C’è un passaggio, nel nuovo decreto legislativo 160 del 2026, da poco entrato in vigore, che sembra tecnico e invece dice molto di più sul rapporto che stiamo costruendo con l’intelligenza artificiale. L’utilizzatore professionale ha rilievo anche se non sviluppa né produce il sistema; può essere penalmente responsabile quando, nell’usare un sistema ad alto rischio, dimentica intenzionalmente le misure di supervisione umana. Non basta che esistano misure di sicurezza: deve esistere anche una supervisione umana reale.
È una formula giuridica, certo. Ma contiene una domanda politica e culturale molto più ampia: che cosa significa, davvero, «controllo umano» quando una parte crescente delle decisioni viene preparata, filtrata, suggerita o automatizzata da sistemi che nessuno, nella pratica quotidiana, comprende fino in fondo?
Lo storytelling su l’AI, per anni, ci ha convinto che è uno strumento. Poi abbiamo iniziato a chiamarla assistente. Ora il diritto ci ricorda che, almeno nei contesti più delicati, non può diventare un alibi. Non basta dire che la macchina ha elaborato, classificato, segnalato o raccomandato. Qualcuno deve restare in grado di capire, verificare, interrompere, correggere. E soprattutto deve poter dimostrare di averlo fatto.
È qui che il decreto diventa interessante anche fuori dalle aule di tribunale. Perché non parla soltanto di responsabilità penale o amministrativa. Costringe imprese e organizzazioni a trasformare la supervisione umana in qualcosa di visibile: procedure, log, documentazione, ruoli, tracce. Il controllo non può più essere una dichiarazione rituale scritta in una policy e dimenticata in una cartella condivisa. Deve lasciare prova di sé.
Finora la retorica dominante sull’AI ha insistito sulla velocità, sull’efficienza, sulla capacità di ridurre tempi e costi. Il nuovo quadro normativo introduce invece una frizione: se automatizzi una funzione sensibile, devi anche organizzare l’inceppo rispetto alla macchina. Devi prevedere chi può fermarla, chi può contestarne l’output, chi si assume la responsabilità di non seguirlo.
Ed è forse questa la parte più scomoda. Il rischio non è soltanto che una macchina sbagli. Il rischio è che gli esseri umani smettano progressivamente di esercitare il proprio giudizio perché il sistema appare più rapido, più neutrale, più competente. La sorveglianza umana può esistere formalmente e svuotarsi nella pratica. Un operatore può avere il potere di intervenire, ma non il tempo per farlo. Può avere il dovere di verificare, ma non gli strumenti. Può essere teoricamente responsabile e, nello stesso momento, strutturalmente dipendente dal risultato che dovrebbe controllare.
Il decreto prova a far luce su questa zona grigia. Non lo fa con dichiarazioni etiche, ma attraverso il linguaggio più concreto del diritto: responsabilità, prove, esibizione dei documenti, nesso causale, sanzioni. Perfino la conformità tecnica, da sola, non basta a escludere la responsabilità. Essere «a norma» non significa automaticamente aver agito bene.
È un passaggio importante perché sposta il baricentro dalla macchina all’organizzazione che la usa. Non possiamo continuare a discutere di intelligenza artificiale come se il problema fosse soltanto ciò che il sistema sa fare. Conta anche il contesto in cui viene inserito, il margine di autonomia che gli viene concesso, la qualità delle verifiche, la competenza di chi lo sorveglia e la possibilità concreta di opporsi al suo risultato. Niente di facile.
La sorveglianza digitale, allora, non è soltanto quella esercitata dalle tecnologie su di noi. È anche quella che noi siamo ancora capaci di esercitare sulle tecnologie.
Scrivere in una legge che il controllo deve restare umano è relativamente semplice. Molto più difficile è garantire che, quando arriverà il momento di dire alla macchina «no», ci sia ancora qualcuno disposto, formato e autorizzato a farlo.