La California istituisce il registro degli auditor AI, l’Europa popola i suoi organismi notificati

Il 9 settembre 2026 il governatore della California Gavin Newsom ha firmato due leggi che, messe insieme, fanno una cosa sola: trasformano la verifica dei sistemi di intelligenza artificiale in una professione regolata, con un albo pubblico e regole di indipendenza scritte nella legge dello Stato.

SB 813, a prima firma del senatore Jerry McNerney, istituisce un quadro per le independent verification organizations, soggetti terzi abilitati a valutare modelli e sistemi AI rispetto agli obblighi della normativa californiana. La stessa legge crea la California Artificial Intelligence Standards and Safety Commission, incaricata di definire standard di sicurezza su base volontaria.

AB 1405, firmata dall’assembly member Rebecca Bauer-Kahan, compie il passo successivo e istituisce un registro pubblico degli auditor AI presso la California Government Operations Agency. La scadenza è precisa: il registro va costituito entro il 1° gennaio 2029, e da quella data lo svolgimento di un audit rientrante nel perimetro resta riservato ai soggetti iscritti.

Interessante la coalizione che ha accompagnato il pacchetto. Anthropic lo ha appoggiato ad agosto, OpenAI lo ha sostenuto pubblicamente nei giorni immediatamente precedenti la firma. Newsom ha chiuso con un appello al governo federale perché adotti regole all’altezza dell’urgenza del momento.

La verifica indipendente diventa un mestiere con un albo, e la domanda pratica riguarda quante persone sappiano davvero esercitarlo.

Il pezzo che l’Europa aveva scritto nel 2024

Chi segue il dossier europeo riconosce l’architettura al primo sguardo. Il regolamento (UE) 2024/1689, l’AI Act, poggia la conformità dei sistemi ad alto rischio su una valutazione che in una parte dei casi passa da un soggetto terzo: l’organismo notificato. È il meccanismo che l’Unione usa da decenni per dispositivi medici, ascensori, giocattoli e macchinari. Un’autorità nazionale accredita e notifica gli organismi, gli organismi certificano i prodotti, il mercato si fida della catena.

La differenza tra i due impianti sta nel verso della costruzione. La California parte dal professionista e costruisce l’albo attorno a lui. L’Europa è partita dal prodotto e ha ereditato l’infrastruttura degli organismi dal Nuovo quadro legislativo, applicandola a un oggetto, un modello statistico che apprende dai dati, piuttosto distante da un ascensore.

C’è poi una differenza di intensità. In California la riserva professionale scatta per gli audit «coperti» dal perimetro definito dalla legge statale, e la commissione sugli standard lavora su base volontaria. In Europa la valutazione di conformità è un presupposto di immissione sul mercato per l’intera classe ad alto rischio: la catena di certificazione tiene o blocca la vendita.

Dove si colloca l’Italia

L’Italia si è mossa per prima in Unione europea. La legge 23 settembre 2025, n. 132 ha designato le autorità nazionali, e i due decreti legislativi approvati dal Consiglio dei Ministri il 4 agosto 2026 hanno completato l’adeguamento al regolamento. Il riparto è netto:

AgID cura notifica, valutazione, accreditamento e monitoraggio dei soggetti che verificano la conformità dei sistemi AI. È il lato «chi abilita chi certifica».
ACN esercita la vigilanza di mercato, con poteri ispettivi e sanzionatori, e fa da punto di contatto unico verso le istituzioni europee. È il lato «chi controlla».
Per i settori vigilati restano competenti Banca d’Italia, CONSOB e IVASS, in coerenza con l’articolo 74, paragrafo 6 del regolamento.

Il risultato è che l’Italia possiede già sulla carta quello che la California costituirà entro il 2029. La domanda pratica riguarda la capienza: quanti organismi risultano effettivamente accreditati sull’AI, con quali competenze, e con quale capacità di assorbire la domanda che arriverà quando gli obblighi sui sistemi ad alto rischio entreranno nella loro fase piena.

Il mestiere da costruire

Verificare un sistema di intelligenza artificiale richiede un profilo ibrido che il mercato del lavoro produce in quantità modeste. Serve competenza statistica per leggere metriche di prestazione e di equità, competenza di ingegneria del software per capire la filiera dei dati e del rilascio, competenza giuridica per mappare gli obblighi, competenza di dominio per giudicare se un errore del modello pesa poco o pesa molto in quel contesto specifico.

La California affronta il problema con un registro e con requisiti di indipendenza, trasparenza, integrità ed etica. L’Europa lo affronta con l’accreditamento. Entrambe le strade presuppongono che qualcuno, a valle, sappia fare il lavoro. Oggi quel qualcuno si forma soprattutto dentro le imprese che sviluppano i sistemi, il che apre il tema di indipendenza che le due leggi californiane affrontano in modo esplicito.

Per un’impresa italiana la conseguenza operativa è concreta: l’audit dei sistemi AI diventa una voce di budget ricorrente e una relazione di fornitura di lungo periodo, simile a quella con il revisore contabile o con l’ente che certifica un sistema di gestione. Chi sceglie oggi il fornitore di un sistema AI sceglie anche, implicitamente, quanto costerà farlo verificare domani.

Perché conta per il mercato dei servizi

Un albo crea un mercato. Quando una giurisdizione stabilisce che dal 2029 un certo lavoro spetta agli iscritti, società di consulenza, studi professionali ed enti di certificazione cominciano a costruire capacità subito, perché l’accreditamento richiede anni di casi documentati e di personale qualificato. La California ha appena dato il segnale per il proprio territorio. L’Europa lo aveva dato nel 2024, e il mercato dei servizi di conformità AI si sta formando adesso su entrambe le sponde.

Per l’Italia il punto di attenzione riguarda la simmetria competitiva. Un organismo accreditato in Italia opera sull’intero mercato interno europeo, e altrettanto vale al contrario. Chi si accredita presto esporta un servizio, chi arriva tardi lo importa. È la stessa dinamica già osservata sulla certificazione dei sistemi di gestione e sulla cybersicurezza, con la differenza che qui la finestra è più stretta.

Vale anche la pena registrare il segnale politico. Due laboratori di frontiera hanno sostenuto una legge che crea verificatori terzi del loro stesso lavoro. Letta con generosità, è la scelta di un settore che preferisce una regola scritta ora a una regola scritta dopo un incidente. Letta con prudenza, è la scelta di chi ha le risorse per sostenere il costo della conformità e vede con favore una barriera all’ingresso.

Le prossime scadenze

2 agosto 2026, la maggior parte degli obblighi dell’AI Act è già applicabile e la Commissione ha avviato le prime richieste di informazioni a oltre trenta società.
2 agosto 2027, scade il termine per la piena applicazione degli obblighi sui sistemi ad alto rischio integrati in prodotti già soggetti a valutazione di conformità settoriale.
1° gennaio 2029, la California Government Operations Agency istituisce il registro degli auditor e la riserva di attività entra in vigore.

Da qui a quelle date il dato da osservare è uno solo: quanti organismi risultano accreditati sull’AI in Europa, e quanti di questi hanno sede in Italia. È quel numero a dire se l’infrastruttura disegnata nel 2024 regge la domanda del 2027.

Autore

Pablo Liuzzi

Founder, Synthos Logic