Giugno 2026 ha reso la responsabilità dell'AI più concreta.
Un tribunale di Monaco ha ritenuto Google responsabile delle dichiarazioni false generate da AI Overview, trattando il riassunto generativo come contenuto proprio di Google anziché come output di ricerca protetto. La CMA del Regno Unito ha ordinato a Google di consentire agli editori di rinunciare alle funzioni di ricerca AI e all'uso correlato per l'addestramento. Una coalizione di procuratori generali di 42 stati ha citato in giudizio OpenAI in merito a pubblicità, dati, minori, salute, conservazione e comportamento del modello. L'Illinois ha approvato una legge sulla verifica della sicurezza dell'AI di frontiera. La norma di New York sulla divulgazione della pubblicità con interpreti sintetici è entrata in vigore. Autorità di regolamentazione e accordi hanno legato miliardi in sanzioni alle violazioni dei dati di addestramento dell'AI.
Per i leader della tecnologia aziendale, il messaggio è che il rischio legale dell'AI si sta spostando dai team di policy a prodotto, approvvigionamento, marketing, risorse umane, sicurezza e operazioni di piattaforma.
I prossimi 6-12 mesi dovrebbero essere utilizzati per trasformare la conformità dell'AI da un documento a un sistema di controllo.
La decisione sulle Panoramiche AI di Google è importante perché attacca la zona di comfort legale della ricerca basata su AI.
I motori di ricerca hanno storicamente beneficiato della distinzione tra il fornire link a contenuti di terze parti e il parlare in qualità di editore. L'AIgenerativa indebolisce tale distinzione. Se una piattaforma sintetizza una risposta, la presenta come utile e offre agli utenti meno motivi per cliccare, i tribunali potrebbero chiedersi se la piattaforma sia proprietaria delle parole.
Questo è ciò che ha stabilito il tribunale di Monaco. Ha rilevato che il riepilogo tramite AI di Google non era semplicemente un elenco di link. Si trattava di un contenuto proprio di Google, e Google poteva essere diffidata dal ripetere dichiarazioni false. Google presenterà appello, ma la teoria è ora sul tavolo in Europa.
L'ordine della CMA del Regno Unito aggiunge una dimensione relativa all'accesso al mercato. Richiedendo l'op-out per gli editori per AI Overviews, AI Mode e l'uso per l'addestramento, l'autorità di regolamentazione ha trattato l'inclusione nella ricerca tramite I'AI come una questione strutturale di potere della piattaforma. Gli editori non stanno chiedendo solo un compenso. Chiedono il controllo sul fatto che i loro contenuti alimentino funzioni di AI che potrebbero ridurre il traffico verso i propri siti.
Il mandato di comparizione di 42 stati per OpenAI mostra che anche la supervisione negli Stati Uniti si sta estendendo. La richiesta coprirebbe pratiche pubblicitarie, coinvolgimento e fidelizzazione degli utenti, gestione dei dati dei consumatori e sanitari, minori e anziani, politiche interne e compiacenza dei modelli. Quest'ultimo termine è importante. Le autorità di regolamentazione non stanno indagando solo sulla privacy o sul marketing sleale; stanno esaminando le proprietà comportamentali del modello stesso.
L'Illinois aggiunge un percorso di conformità a livello statale per gli sviluppatori di sistemi di frontiera. L'SB 315 richiede piani di sicurezza annuali, audit indipendenti di terze parti e tutele per gli informatori. Se copiato da altri stati, ciò potrebbe creare uno standard operativo nazionale di fatto, anche in assenza di una legge federale completa sull'AI.
La norma pubblicitaria di New York sulle performance sintetiche mostra un altro schema: gli obblighi mirati sull'AI arriveranno settore per settore. La norma impone obblighi di divulgazione sulla pubblicità commerciale che utilizza sembianze umane generate o modificate dall'AI. Per marchi e agenzie, la questione operativa non è filosofica. Si tratta di capire se i flussi di lavoro creativi siano in grado di tracciare quali asset hanno utilizzato l'AI, dove vengono pubblicate le inserzioni e se gli obblighi di divulgazione siano stati rispettati.
I dati di addestramento rimangono la maggiore esposizione legale quantificata. I rapporti di miliardi in sanzioni e accordi complessivi tra le principali aziende tecnologiche mostrano che autorità di regolamentazione e querelanti si concentrano sull'uso non autorizzato dei dati, sul copyright, sui dati biometrici e sulle informazioni personali. Anche quando le cifre sono oggetto di dibattito, la direzione è chiara: il rischio legato alla provenienza dell'AI non scomparirà.
Le aziende che acquistano o sviluppano sistemi di AI non possono esternalizzare tutto questo rischio ai fornitori. Una banca che utilizza un assistente AI per le risposte ai clienti, un rivenditore che genera creatività pubblicitaria, un ospedale che utilizza il supporto alla documentazione basato sull'AI, un datore di lavoro che seleziona i candidati o un editore che distribuisce riepiloghi AI creano tutti le proprie superfici di responsabilità.
La conformità dell'AI deve diventare operativa.
Il primo controllo è l'inventario. Le aziende devono sapere dove l'AI genera risposte rivolte all'esterno, decisioni interne, risorse di marketing, supporto all'occupazione, sintesi legali, contenuti relativi alla salute o azioni di sicurezza. Ogni categoria ha un'esposizione diversa.
Il secondo controllo è la provenienza. I dati di addestramento, i dati di recupero, gli input dei prompt, gli output generati, le risorse immagine e i dataset di valutazione dovrebbero essere abbastanza tracciabili da rispondere a domande di base. Quali dati sono stati utilizzati? Con quale licenza o autorizzazione? Sono state coinvolte informazioni personali? L'output è stato revisionato? Quale versione del modello lo ha prodotto?
Il terzo controllo è la responsabilità umana. "Human in the loop" non è sufficiente se al revisore mancano tempo, competenza nel settore, autorità o una chiara lista di controllo. La tendenza dell'orientamento dell'EU AI Act e i dibattiti sull'AI ad alto rischio dimostrano che la supervisione umana è un meccanismo di conformità, non un'esenzione magica.
Il quarto controllo è la divulgazione. I flussi di lavoro di pubblicità, media sintetici, servizio clienti, risorse umane e consulenza professionale necessitano di regole chiare su quando l'uso dell'AI viene divulgato e come vengono conservati i registri. La divulgazione non dovrebbe essere improvvisata dopo un reclamo.
Il quinto controllo è la prova del fornitore. L'approvvigionamento dovrebbe richiedere rapporti di audit, piani di sicurezza, politiche sull'uso dei dati, pratiche di aggiornamento dei modelli, processi di risposta agli incidenti, termini di indennizzo e supporto alla conformità specifico per la giurisdizione. Per i modelli di frontiera, gli acquirenti dovrebbero anche chiedere in che modo la revisione governativa, le restrizioni di accesso e il ritiro dei modelli influiscono sugli obblighi del cliente.
La legge sull'AI non attende più un unico grande statuto.
Sta arrivando attraverso ordini del tribunale, leggi statali, azioni di regolatori, citazioni in giudizio, norme di divulgazione specifiche per settore, standard di approvvigionamento e pressione dei patteggiamenti. Quel percorso frammentato è disordinato, ma è abbastanza applicabile da cambiare il comportamento delle imprese.
Le aziende che si adattano più velocemente non saranno quelle che bloccano l'adozione dell'AI. Saranno quelle che rendono gli output dell'AI tracciabili, revisionabili, spiegabili e governati contrattualmente.
La questione operativa per ogni piattaforma di AI sta diventando semplice: se questo output viene contestato, possiamo mostrare come è stato creato, revisionato e controllato?