Autorità, paese per paese: chi verrebbe davvero a chiedere

Questa guida non costituisce consulenza legale. È una risposta in linguaggio chiaro alla domanda che tutti fanno una volta capite le regole sull’informativa: d’accordo, ma chi verrebbe davvero a chiedere? Confrontata con lo stato delle cose ad agosto 2026, ed è la guida che più probabilmente cambierà sotto i nostri piedi, quindi la rivediamo con regolarità.

Come dovrebbe funzionare l’applicazione

Il regolamento IA divide la vigilanza in due. I grandi fornitori di modelli di IA rispondono direttamente all’Ufficio per l’IA della Commissione europea. Tutti gli altri, il che include ogni impresa che pubblica contenuti di IA su un sito web, rispondono a un’autorità nazionale di vigilanza del mercato in ciascuno Stato membro, lo stesso apparato che vigila sulla sicurezza dei prodotti. Ogni paese doveva designare la propria autorità entro il 2 agosto 2025.

Ecco il quadro onesto: a quella scadenza, solo otto dei ventisette Stati membri lo avevano fatto formalmente. Un anno dopo, la mappa si sta riempiendo ma resta disomogenea, il che produce il fatto più strano di tutto questo ambito, e quello da leggere due volte. Gli obblighi di informativa si applicano dal 2 agosto 2026 ovunque, indipendentemente dal fatto che il paese in questione abbia finito di nominare il proprio arbitro. I regolamenti UE si applicano direttamente. Un’autorità assente ritarda la bussata alla porta; non sospende la regola.

La parte che conta più di qualsiasi autorità

Prima del giro dei paesi, un breve articolo del regolamento merita la Sua attenzione, perché descrive il modo in cui queste regole arriveranno con più probabilità a un’impresa ordinaria. L’articolo 85 dice che «qualsiasi persona fisica o giuridica che abbia motivo di ritenere che vi sia stata una violazione delle disposizioni del presente regolamento» può presentare un reclamo all’autorità di vigilanza del mercato competente.

Qualsiasi persona. Qualsiasi impresa. Ciò include il concorrente a cui dà fastidio che i Suoi contenuti generati con IA si posizionino sopra le proprie pagine scritte a mano, l’ex dipendente e il cliente che si è sentito fuorviato da una foto di squadra di persone che non esistono. Le agenzie di applicazione si muovono a velocità di agenzia, ma i reclami arrivano alla velocità dei rancori. Lo scenario realistico non è mai stato un ispettore con una cartella. È una lettera che inizia «abbiamo ricevuto un reclamo», e a quel punto l’unica domanda che conta è che cosa mostrano le Sue registrazioni.

Germania: la coda più organizzata d’Europa

La Germania fa ciò che la Germania fa: costruire l’apparato per bene, un po’ in ritardo. La Bundesnetzagentur, l’agenzia federale delle reti che già regola telecomunicazioni ed energia, è designata come autorità di vigilanza del mercato predefinita e come punto di contatto unico verso l’UE. Al suo interno c’è un centro di coordinamento e competenza, KoKIVO, il cui compito è mettere in comune la competenza sull’IA e fornire l’interpretazione alle autorità settoriali, così che le domande di IA di una banca e quelle di un costruttore ricevano risposte coerenti.

La legge di attuazione, la KI-MIG, è stata adottata come progetto del governo il 10 febbraio 2026 e sta percorrendo in via prioritaria il Bundestag. Due dettagli meritano l’attenzione di chiunque pubblichi. Aggiunge sanzioni nazionali complementari fino a 50.000 euro per violazioni non già coperte dal regime sanzionatorio UE, e i ricorsi contro le decisioni di applicazione non hanno effetto sospensivo, il che significa che prima si ottempera e poi si discute. Il progetto attribuisce anche alle autorità poteri concreti e incisivi: richieste di informazioni, accesso remoto ai sistemi via API e ispezioni senza preavviso. Se le Sue pagine in tedesco portano contenuti di IA privi di informativa, è questo il regime sotto il quale saranno alla fine giudicate, gestito da un’agenzia con vent’anni di pratica nel sanzionare grandi imprese.

Francia: nessuna legge nuova, ispettori noti

La Francia ha preso l’approccio opposto: nessuna legge nazionale sull’IA, e l’applicazione ripartita tra i regolatori che già ha. Il punto di contatto unico è la DGCCRF, l’autorità di tutela del consumatore e di lealtà commerciale, in coordinamento con la CNIL per la protezione dei dati, l’ARCOM per i media, l’ANSSI per la sicurezza e altri organismi settoriali.

La scelta della DGCCRF è il segnale. La Francia ha inquadrato la trasparenza dell’IA come questione di tutela del consumatore, e la DGCCRF è un’agenzia che conduce campagne di controllo, verifica siti web su scala e pubblica i risultati. Da decenni vigila sulle pratiche commerciali ingannevoli, e una pagina generata con IA che si presenta come lavoro umano entra in quella descrizione del ruolo senza alcuna forzatura. Per chi pubblica verso clienti francesi, il modello mentale non è «una nuova autorità per l’IA che sta muovendo i primi passi». È l’autorità di tutela dei consumatori di sempre, con una voce nuova nella sua lista di controllo.

Il giro rapido di tutto il resto

L’Italia si è mossa per prima e con più durezza: una legge nazionale sull’IA completa in vigore da ottobre 2025, con l’agenzia nazionale per la cybersicurezza, ACN, titolare della vigilanza del mercato. La Spagna ha costruito un’agenzia dedicata, AESIA, la prima del suo genere in Europa, supportata da una lunga lista di autorità settoriali. L’Irlanda è andata all’estremo opposto e ha designato quindici autorità esistenti, coordinate da un Ufficio nazionale per l’IA operativo da settembre 2025, il che conta più di quanto suggerisca la dimensione dell’Irlanda, perché tante imprese tecnologiche rispondono prima ai regolatori irlandesi. I Paesi Bassi prevedono che l’autorità per le infrastrutture digitali e l’autorità per la protezione dei dati condividano il compito, con la nomina formale ancora pendente. Si prevede che il Belgio affidi il ruolo al regolatore delle telecomunicazioni e resta indietro rispetto ai vicini. La Polonia sta legiferando una nuova commissione a tale scopo. L’Austria, al momento del controllo, stava ancora finalizzando le designazioni.

Se il Suo paese, o quello dei Suoi clienti, è nella colonna del non ancora, resista alla conclusione ovvia. L’obbligo è in vigore lì comunque, il diritto di reclamo dell’articolo 85 esiste lì comunque, e le autorità che arrivano tardi tendono ad arrivare con qualcosa da dimostrare.

Che cosa significa se pubblica oltre confine

Le regole si legano al Suo pubblico, non al Suo indirizzo, quindi un’impresa che pubblica in diversi paesi dell’UE risponde, in linea di principio, all’autorità di ciascuno di essi. Nella pratica l’esposizione si concentra dove sono i Suoi clienti, nella lingua delle Sue pagine. Un’agenzia del Regno Unito che gestisce siti in tedesco dovrebbe pensare alla Bundesnetzagentur. Un esportatore con clienti francesi dovrebbe pensare alla DGCCRF. Nessuno deve memorizzare ventisette organigrammi; deve sapere quali due o tre mercati serve davvero, e che cosa mostrerebbero le Sue registrazioni se un reclamo atterrasse in uno di essi.

Domande che la gente fa davvero

Chi può sanzionarci davvero, e di quanto? L’autorità di vigilanza del mercato dello Stato membro interessato, applicando il regime sanzionatorio del regolamento IA: per gli obblighi di trasparenza, fino a €15m o il 3% del fatturato mondiale, e le imprese più piccole sono sanzionate con la minore delle due cifre. Alcuni paesi, la Germania tra essi, aggiungono sanzioni nazionali in più per illeciti procedurali.

Un concorrente può davvero segnalarci? Sì. L’articolo 85 dà a qualsiasi persona fisica o giuridica il diritto di presentare reclamo all’autorità pertinente, e i concorrenti hanno sia il motivo sia l’attenzione al dettaglio. La difesa non è sperare che nessuno guardi. È avere registrazioni che rendano noioso il reclamo.

Il nostro paese non ha ancora designato un’autorità. Siamo fuori pericolo? No. Gli obblighi si applicano direttamente dal 2 agosto 2026, sia o meno stato nominato l’arbitro locale. Il vuoto cambia quando inizia l’applicazione, non se Lei è conforme, e i reclami presentati ora saranno in attesa quando l’autorità aprirà le porte.

Siamo del tutto fuori dall’UE. Quale autorità ci contatterebbe? L’autorità dello Stato membro in cui si trova il Suo pubblico interessato. L’applicazione extraterritoriale impiega più tempo e accade meno spesso, ma il rischio più vicino per chi pubblica da fuori UE non è mai stato l’autorità: sono i clienti, i partner e i team di procurement dell’UE che chiedono prova di conformità prima di firmare.

Qualcosa di tutto questo sarà davvero applicato? L’applicazione è giovane, le autorità stanno ancora coprendo i posti, e nessuno di senno si aspetta retate all’alba per un post di blog. Ma l’apparato esiste ora, il canale di reclamo è aperto a chiunque abbia un motivo di doglianza, e le autorità, storicamente, si scaldano proprio sul tipo di violazione chiara, verificabile e visibile che è un’immagine di IA non etichettata. Il momento economico per essere in regola è prima della prima lettera.

Che cosa dovremmo preparare davvero? Le stesse tre cose che chiederebbe qualsiasi autorità di questa pagina: un inventario di ciò che sui Suoi siti è generato con IA, prova della revisione per il testo che ha scelto di non etichettare, e informative visibili per ciò che le richiede. Se può produrre quelle cose in un pomeriggio, ogni paese di questa pagina diventa una nota a piè di pagina.

Dove entriamo noi

Swornmark esiste per rendere possibile quel pomeriggio: scansioni che inventariano i Suoi siti, rilevazioni con il testo dell’informativa già redatto, una sottoscrizione nominativa con una registrazione, e un certificato che chiunque, compresa un’autorità, può verificare. La scansione è gratuita e richiede circa un minuto: swornmark.com.

E se legge questo da un paese che abbiamo riassunto in una frase e vuole la versione lunga, ci farebbe davvero piacere una conversazione. Confrontare storie dell’orrore regolatorio oltre confine, qui, è quasi un hobby.

Questa guida non costituisce consulenza legale. È stata redatta con assistenza di IA e revisionata prima della pubblicazione. Swornmark detiene la responsabilità editoriale. Il quadro regolatorio di cui sopra è stato verificato ad agosto 2026 e cambierà; dove questa pagina e la realtà divergono, la realtà si è mossa, e gradiremmo la correzione.