Il Parlamento italiano ha approvato la Legge 132 di recepimento dell’AI Act il 23 settembre 2025. La Spagna ha l’AESIA operativa dal 2024 a La Coruña, prima autorità AI dedicata in Europa. La Francia ha designato ANSSI per cybersecurity, CNIL per dati personali, DGE per industria. La Germania attende le elezioni e procede in ritardo, con BSI candidato per cybersecurity. A 2 anni dall’entrata in vigore del Regolamento UE 2024/1689 i quattro principali paesi UE hanno modelli di attuazione divergenti. Per chi opera in più mercati europei la mappa operativa è una questione concreta.
Italia: la Legge 132/2025 e il modello distribuito
Modello distribuito, non centralizzato.
La Legge 23 settembre 2025, n. 132 ha definito l’architettura italiana di vigilanza sull’AI. AGID assume il ruolo di autorità nazionale competente per il coordinamento, AGCOM mantiene competenze sui sistemi AI per contenuti audiovisivi e digitali, Garante Privacy sui trattamenti di dati personali, Banca d’Italia e Consob per i settori finanziari, Ministero della Salute per dispositivi medici. La scelta italiana è coerente con la tradizione amministrativa nazionale: nessuna nuova autorità, riassegnazione di competenze esistenti. Il vantaggio è il riuso di expertise consolidate (il Garante Privacy ha vent’anni di esperienza GDPR, AGID è il punto di riferimento per la PA digitale). Lo svantaggio è la possibile frammentazione: un sistema AI complesso può ricadere sotto più autorità contemporaneamente.
La Cabina di regia interministeriale, istituita dalla Legge 132/2025, ha tenuto la prima riunione operativa a febbraio 2026 e dovrebbe pubblicare entro il quarto trimestre 2026 un manuale operativo unificato che chiarisca le procedure di interlocuzione tra le autorità. La sandbox normativa italiana, prevista dall’articolo 57 dell’AI Act, è in fase di costituzione presso AGID. L’altra novità della Legge 132/2025 è l’introduzione di sanzioni penali aggiuntive per usi illeciti dell’AI: deepfake non consensuali, manipolazione di mercato tramite contenuti AI, usi che ledono la dignità della persona.
AIPIA mantiene aggiornata la guida operativa all’AI Act con focus sull’applicazione italiana e sull’interpretazione della Legge 132/2025.
Spagna: AESIA, primo modello centralizzato in Europa
La Spagna ha scelto un modello opposto a quello italiano: una sola autorità dedicata. L’Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), istituita con Real Decreto 729/2023, ha sede a La Coruña, in Galizia, e ha iniziato l’attività operativa nel 2024. È stata la prima autorità AI dedicata in Europa, in vigore prima ancora della pubblicazione formale dell’AI Act.
L’AESIA ha competenze ampie: ricezione delle notifiche dei sistemi alto rischio, gestione del registro nazionale, applicazione delle sanzioni, coordinamento con l’AI Office della Commissione UE. Mantiene relazioni di lavoro con AEPD (Garante Privacy spagnolo) e CNMC (autorità per la concorrenza), ma è il punto di contatto unico per l’AI Act. La scelta spagnola di centralizzazione ha un vantaggio operativo: per un’impresa che opera in Spagna l’interlocuzione è chiara. Lo svantaggio è il rischio di overlap con autorità settoriali su materie ibride.
La sandbox spagnola, prevista dal piano di applicazione AESIA, è operativa da fine 2024. 24 progetti pilota nei primi 18 mesi, soprattutto su sistemi di credit scoring, recruitment AI e visione computazionale per industria. È la sandbox più matura in Europa al momento.
Francia: il modello distribuito con coordinamento forte
La Francia ha scelto un modello distribuito ma con un coordinamento più formalizzato del caso italiano. ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) è competente per cybersecurity dei sistemi AI. CNIL (Commission Nationale de l’Informatique et des Libertés) per la protezione dei dati. DGE (Direction Générale des Entreprises) presso il Ministero dell’Economia per gli aspetti industriali e di mercato. Il coordinamento è gestito dall’IA Office Français, struttura interministeriale presso il Premier Ministre, attiva dal gennaio 2025. La sandbox francese è operativa da fine 2025, finanziata con 25 milioni di euro di Fondo France 2030 e coordinata da Bpifrance.
La Francia ha investito molto sulla narrativa di sovranità AI europea.
Il fatto che Mistral, principale player europeo di modelli LLM, sia francese e che abbia firmato il GPAI Code of Practice è un asset politico per Parigi. Il quadro normativo francese si è coordinato con la strategia industriale: l’AI come settore di sovranità, simile al nucleare o al farmaceutico. Per le imprese italiane che operano in Francia il punto operativo è la moltiplicazione delle interlocuzioni. Un sistema AI in cybersecurity può richiedere notifica ad ANSSI; se tratta dati personali coinvolge anche CNIL; se è venduto come prodotto può richiedere interlocuzione con DGE. Il framework è più strutturato dell’italiano, ma non più semplice.
Germania: il ritardo politico
La Germania è il paese in maggior ritardo sul recepimento. Le elezioni federali del febbraio 2025 hanno portato a un governo di coalizione che ha rivisto il calendario di adeguamento. La legge tedesca di recepimento, attesa originariamente per la fine del 2025, è stata rinviata e attualmente è in fase di stesura presso il Ministero Federale degli Affari Digitali.
Il modello che si profila è distribuito, simile a quello italiano: BSI (Bundesamt für Sicherheit in der Informationstechnik) per cybersecurity, BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit) per privacy, BNetzA per regolamentazione di mercato. Il Bundeskartellamt (autorità antitrust) ha già avviato indagini su sistemi AI in dominanza di mercato, anticipando alcuni temi di vigilanza. Il ritardo tedesco crea un vuoto operativo che le imprese stanno gestendo applicando direttamente l’AI Act senza il livello nazionale di interpretazione. Situazione che genera incertezza, soprattutto per le grandi imprese tedesche dell’industria automotive e meccanica, settori dove i sistemi AI embedded saranno regolati pesantemente dalle scadenze 2027.
La Germania ospita comunque alcuni dei principali centri europei di ricerca AI, dal Max Planck Institute al DFKI di Kaiserslautern. Il tessuto industriale è solido. Il punto di tensione è politico: la maggioranza di governo ha posizioni divergenti sul peso della regolamentazione versus la competitività industriale, e il dibattito interno rallenta le scelte.
Le sandbox normative: lo stato dell’arte
L’articolo 57 dell’AI Act prevede l’istituzione di sandbox normative nazionali, ambienti controllati dove sviluppatori possono testare sistemi AI con il supporto delle autorità prima del lancio sul mercato. Le sandbox sono uno degli strumenti più utili per le imprese, perché abbattono il rischio interpretativo e accelerano il time-to-market.
Lo stato a maggio 2026 è disomogeneo. Spagna: AESIA Sandbox operativa, 24 progetti completati. Francia: sandbox attiva da fine 2025, 12 progetti in corso, fondo dedicato di 25 milioni di euro. Italia: in fase di costituzione presso AGID, lancio operativo previsto secondo trimestre 2026. Germania: in pianificazione, nessun calendario formale.
Per un’impresa italiana che voglia testare un sistema AI alto rischio in ambiente sandbox, le opzioni operative oggi sono Francia e Spagna. Il salto operativo arriverà quando AGID lancerà la sandbox italiana, attesa entro la fine del 2026.
Implicazioni per le imprese multi-paese
Tre questioni concrete.
La prima è la mappatura delle autorità competenti per ogni paese. Una multinazionale con sede italiana, operazioni in Francia, Spagna e Germania, deve mantenere relazioni con almeno 8-10 autorità diverse, con prassi e tempistiche divergenti. La seconda è la documentazione: la Commissione UE ha previsto modelli unificati per la registrazione dei sistemi alto rischio nel database europeo, ma le autorità nazionali possono richiedere documentazione aggiuntiva specifica. Lo studio comparato di Pellizzoni pubblicato su DPCE Online ad aprile 2026 evidenzia interpretazioni divergenti su quali sistemi rientrino effettivamente nell’Allegato III.
La terza è la sanzione. L’AI Act fissa massimali armonizzati, ma l’applicazione concreta dipende dalle prassi sanzionatorie nazionali. Un’impresa che opera in 4 paesi può subire 4 procedimenti paralleli sullo stesso sistema, con esiti potenzialmente divergenti. Il caso GDPR ha mostrato come queste asimmetrie possono creare forum shopping verso autorità più favorevoli. Per affrontare il quadro AIPIA suggerisce a chi opera in contesti multi-paese di costruire un AI compliance officer di gruppo, con visibilità unitaria sulle interlocuzioni nazionali. La presenza AIPIA nella European AI Alliance è un canale per restare aggiornati sulle evoluzioni cross-border.
La traiettoria 2026-2027
L’AI Office della Commissione UE ha tra i suoi compiti principali quello di favorire la convergenza interpretativa tra le autorità nazionali. Lo strumento è il Board of AI, foro di coordinamento che riunisce le autorità competenti dei 27 Stati membri. La logica è simile a quella dell’EDPB per il GDPR: linee guida comuni, opinioni consolidate, prassi armonizzate.
L’esperienza GDPR insegna però che la convergenza è un processo lungo. Otto anni dopo l’entrata in vigore del regolamento, le interpretazioni divergenti tra autorità nazionali sono ancora presenti, e i casi di rinvio alla Corte di Giustizia UE per chiarimenti sono numerosi. L’AI Act non sarà diverso: i prossimi 5-7 anni vedranno una convergenza progressiva ma non rapida. Per le imprese italiane il consiglio operativo è duplice. Nel breve termine (2026-2027) accettare che il quadro è multipolare e organizzarsi per gestire le interlocuzioni nazionali in parallelo. Nel medio termine (2028-2030) seguire l’evoluzione dei chiarimenti AI Office e adeguare i framework interni man mano che le prassi si consolidano.
La regolamentazione europea dell’AI non è un ostacolo, è il terreno di gioco. Capire le sue divergenze nazionali è competenza operativa, non giuridica. Chi lo fa bene riduce i costi di compliance e accelera l’accesso ai mercati europei. Il vantaggio competitivo, anche qui, sta nella precisione del lavoro, non nella scala dell’investimento.
