Venerdì 18 settembre 2026 due governatori americani hanno firmato nello stesso giorno due ordini esecutivi sull’AI, e a poche ore di distanza il regolatore delle telecomunicazioni indiano ha riscritto le regole delle app che filtrano lo spam telefonico. Nessuno dei tre testi discute di principi: parlano di un interruttore da verificare, di accordi di riservatezza vietati e di dati che devono passare da un’azienda a un’altra.

Il filo che li tiene insieme è che arrivano tutti dal livello sbagliato rispetto alle attese. Il livello federale americano, quello che dovrebbe dettare la linea, questa settimana ha litigato. Gli obblighi concreti li stanno scrivendo gli stati e i regolatori settoriali, e sono obblighi operativi: cosa devi poter spegnere, cosa devi registrare, cosa devi consegnare.

California: l’interruttore diventa un requisito da dimostrare

Il governatore Gavin Newsom ha firmato un ordine esecutivo che incarica un gruppo di esperti di consegnare entro due mesi raccomandazioni per rafforzare le norme statali sulla sicurezza dell’AI. Secondo The Verge, il gruppo deve valutare quattro cose molto specifiche: verificatori indipendenti presenti nelle sedi dei laboratori per audit regolari, report di trasparenza e valutazioni di rischio sottoposti agli standard dei revisori indipendenti, un kill switch la cui efficacia venga verificata periodicamente, e l’obbligo di segnalare gli incidenti di perdita di controllo come incidenti critici di sicurezza. L’ordine accelera anche l’attuazione di due leggi già firmate: un quadro per i verificatori indipendenti e un registro statale degli auditor AI.

La parte interessante non è il kill switch, che nessuno sa ancora come si implementi su un modello distribuito su migliaia di GPU. È la parola «verificata»: un interruttore che non viene provato non esiste, e questo vale identico su scala di una PMI. Sul tema dell’audit indipendente avevo già scritto quando un laboratorio ha aperto i suoi modelli a valutatori esterni.

Virginia: niente accordi di riservatezza sui data center

Lo stesso giorno la governatrice Abigail Spanberger ha firmato l’Executive Order 22, che vieta ai funzionari dell’esecutivo statale di firmare accordi di riservatezza sui progetti di data center, impone regole accelerate sul rumore e una revisione dei sistemi di generazione elettrica di riserva. L’ordine istituisce anche una task force sull’AI incaricata di valutare rischi come lo spostamento del lavoro e la privacy, e di capire quali leggi già in vigore si applichino ai danni causati dall’AI.

La Virginia ospita la maggiore concentrazione di data center al mondo, e New York e Texas avevano già mosso qualcosa di simile. Il divieto di NDA è il dettaglio che pesa: significa che il costo locale di un impianto — energia, rumore, generatori diesel — diventa discutibile in pubblico prima dell’approvazione, non dopo. È l’altra faccia della flessibilità di rete di cui si discute da mesi.

India: le segnalazioni di spam cambiano proprietario

Il TRAI ha modificato le regole sulle comunicazioni commerciali e reso obbligatorio, per le app di caller ID e gestione chiamate, inviare le segnalazioni di spam degli utenti alla piattaforma gestita dagli operatori telefonici. Truecaller, che in India conta oltre 350 milioni dei suoi più di 500 milioni di utenti attivi mensili, parla di uno scambio «a senso unico» e «anticoncorrenziale»: i dati raccolti dalla sua utenza finiscono nell’infrastruttura di enforcement altrui. Resta in piedi anche il divieto di etichettare come spam le serie di numeri designate per comunicazioni promozionali e transazionali.

Qui la lezione è per chi accumula dati come vantaggio competitivo: un dataset costruito sul comportamento degli utenti può diventare, da un venerdì all’altro, qualcosa che sei obbligato a consegnare.

L’autoregolamentazione si è fermata prima di partire

Il contesto lo dà la cronaca della settimana: Dario Amodei aveva proposto un piano in tre passi — valutatori terzi dentro i laboratori, coordinamento di settore, accordi internazionali — con consenso apparente di Altman, Hassabis e Musk. Poi, riferisce il Wall Street Journal, Zuckerberg, Musk e Huang hanno affossato la proposta di un regolatore privato finanziato dall’industria sul modello della FINRA americana. L’amministrazione Trump, intanto, ha definito «bufala» l’allarme sui rischi.

Finché resta questa situazione, un quadro unico non arriva: chi adotta AI si troverà davanti regole diverse per stato, per settore e per tipo di dato, scritte da chi ha giurisdizione su un pezzo del problema.

Cosa farei questa settimana

Non serve aspettare una norma per rispondere alle domande che tutte e tre pongono. Fai l’elenco dei sistemi AI attivi in azienda, con nome di chi li ha attivati e quali dati toccano: nella maggior parte delle PMI che vedo, questo elenco non esiste e contiene più voci del previsto. Dai a ogni integrazione una chiave API dedicata invece della chiave condivisa dell’ufficio, e prova una volta a revocarla, cronometrando quanto ci metti: quello è il tuo kill switch reale. Tieni un log di cosa l’agente scrive e invia, che è la stessa cosa che serve quando un agente fa un danno. E chiedi al fornitore, per iscritto, dove finiscono i dati e chi sono i suoi sub-fornitori.

Quattro voci, mezza giornata di lavoro. Quando la norma arriverà — nella forma di un questionario del cliente più grande di te, più che di una gazzetta ufficiale — avrai già le risposte.