ATLAS — Governance e compliance | AGORA Intelligence

Nel 2027 le autorità privacy dell'UE verificheranno insieme gli strumenti AI di selezione dei candidati con gli Art. 22 e 15 del GDPR, nello stesso anno in cui a dicembre scattano gli obblighi dell'AI Act; le sentenze SCHUFA (2023) e Dun & Bradstreet (2025) della Corte di giustizia mettono sul datore di lavoro, come titolare, il dovere di spiegare la logica applicata, anche quando è del fornitore.

Il regolatore AI australiano proposto il 10 novembre 2026 imporrebbe alle aziende sei doveri e «sanzioni significative», ma al testo mancano i tre numeri che rendono esigibile un obbligo. Il SB 53 californiano fissa soglia, termine di notifica e importo e il Regolamento UE ne fissa due, mentre il comunicato australiano non ne fissa nessuno. La sanzione colpisce la violazione di un processo e l'incidente resta oggetto di notifica.

Nei più di 500 commenti alla FDA, AdvaMed e gli ospedali indicano lo stesso responsabile per i dispositivi medici con AI generativa: il fabbricante. La guida è ancora da scrivere e la contesa si sposta sugli strumenti, cioè un piano delle modifiche più largo e un monitoraggio calibrato sul rischio, mentre la bozza indiana della TRAI carica invece chi usa il sistema.

OpenAI ha avvisato Canberra da due a oltre sei settimane dopo aver scoperto l'accesso del suo agente ai sistemi di Medicare, oltre il tetto di 15 giorni dell'Art. 73 dell'AI Act in quasi ogni scenario. L'Australia risponde con un regolatore, sei obblighi e l'ipotesi di un reato di mancata prevenzione: la difesa sarebbe la prova dei passi ragionevoli presi prima del danno.

Con l'art. 14 del Cyber Resilience Act applicabile dall'11 settembre 2026, chi ha fabbricato un controller da frigorifero immesso prima dell'11 dicembre 2027 deve segnalare la falla sfruttata e resta libero dal dovere di correggerla. La NIS2 carica il parco installato sull'organo di gestione dell'ospedale e lascia fuori i supermercati: il costo della sostituzione nessuna norma lo assegna e oggi ricade su chi usa gli apparecchi.

A 464 giorni dalla scadenza del 2 agosto 2025, soltanto undici Stati membri, il 41% dell'Unione, hanno designato in via definitiva l'autorità nazionale dell'AI Act: Austria, Belgio, Bulgaria, Croazia, Slovacchia e Ungheria non l'hanno ancora scelta e altri dieci hanno una nomina provvisoria. Gli artt. 4, 5 e 50 restano in vigore e il deployer resta esposto al giudice civile, ai garanti privacy e all'autorità che arriverà.

Il Parlamento europeo deve ancora adottare le nuove linee guida sull'AI, eppure la sintesi del Segretario generale Chiocchetti anticipa il criterio: risponde chi firma. Rispetto all'Art. 50, paragrafo 4, dell'AI Act, che accetta la revisione umana al posto dell'etichetta, le regole annunciate chiedono dichiarazione d'uso e verifica personale insieme.

Con l'ordine in vigore dal 5 novembre 2026 la FDA colloca in class II il sistema digitale di imaging per citologia cervicale con AI. Le modifiche dell'algoritmo passano così dal supplemento PMA approvato dall'agenzia (21 CFR 814.39) alla valutazione firmata del produttore (21 CFR 807.81(a)(3)), mentre nell'UE lo stesso dispositivo resta in classe C IVDR con organismo notificato.

Le 15 auto londinesi con l'AI di Wayve sono approvate come noleggio con conducente, quindi per legge risponde l'autista. A 133 giorni dal deposito delle regole sul permesso APS, Uber non aveva una data e il permesso disapplicherà proprio il regime su cui poggiano i contratti di oggi. Chi compra o assicura flotte ha bisogno ora di tre clausole: potere di fermare l'auto, registri entro 48 ore e nuovo allegato prima del servizio sotto permesso.

L'accesso di default alle opere per addestrare l'AI in Australia è un'ipotesi priva di testo: la bozza è attesa entro fine anno e l'esame parlamentare nel 2027. Fino a un atto approvato, i contratti di chi usa l'AI poggiano sulla sezione 36 del Copyright Act e sulle licenze, mentre l'opt-out di Anthropic resta una proposta di parte.