Introduzione: un documento che arriva al momento giusto
Il 6 e 7 luglio 2026 si è tenuto a Ginevra il primo Global Dialogue on AI Governance, la piattaforma istituita dall’Assemblea Generale ONU (ris. A/RES/79/325) che riunisce i 193 Stati membri, il settore privato, la società civile e la comunità tecnica attorno alla governance dell’IA. In vista dell’appuntamento, l’UNESCO ha pubblicato il policy brief Governing AI: Nine Emerging Approaches for Lawmakers Worldwide (2026): non un trattato né un atto normativo, ma uno strumento di lavoro per parlamentari e staff tecnici, che risponde a una domanda concreta — come si regola, in pratica, l’IA nel proprio contesto nazionale? La risposta: non esiste un unico modo, ne esistono almeno nove, ordinati dal light-touch allo stringente e — punto decisivo — combinabili tra loro come componenti di un’architettura. Per chi opera nell’ICT è una griglia preziosa per leggere e anticipare l’evoluzione di un panorama normativo frammentato.
1. Perché proprio l’UNESCO: dalla Raccomandazione del 2021 al “menu” per i legislatori
L’UNESCO è l’organizzazione che nel 2021 ha fatto adottare da 193 Stati la Recommendation on the Ethics of Artificial Intelligence, primo standard globale sull’etica dell’IA, e oggi siede nel segretariato congiunto del Global Dialogue. Il brief nasce da un processo esso stesso partecipato: lavori con l’Unione Interparlamentare, webinar per parlamentari e una consultazione pubblica con oltre cento contributi da 36 Paesi, Italia inclusa.
2. La cornice concettuale: cosa si intende per “regolazione” e perché la definizione di IA è una scelta politica
Il brief adotta una nozione ristretta di regolazione — regole vincolanti emanate dai parlamenti nazionali e sovranazionali — rivendicando la centralità delle assemblee elettive nella definizione di diritti e obblighi. E avverte: la definizione di “sistema di IA” non è un dettaglio tecnico, perché determina l’ambito di applicazione della legge, cioè chi entra e chi resta fuori dal perimetro degli obblighi. È una questione che accompagna l’intero processo regolatorio, come i negoziati sull’AI Act hanno dimostrato.
3. I nove approcci: uno spettro dal light-touch allo stringente
Gli approcci non sono modelli alternativi: le leggi sull’IA di tutto il mondo già li combinano in configurazioni diverse.
3.1 L’approccio basato sui principi: è un approccio basato su principi fondamentali — etica, antropocentrismo, diritti umani — che orientano sviluppo e uso dell’IA senza imporre obblighi specifici (Perù, Filippine). Da soli non bastano, ma definiscono la matrice interpretativa delle regole vincolanti.
3.2 L’approccio basato sugli standard: Gli standard tecnici danno precisione operativa alle regole e creano presunzioni di conformità (art. 40 AI Act). La partita della compliance si gioca sempre più nei comitati di normazione.
3.3 L’approccio agile e sperimentalista: è un approccio basato su sandbox regolatorie e testbed, che si traducono in sperimentazione sotto supervisione delle autorità (art. 57 AI Act, legge sudcoreana). Non solo un beneficio per le imprese ma un dispositivo di apprendimento istituzionale che rende la regolazione iterativa.
3.4 L’approccio facilitante e abilitante: questo approccio si fonda sulla legge come leva per creare capacità in termini di ricerca, infrastrutture, talenti, alfabetizzazione (è, tipicamente, quello utilizzato in Giappone, Corea del Sud e Perù). È l’approccio meno discusso in Europa, ma il più incisivo sulla competitività degli ecosistemi digitali.
3.5 L’approccio dei mandati di trasparenza e accesso all’informazione: si tratta di una metodologa fondata sugli obblighi di informare il pubblico sui sistemi di IA. È l’approccio utilizzato, ad esempio, dall’algoritmo pubblico francese e dall’art. 50 dell’AI Act (informative di interazione, marcatura degli output sintetici, etichettatura dei deepfake), fino alla Corea del Sud. La trasparenza come primo passo verso spiegabilità e accountability.
3.6 L’approccio dell’adattamento delle leggi esistenti: in questo caso si tratta di emendare norme settoriali e trasversali anziché varare leggi organiche. Si vedano, ad esempio, l’art. 22 GDPR sulle decisioni automatizzate, la legge colombiana che aggrava le pene per la sostituzione di persona via deepfake. L’approccio si fonda su miglioramenti incrementali, agganciati a corpi normativi maturi.
3.7 L’approccio basato sul rischio: tale approccio si basa su obblighi calibrati sul livello di rischio. Ne è un esempio la piramide dell’AI Act (pratiche vietate, alto rischio, rischio limitato e minimo) e la variante sudcoreana dell'”IA ad alto impatto”. Si tratta del modello più influente, ma con tassonomie non allineate tra giurisdizioni.
3.8 L’approccio obbligatorio basato sui diritti: è un approccio delicato, basato su nuovi diritti individuali e obblighi vincolanti a prescindere dal rischio. Si veda, ad esempio, il GDPR sul processo decisionale automatizzato, il Data Protection Act keniota, l'”AI bill of rights” filippino, il disegno di legge brasiliano. Per i sostenitori di tale modello, i diritti “non sono negoziabili” a nessun livello di rischio.
3.9 L’approccio della responsabilità: è l’approccio più pragmatico, fondato sulla previsione (e applicazione) di sanzioni per gli usi problematici (nell’AI Act fino a 35 milioni di euro o al 7% del fatturato mondiale). Nel perimetro di tale modello, ogni architettura regolatoria si regge, in ultima analisi, sulla credibilità dell’enforcement.
4. Oltre la tassonomia: le sei raccomandazioni ai legislatori
Il brief traduce la tassonomia in metodo: proteggere sempre i diritti umani e presidiare i divari digitali; processi legislativi partecipativi e inclusivi; regolare per problemi specifici con approccio evidence-based (no al one-size-fits-all); regolazione agile con sandbox e testbed; imparare dalle altre giurisdizioni senza isomorphic mimicry, cioè senza trapianti ciechi di norme straniere; prepararsi alle sfide di implementazione costruendo le capacità istituzionali necessarie.
5. Che cosa comporta, davvero, per il modo di pensare la governance dell’IA
Quattro operazioni concettuali: de-ideologizza il dibattito (non se regolare, ma con quale combinazione di strumenti); assume la modularità come paradigma — un catalogo di design pattern regolatori, verrebbe da dire; afferma il primato del processo sulla sostanza (osservare, apprendere, correggere); pone i diritti umani come vincolo trasversale non negoziabile. Con un’implicazione geopolitica: sottrarre la conversazione al duopolio Bruxelles-Washington e rendere anche i Paesi a medio e basso reddito rule-maker, non solo rule-taker.
6. La lettura europea: l’AI Act come combinazione di approcci (e le sue turbolenze)
Riletto con la tassonomia UNESCO, l’AI Act non è “l’approccio basato sul rischio” tout court: combina almeno sei approcci su nove. E la sua attuazione conferma la lezione sull’implementazione: il Digital Omnibus ha rinviato gli obblighi per l’alto rischio (dicembre 2027 e agosto 2028), proprio per il ritardo delle norme armonizzate, mentre restano fermi i divieti, l’AI literacy e gli obblighi di trasparenza dell’art. 50, applicabili dal 2 agosto 2026.
7. La lettura italiana: la legge 132/2025 come esercizio di combinazione
Anche la legge italiana 132/2025 è una combinazione: principi generali, adattamento delle norme settoriali (sanità, lavoro, PA, giustizia, professioni), intervento penale sui contenuti generati, misure abilitanti (fino a un miliardo di investimenti) e governance affidata ad AgID e ACN. Con il banco di prova dei decreti attuativi ancora davanti.
8. Implicazioni operative per chi fa tecnologia
Sei indicazioni: leggere le normative come combinazioni di approcci, non come “severe o permissive”; presidiare la standardizzazione, dove si gioca la compliance; usare le sandbox come risorsa strategica; trattare la trasparenza come requisito di prodotto, integrato a livello di piattaforma; non dimenticare le norme che esistono già (GDPR, lavoro, consumatori, responsabilità); investire in alfabetizzazione e competenze diffuse.
9. Conclusioni: la governance come artigianato istituzionale
Il brief non propone la ricetta giusta, e questa è la sua forza: la governance dell’IA come artigianato istituzionale, fatto di strumenti da conoscere, dosare e combinare, con i diritti umani come vincolo e l’apprendimento continuo come metodo. La stagione della “legge perfetta sull’IA” è finita prima di cominciare; quella della composizione intelligente degli strumenti è appena iniziata — e il policy brief UNESCO ne è il manuale introduttivo più lucido.
