Giulio Coraggio è un avvocato esperto di diritto delle nuove tecnologie, partner di DLA Piper. Coordina il dipartimento di Intellectual Property & Technology dello studio in Italia ed è Global Co-Chair del gruppo Gaming & Gambling; è abilitato alla professione sia in Italia sia in Inghilterra e Galles. Nella sua attività, che dura da oltre vent’anni, assiste società italiane e multinazionali su tecnologia, internet ed ecommerce, protezione dei dati personali e cybersecurity, oltre che sulle questioni legali del settore del gioco.
Insieme a lui abbiamo analizzato il rapporto tra un’intelligenza artificiale sempre più autonoma e regole pensate per cicli legislativi più lenti, proponendo soglie di rischio legate alle capacità effettive dei sistemi e al potere che viene loro delegato. Il confronto tocca poi gli obblighi di trasparenza dell’AI Act in vigore dal 2 agosto 2026, il divario tra governance e uso reale dell’AI nelle aziende italiane, il peso della compliance sulle PMI, la responsabilità per i danni causati dagli algoritmi e le opportunità economiche aperte dal Data Act per i dati dei prodotti connessi.
Il diritto è pronto per un’AI che evolve con questa rapidità e che le stesse Big Tech chiedono di rallentare?
Direi che il problema non è tanto se il diritto sia pronto, ma se sia in grado di accompagnare una tecnologia che cambia più velocemente dei normali cicli legislativi. L’AI sta passando rapidamente da sistemi che generano contenuti a sistemi che possono pianificare, utilizzare strumenti, prendere decisioni ed eseguire azioni. Questo cambia anche il problema giuridico. Non dobbiamo più chiederci soltanto “che cosa può generare questo modello?”, ma anche “che cosa può fare autonomamente, con quali strumenti e con quale livello di supervisione?”.
Il rischio è che una normativa costruita per classificare un sistema al momento della sua immissione sul mercato diventi rapidamente superata dall’evoluzione delle sue capacità. Per questo credo che il futuro della regolamentazione dell’AI debba essere sempre più basato non solo sulla tecnologia, ma sulle capacità effettive, sul livello di autonomia e sull’impatto concreto dell’utilizzo. Il diritto deve diventare più dinamico e, soprattutto, deve responsabilizzare chi decide come e dove utilizzare questi sistemi.
Chi decide quando un sistema diventa troppo potente o pericoloso?
Non credo che questa decisione possa essere lasciata né esclusivamente alle aziende che sviluppano l’AI né esclusivamente ai legislatori. Il caso dei modelli con capacità particolarmente avanzate è interessante proprio perché dimostra che alcune soglie di rischio possono essere tecnicamente individuate prima ancora che esista una disciplina legislativa specifica. Ma la valutazione tecnica deve poi essere trasformata in una decisione di policy. A mio avviso serve un modello a più livelli: valutazione tecnica indipendente, supervisione pubblica e responsabilità del produttore e del deployer/utilizzatore.
E soprattutto dobbiamo evitare un approccio basato sulla sola etichetta del modello. Un sistema può essere estremamente potente, ma il rischio dipende anche dagli strumenti ai quali ha accesso, dai dati che può utilizzare e dal grado di autonomia che gli viene riconosciuto. La domanda corretta, quindi, non è soltanto “quanto è potente l’AI?”, ma “quanto potere le stiamo dando e in quale contesto?”. È su questo che dovremmo costruire le soglie regolatorie.
Qual è oggi il principale punto debole delle aziende italiane nella gestione dell’AI?
Il principale punto debole che vedo non è necessariamente la mancanza di governance dell’AI che sia effettiva. È la distanza tra la goverance e l’utilizzo effettivo dell’AI. Molte aziende hanno iniziato a costruire AI policy, procedure di approvazione e registri degli strumenti utilizzati. Ma spesso non hanno ancora una visione completa di quali sistemi vengano effettivamente utilizzati dalle persone all’interno dell’organizzazione, con quali dati, per quali finalità e con quali fornitori. Dal 2 agosto 2026, con l’applicazione degli obblighi di trasparenza dell’articolo 50, questo diventa ancora più concreto: chatbot, sistemi interattivi, contenuti generati o manipolati dall’AI e deepfake comportano specifici obblighi di informazione, marcatura o etichettatura. Per me la vera sfida è quindi passare dalla AI governance “sulla carta” alla AI governance operativa. Sapere quali sistemi vengono utilizzati, classificarli, definire chi è responsabile e controllare concretamente il loro utilizzo. È qui che molte organizzazioni devono ancora fare un salto di qualità.
L’AI Act rischia davvero di indebolire le imprese europee?
Questo rischio esiste, e sarebbe un paradosso. L’obiettivo dell’AI Act è condivisibile: creare un mercato nel quale l’innovazione sia compatibile con la sicurezza e la tutela dei diritti fondamentali. Ma la compliance ha un costo e questo costo non pesa allo stesso modo su una startup europea e su una grande multinazionale tecnologica. Una grande azienda può investire milioni in legal, compliance, cybersecurity, testing e governance. Una PMI innovativa può invece trovarsi davanti a costi che incidono direttamente sulla possibilità di sviluppare e commercializzare un prodotto. Il rischio è quindi che la regolamentazione europea finisca per creare una barriera all’ingresso che, paradossalmente, favorisca proprio gli operatori tecnologici più grandi e già strutturati.
Non credo però che la soluzione sia meno regolamentazione. Credo serva una regolamentazione più proporzionata e soprattutto accompagnata da misure che permettano alle imprese europee di innovare. L’Europa deve riuscire a fare entrambe le cose: proteggere i cittadini e creare condizioni perché nascano campioni tecnologici europei. Se riusciamo soltanto nella prima, nel lungo periodo rischiamo di perdere competitività.
Gli obblighi di trasparenza sono sufficienti?
Sono necessari, ma da soli non sono sufficienti. L’articolo 50 dell’AI Act rappresenta un passaggio importante perché introduce obblighi concreti per rendere riconoscibili le interazioni con l’AI e determinati contenuti generati o manipolati artificialmente. Dal 2 agosto 2026, per esempio, i deepfake devono essere adeguatamente segnalati e determinati contenuti generati dall’AI devono essere marcati in modo machine-readable. Il problema è che la trasparenza funziona soltanto se il consumatore vede, comprende e considera credibile quella informazione. Un’etichetta “AI generated” molto piccola in fondo a un contenuto può essere formalmente corretta, ma non necessariamente impedisce l’inganno. Inoltre, il problema non riguarda soltanto il contenuto generato dall’AI. Riguarda come viene utilizzato. Un avatar virtuale può essere perfettamente trasparente sulla propria natura artificiale e, allo stesso tempo, essere utilizzato per una comunicazione altamente manipolativa.
Per questo credo che l’AI Act debba essere letto insieme alle altre discipline già esistenti: consumer protection, advertising rules, privacy, copyright e responsabilità civile. La trasparenza è il primo livello di protezione, non l’ultimo.
Chi risponde dei danni causati dall’AI?
Non credo che esista una risposta unica. La responsabilità deve essere ricostruita sulla base di chi ha fatto cosa, quale controllo aveva e quale rischio era prevedibile. Se un’azienda utilizza un modello per creare una campagna pubblicitaria, decide il messaggio, seleziona il pubblico e approva il contenuto finale, non può semplicemente dire che “lo ha fatto l’AI”. L’utilizzo dell’AI non elimina la responsabilità dell’impresa. Dall’altra parte, anche il produttore del modello può avere responsabilità quando il problema deriva da un difetto del sistema, da una violazione degli obblighi applicabili o da caratteristiche del modello che rendono prevedibile un determinato rischio.
La difficoltà maggiore nasce proprio nei casi intermedi, dove il modello produce un risultato che nessuno aveva previsto esattamente. Qui sarà fondamentale capire quali controlli erano ragionevolmente possibili e se siano stati effettivamente effettuati. Io credo che vedremo sempre meno spazio per la teoria secondo cui “la macchina ha sbagliato”. Dal punto di vista giuridico, una macchina non è il soggetto responsabile. Bisogna individuare le persone e le organizzazioni che hanno progettato, fornito, configurato, utilizzato e controllato quel sistema.
7. Il Data Act sarà una rivoluzione concreta?
Credo che possa diventare una rivoluzione molto concreta, ma non necessariamente dal primo giorno. Una precisazione è importante: il Data Act è già applicabile dal 12 settembre 2025. Il 12 settembre 2026 rappresenta però una data particolarmente importante perché l’obbligo di progettare i prodotti connessi in modo che i dati siano accessibili secondo le regole del Data Act si applicherà ai prodotti e servizi immessi sul mercato da quella data. Questo significa che il tema non riguarda soltanto i contratti. Entra direttamente nella progettazione del prodotto.
Pensiamo a un’automobile, a un macchinario industriale o a un dispositivo connesso. I dati generati dal prodotto non potranno più essere considerati automaticamente una risorsa esclusiva del produttore. Il regolamento attribuisce agli utenti diritti di accesso e, in determinate condizioni, di condivisione di questi dati.
La vera rivoluzione, quindi, potrebbe essere economica prima ancora che giuridica. I dati generati da un prodotto potranno diventare una leva per creare nuovi servizi, cambiare i rapporti tra produttori e clienti e favorire nuovi operatori sul mercato. Per le imprese la domanda non sarà più soltanto “siamo compliant con il Data Act?”. Sarà anche: “quale nuovo modello di business possiamo costruire grazie ai dati che oggi siamo obbligati a rendere accessibili?”
