso dell’insediamento, il 20 gennaio 2025^[13], sostituendolo con un impianto di deregolamentazione esplicita, l’America’s AI Action Plan, costruito attorno alla preemption federale delle normative statali e all’eliminazione degli obblighi di red-teaming per i modelli sopra soglia^[14]. Non che qui manchi un problema di certezza del diritto nel senso in cui lo si è discusso finora, poichè manca, semplicemente, un impegno da poter tradire, dato che il sistema ha scelto ex ante di non promettere stabilità regolatoria. Le imprese possono così pianificare, bene o male, sapendo fin dall’inizio che la cornice è quella dell’assenza di vincoli, il che è cosa ben diversa dal pianificare su una promessa che si scopre, in corso d’opera, negoziabile.

La Cina, dal canto suo, offre il modello dell’impegno rigido dall’alto. Il suo sistema normativo non è affatto meno mutevole di quello europeo: gli emendamenti alla Cybersecurity Law sono entrati in vigore il 1° gennaio 2026^[15], e il piano quinquennale approvato nel marzo successivo ha collocato l’intelligenza artificiale come leva esplicita di trasformazione economica sistemica^[16]. Ciò che distingue questo modello dal precedente, tuttavia, è la trasparenza di origine del meccanismo di modifica: la norma qui è strumento dichiarato della pianificazione statale, muta per decisione centrale anziché per negoziazione trilaterale tra istituzioni portatrici di mandati e tempistiche differenti. Ne risulta un sistema autoritario nel merito ma, ed è qui il punto controintuitivo che questo articolo intende sviluppare, prevedibile nel metodo anche quando è imprevedibile nel contenuto: chi opera in Cina sa che le regole cambieranno secondo la logica del piano, non deve indovinare se un trilogo interistituzionale arriverà a un compromesso in tempo utile.

L’Unione Europea occupa, tra questi due estremi, la posizione più fragile e, proprio per questo, la più interessante da analizzare: è l’unica delle tre giurisdizioni a porre la certezza del diritto e la tutela del legittimo affidamento a fondamento dichiarato della propria legittimità regolatoria, salvo poi trattarle, nei fatti, come merce di scambio nei triloghi. La Corte di Giustizia ha costruito, a partire dalla sentenza Töpfer del 1978^[17], un corpus giurisprudenziale solido sul principio di tutela del legittimo affidamento, riconoscendolo come corollario diretto della certezza del diritto e come principio generale dell’ordinamento dell’Unione. Nella sentenza Agrargenossenschaft Neuzelle del 2013 la Corte ha ribadito che il diritto di invocare tale tutela si estende a ogni soggetto nel quale un’istituzione dell’Unione abbia fatto sorgere fondate aspettative attraverso assicurazioni precise, incondizionate e concordanti^[18]; in una pronuncia del 2010 è arrivata a censurare la Commissione per aver soppresso una normativa senza accompagnarla da misure transitorie adeguate a tutelare l’affidamento degli operatori economici^[19].

La singolarità, però, è che questa giurisprudenza tutela l’affidamento individuale del singolo operatore rispetto a un atto specifico, senza essere strutturata per proteggere la credibilità sistemica del calendario legislativo nel suo complesso. Un’impresa che avesse investito nel 2024 per essere pronta al 2 agosto 2026 potrebbe, in astratto, invocare il legittimo affidamento su aspetti puntuali della propria posizione; nessun principio giuridico protegge, invece, l’aspettativa collettiva e di mercato secondo cui le scadenze europee, in generale, vengono rispettate. È in questa lacuna che si annida il costo reale del fenomeno che si descrive: non nella violazione di un diritto soggettivo azionabile davanti a un giudice, ma nell’erosione silenziosa di una convenzione di fiducia che non gode, essa stessa, di alcuno statuto giuridico proprio, e che per questo nessuno sta ancora contabilizzando.

La timeline del Digital Omnibus e dell’AI Act

Un dato colpisce, leggendo questa tabella in orizzontale: la colonna europea è quella più affollata di eventi, revisioni e atti intermedi, non perché l’Unione regoli peggio delle altre due giurisdizioni, ma perché è l’unica a tentare di correggere in corsa un impianto già promulgato, sforzandosi al contempo di mantenerne intatta l’architettura originaria.

Vale la pena, per onestà intellettuale, segnalare che non tutto il diritto digitale europeo del 2026 racconta questa medesima storia: il Cyber Resilience Act, a differenza dell’AI Act e del Data Act, non risulta a oggi toccato da rinvii sostanziali del proprio calendario e le linee guida pubblicate a fine luglio 2026 ne confermano, senza modificarle, le scadenze del settembre 2026 e del dicembre 2027^[20]. È un controesempio prezioso, perché dimostra che l’instabilità non costituisce un tratto strutturale ineliminabile del metodo legislativo digitale europeo, quanto, piuttosto, una scelta (o forse la conseguenza di pressioni di lobbying settoriali diseguali?) che si è manifestata con intensità diversa a seconda del dossier.

Il costo dell’incertezza per imprese e amministrazioni

La retorica che accompagna il Digital Omnibus si presenta come un’operazione di sburocratizzazione: meno oneri, più tempo, maggiore proporzionalità. È un framing efficace, perché sposta l’attenzione dal problema della credibilità sistemica a quello, più facilmente vendibile in sede politica, dell’alleggerimento amministrativo. Ma chi paga davvero il prezzo dell’incertezza non sono le imprese che l’hanno reclamata con maggiore insistenza nei tavoli di lobbying bruxellesi.

Le grandi piattaforme e i grandi fornitori di sistemi di intelligenza artificiale dispongono di uffici legali e affari regolatori strutturati per navigare l’ambiguità ed, in molti casi, la preferiscono apertamente, perché consente loro di ritardare investimenti di compliance costosi senza rinunciare al vantaggio competitivo del first mover tecnologico. Il costo reale ricade, piuttosto, su due categorie che la narrazione dominante tende sistematicamente a dimenticare. La prima sono le piccole e medie imprese europee, che pianificano su orizzonti pluriennali con risorse limitate e che, di fronte a un calendario mobile, tendono a scegliere l’opzione peggiore possibile: congelare i progetti di adeguamento invece di anticiparli, un fenomeno già osservabile nella prassi, in cui i progetti di compliance vengono archiviati con sollievo non appena la stampa titola sul rinvio dell’AI Act, anche quando, come nel caso di specie, il rinvio riguarda soltanto un sottoinsieme degli obblighi e lascia intatto l’impianto generale del regolamento^[21].

Gli enti pubblici nella pianificazione incerta

La seconda categoria è quella degli enti pubblici e delle amministrazioni, chiamati a programmare investimenti informatici pluriennali, come gare, capitolati o integrazioni di sistema, su una base normativa che rischia di mutare in corso d’opera, con un assurdità aggiuntiva che merita di essere sottolineato: è proprio la pubblica amministrazione a essere tenuta, secondo il calendario dell’EUDI Wallet, a garantire l’interoperabilità entro dicembre 2026^[22], mentre a maggio dello stesso anno nessuno dei trentasei progetti di wallet allora attivi in Europa risultava ancora certificato conforme a eIDAS2^[23]. Si chiede, in altre parole, alle amministrazioni di essere pronte per una scadenza il cui stesso impianto tecnico di certificazione non è ancora completo.

AI Act e irreversibilità procedurale qualificata

Non sarebbe realistico, né tantomeno auspicabile, chiedere all’Unione di rinunciare a correggere le proprie norme; la velocità del mutamento tecnologico rende la rigidità normativa un rischio speculare e altrettanto concreto, come dimostra proprio l’incapacità che il Regolamento macchine e altre normative di prodotto avevano mostrato, prima dell’intervento correttivo del Digital Omnibus, di dialogare in modo coerente con l’AI Act^[24].

Un test di legittimo affidamento qualificato

La proposta che questo articolo intende avanzare, rivolta tanto ai regolatori quanto ai general counsel e ai responsabili compliance delle imprese, è dunque più circoscritta: introdurre, nel processo legislativo digitale europeo, un test di legittimo affidamento qualificato, ossia una soglia procedurale (non sostanziale) capace di rendere costoso, senza renderlo impossibile, riaprire un termine già promulgato e prossimo alla propria entrata in applicazione. Un modello di riferimento esiste già, sebbene in un ambito diverso: la dottrina dell’irretroattività rafforzata elaborata in alcuni ordinamenti tributari nazionali – che subordina le modifiche normative incidenti su situazioni consolidate a un onere motivazionale specifico e a misure transitorie obbligatorie – replica in sostanza ciò che la Corte di Giustizia ha già preteso, isolatamente, nella propria giurisprudenza sul legittimo affidamento^[25], senza però mai trasformarlo in un vincolo procedurale sistemico, applicabile ex ante al processo legislativo anziché ex post, nel contenzioso di un singolo operatore.

In termini operativi, ciò significherebbe che ogni proposta di modifica sostanziale del calendario di un regolamento digitale già in vigore dovrebbe essere accompagnata, per obbligo procedurale e non per prassi negoziale discrezionale, da una valutazione d’impatto specificamente dedicata al costo dell’incertezza per le PMI e per gli enti pubblici (non soltanto, cioè, per i grandi operatori che siedono ai tavoli tecnici della consultazione) da misure transitorie automatiche per chi abbia già avviato investimenti di conformità sulla base del calendario originario, e da un termine minimo di preavviso tra l’adozione formale della modifica e la sua efficacia, proporzionato alla complessità degli adempimenti coinvolti. Non si tratterebbe di una previsione priva di precedenti, infatti il Parlamento europeo, negli emendamenti del marzo 2026, ha già introdotto per la prima volta il tema della certezza delle scadenze come criterio esplicito di valutazione della proposta della Commissione^[26], segno che la sensibilità istituzionale verso questo problema esiste già, anche se non si è ancora tradotta in un principio generale codificato.

Certezza del diritto nell’AI Act: le conclusioni

La domanda con cui questo articolo si è aperto — se la certezza del diritto europea sia un principio costituzionale o una cortesia negoziale — trova, nei fatti degli ultimi otto mesi, una risposta che l’Unione non ha mai formulato esplicitamente, ma che sta comunque dando, atto dopo atto, ai propri soggetti regolati. Non è una risposta cinica, e sarebbe ingeneroso leggerla come tale. É il prodotto di un’istituzione che sta imparando, in tempo reale e senza un precedente comparabile a cui ispirarsi, a legiferare su una tecnologia che muta più velocemente del proprio processo democratico. Resta, tuttavia, una risposta che ha un prezzo, ed è tempo che regolatori e imprese lo riconoscano esplicitamente, anziché continuare a discutere soltanto se le nuove scadenze siano di merito preferibili alle precedenti. La domanda che davvero conta, per chi deve pianificare investimenti pluriennali in Europa, non è più che cosa dica oggi la norma. È quanto ci si possa fidare che lo dirà ancora domani.

Note

[1]Adozione definitiva del Digital Omnibus sull’AI Act da parte del Consiglio dell’Unione europea, 29 giugno 2026.↩

[2]Nuove scadenze per i sistemi ad alto rischio: 2 dicembre 2027 (Allegato III, sistemi autonomi) e 2 agosto 2028 (Allegato I, sistemi integrati in prodotti regolati).↩

[3]Digital Omnibus Package: proposta della Commissione del 19 novembre 2025, accordo politico del 7 maggio 2026, approvazione del Parlamento europeo del 16 giugno 2026, adozione definitiva del Consiglio del 29 giugno 2026.↩

[4]Regolamento (UE) 2026/1744, pubblicato l’8 luglio 2026: proroga al 2 dicembre 2026 per gli obblighi di watermarking dei contenuti sintetici.↩

[5]Regolamento (UE) 2026/1744: nuovi divieti, dal 2 dicembre 2026, sui sistemi per la produzione di contenuti sessuali non consensuali e di materiale pedopornografico generato con IA.↩

[6]H. Kelsen, Reine Rechtslehre (Dottrina pura del diritto), 1934/1960, sulla struttura gerarchica dell’ordinamento e sulla funzione della Grundnorm.↩

[7]L. Fuller, The Morality of Law, Yale University Press, 1964: gli otto principi della inner morality of law — generalità, pubblicità, non retroattività, chiarezza, non contraddittorietà, possibilità di adempimento, costanza nel tempo, congruenza tra norma dichiarata e azione ufficiale.↩

[8]Ibid., cap. II, sulla distinzione tra governo attraverso il diritto e mero esercizio di potere discrezionale.↩

[9]F. A. Hayek, The Constitution of Liberty, University of Chicago Press, 1960, Parte I, sul rapporto tra prevedibilità normativa e libertà individuale.↩

[10]N. Luhmann, Rechtssoziologie, 1972 (trad. it. Sociologia del diritto), sulla funzione del diritto come stabilizzazione controfattuale delle aspettative sociali.↩

[11]G. Radbruch, Gesetzliches Unrecht und übergesetzliches Recht, 1946 (la c.d. “formula di Radbruch”), sulla tensione tra certezza del diritto e giustizia sostanziale.↩

[12]Concetto di commitment device nella teoria dei giochi applicata alle istituzioni; cfr. T. Schelling, The Strategy of Conflict, 1960.↩

[13]Revoca dell’Executive Order 14110 (Biden) il 20 gennaio 2025, giorno dell’insediamento della seconda amministrazione Trump.↩

[14]America’s AI Action Plan: preemption federale delle normative statali sull’AI, eliminazione degli obblighi di red-teaming per i modelli sopra soglia di calcolo.↩

[15]Emendamenti alla Cybersecurity Law cinese, in vigore dal 1° gennaio 2026.↩

[16]Piano quinquennale cinese approvato a marzo 2026, con l’IA collocata come leva di trasformazione economica sistemica.↩

[17]CGUE, sentenza 3 maggio 1978, causa C-12/77, Töpfer.↩

[18]CGUE, sentenza 14 marzo 2013, causa C-545/11, Agrargenossenschaft Neuzelle.↩

[19]CGUE, sentenza 14 ottobre 2010, causa C-67/09.↩

[20]Linee guida CRA del 27 luglio 2026: conferma, senza modifiche sostanziali, del calendario settembre 2026 / dicembre 2027.↩

[21]Osservazione empirica basata sull’analisi settoriale dell’impatto della comunicazione mediatica del “rinvio” sull’attività di compliance delle imprese.↩

[22]Regolamento eIDAS2: termine per gli Stati membri per rendere disponibile almeno un EUDI Wallet, dicembre 2026.↩

[23]Dato relativo a trentasei progetti di digital identity wallet attivi in UE a maggio 2026, di cui diciassette operativi, ma nessuno ancora certificato conforme a eIDAS2.↩

[24]Digital Omnibus: chiarimento del rapporto tra AI Act e regolamento macchine, con esclusione dei sistemi coperti dal regolamento macchine dall’applicabilità diretta dell’AI Act.↩

[26]Emendamenti del Parlamento europeo del 26 marzo 2026 al Digital Omnibus: introduzione del criterio di “certezza delle scadenze” nella valutazione della proposta della Commissione.↩