1. Regno Unito: dall’informativa privacy al comportamento degli agenti IA
Lo scorso 8 ottobre, l’ICO (Information Commissioner’s Office), l’autorità indipendente di garanzia e regolamentazione per la protezione dei diritti personali del Regno Unito, ha pubblicato i risultati del proprio programma di supervisione sui modelli fondazionali, avviato nel 2025 e inizialmente esteso a undici sviluppatori. Il confronto con xAI è stato successivamente separato a seguito dell’apertura di un’indagine formale su Grok; il rapporto conclusivo riguarda quindi dieci imprese.
Gli interventi ottenuti comprendono informazioni più chiare sul trattamento dei dati, meccanismi più efficaci per consentire agli interessati di esercitare i propri diritti e valutazioni più rigorose delle misure di protezione. L’autorità ha inoltre precisato la propria posizione su due questioni controverse: l’impiego di categorie particolari di dati nell’addestramento e la possibilità che il modello stesso contenga dati personali.
Il comunicato del Garante britannico non consente tuttavia di associare sistematicamente ogni impegno a una specifica impresa, né indica per tutti gli interventi scadenze uniformi. La verifica dell’effettiva attuazione sarà quindi decisiva.
La novità principale riguarda l’IA agentica. L’ICO ha avviato una call for evidence su sicurezza, trasparenza, accountability, decisioni automatizzate, correttezza e base giuridica del trattamento. L’iniziativa segue episodi nei quali agenti IA avrebbero aggirato protezioni, utilizzato canali di comunicazione non autorizzati o interagito con sistemi esterni.
Il passaggio dagli assistenti conversazionali agli agenti modifica l’economia del rischio. Un chatbot produce prevalentemente informazione che può poi tramutarsi in azione per decisione di chi la riceve; un agente può generare in via diretta transazioni ed effetti esterni. Può combinare dati provenienti da fonti diverse, agire per conto di un utente e coinvolgere soggetti che non hanno mai acconsentito all’interazione.
La posizione britannica è significativa anche per l’Europa. Il GDPR e l’AI Act offrono già regole applicabili, ma l’autonomia operativa rende meno netta la distinzione tra fornitore, deployer, responsabile del trattamento e utilizzatore. Saranno necessari log delle azioni, limiti ai permessi, conferme umane per gli atti più sensibili e procedure per interrompere o annullare le operazioni.
Cosa guardare per seguire gli sviluppi: contributi alla consultazione entro il 20 novembre; risultati delle inchieste in corso su OpenAI, Anthropic e Meta su test e impiego recente di agenti IA; pubblicazione del codice britannico su IA e decisioni automatizzate; attribuzione delle responsabilità quando un agente utilizza strumenti o piattaforme di terzi.
2. India: verso una regolazione ad hoc dell’IA?I
Sempre lo scorso 8 ottobre, il Ministro per l’Elettronica e l’Information Technology del governo Modi, Ashwini Vaishnaw, ha annunciato l’arrivo di un documento di consultazione sull’IA, con lo scopo di regolamentarla. Questo passo segna un’evoluzione significativa della posizione indiana. Negli ultimi anni New Delhi aveva privilegiato infrastrutture, innovazione e strumenti settoriali, evitando una legge orizzontale paragonabile all’AI Act europeo. Il governo ha ora dichiarato che è arrivato il momento di predisporre una regolazione specifica.
Non è ancora disponibile un testo e non è chiaro se il consultation paper porterà a una legge autonoma, a modifiche dell’Information Technology Act o a una combinazione di disposizioni settoriali e standard tecnici. Il ministro ha però indicato un approccio “techno-legal”: la norma dovrebbe essere affiancata da soluzioni tecnologiche per identificare contenuti sintetici, contrastare i deepfake e mitigare i possibili danni.
Questa impostazione può essere più flessibile di un unico regime generale, ma presenta tre rischi. Il primo è la frammentazione tra autorità e settori. Il secondo è affidare alle stesse piattaforme una parte eccessiva della verifica. Il terzo è che obblighi di tracciamento o identificazione dei contenuti possano incidere sulla privacy e sulla libertà di espressione.
La dimensione economica è altrettanto importante. L’India vuole tutelare la popolazione senza compromettere la crescita di un ecosistema fondato su servizi informatici, talenti, startup e applicazioni dell’IA a basso costo. Le regole dovranno quindi essere applicabili anche a imprese di dimensioni ridotte e modelli open source, evitando che la conformità favorisca soltanto i grandi operatori, perlopiù stranieri.
La scelta potrà avere implicazioni internazionali. Molti Paesi a reddito medio-basso condividono l’esigenza indiana di governare rischi immediati — frodi, deepfake, discriminazioni e sicurezza — senza disporre della capacità amministrativa necessaria per replicare integralmente il modello europeo.
Cosa guardare per seguire gli sviluppi: pubblicazione del documento entro novembre; scelta tra legge orizzontale e interventi settoriali; ruolo dell’AI Governance and Economic Group; regole per deepfake e IA agentica; disciplina dei modelli open source; eventuali sandbox; ripartizione dei poteri tra Ministero per l’Elettronica e l’Information Technology (MeitY) e autorità settoriali.
3. Paesi Bassi: la nuova strategia quantum
La nuova strategia quantum olandese, pubblicata lo scorso 5 ottobre, copre quantum computing, comunicazione quantistica e sensoristica. Il governo riconosce che le tre aree presentano livelli di maturità diversi: i sensori hanno già applicazioni commerciali, mentre molti impieghi del calcolo quantistico dipendono ancora da macchine che dovranno diventare più affidabili e scalabili.
L’impostazione industriale è pragmatica. L’autonomia non viene identificata con l’autarchia: una catena del valore interamente nazionale è considerata irrealistica, dati i costi e la dipendenza da componenti, materiali e competenze estere. L’obiettivo è presidiare segmenti strategici, consolidare la posizione nelle catene internazionali e gestire le dipendenze attraverso cooperazione europea e alleanze selettive.
Il governo vuole inoltre operare come primo cliente, finanziatore e partner attraverso la nuova National Agency for Disruptive Innovation. È una risposta a un problema comune al deep tech europeo: ricerca di qualità e brevetti non producono automaticamente scale-up e mercati.
La strategia affronta anche il rischio “harvest now, decrypt later”: informazioni cifrate e sottratte oggi potrebbero essere decifrate in futuro da computer quantistici sufficientemente potenti. Per questo motivo, la migrazione post-quantistica dovrà essere completata entro il 2030 per gli impieghi pubblici ad alto rischio ed entro il 2035 per quelli a rischio medio. Entro il 2028, le amministrazioni dovrebbero inserire requisiti quantum-safe negli appalti.
La principale debolezza riguarda le risorse. I 614,9 milioni di euro allocati a Quantum Delta NL costituiscono una base importante, ma la migrazione crittografica non dispone di un nuovo stanziamento complessivo dedicato. Gran parte degli interventi dovrà essere assorbita dai bilanci ministeriali esistenti. Questo potrebbe creare un divario tra obiettivi nazionali e capacità di esecuzione delle singole amministrazioni.
Cosa guardare per seguire gli sviluppi: prima relazione annuale al Parlamento nel 2027; copertura finanziaria della migrazione; inventario dei sistemi crittografici; requisiti negli appalti dal 2028; coordinamento con la roadmap europea; partecipazione delle PMI e capacità di trasformare i cluster scientifici in imprese globali.