Viviamo una fase storica in cui l'intelligenza artificiale non è più soltanto quella frontiera tecnologica portatrice di innumerevoli opportunità e di altrettanti potenziali rischi. Siamo di fronte a un vero e proprio fattore di trasformazione sistemica.

In un simile scenario il diritto è chiamato in causa. Da un lato, il legislatore europeo e quello nazionale hanno avviato processi di aggiornamento delle regole sull'uso e la protezione dei dati — vero motore delle evoluzioni tecnologiche — attraverso il processo di revisione del Gdpr e dell'AI Act, denominato Digital Omnibus; dall'altra è partito da lontano un incalzante processo di delegittimazione di ogni regola e norma, viste come limite all'innovazione. Le regole vengono indicate come causa della perdita di competitività dei sistemi economici, ed in primis dell'Ue, dimenticando che esse rispondono ai bisogni delle democrazie in cui viviamo. Ciò che può rallentare il progresso, generare perdita di competitività ed innescare pericolose contrazioni delle percentuali di crescita del prodotto interno lordo di un Paese sono invece le condizioni per l'applicazione equa ed efficiente delle regole: mercati asfittici, una giustizia lenta e iniqua, una burocrazia autorizzativa e di controllo lenta e senza pesi e contrappesi ai suoi poteri.

Le tecnologie di intelligenza artificiale assumono una valenza non soltanto limitata al piano economico, ma rilevante anche da un punto di vista (geo)politico e perfino militare e di sicurezza nazionale. In questo quadro, le regole e, in particolare, quelle che disciplinano questo nuovo paradigma tecnologico, possono rappresentare senza dubbio uno strumento tecnico. Ma hanno anche il potenziale per diventare parte fondante e integrante di una più ampia architettura di governance in cui poter trovare e stabilizzare un equilibrio tra innovazione, diritti fondamentali e sicurezza.

L'intelligenza artificiale, più che una tecnologia unitaria, appare oggi come un mutevole insieme di strumenti e modelli in continua evoluzione. Le stesse categorie linguistiche con cui tentiamo di mettere ordine in questa indefinita complessità risultano instabili e inadeguate. E il diritto fatica a inseguire questa complicata mutevolezza senza perdere in precisione, prevedibilità, coerenza e certezza.

Sullo sfondo si afferma poi un contesto normativo stratificato e ordinato su più livelli complementari, anch'esso in costante mutamento. Dalle nuove norme dedicate specificamente a queste tecnologie, sia europee (l'Artificial Intelligence Act) che nazionali (la L. n. 132 del 23 settembre 2025), alle regole implicitamente applicabili all'intelligenza artificiale (tra tutte, ma non solo, il Regolamento Generale sulla Protezione dei Dati, che quest'anno compie dieci anni dalla sua approvazione).

È stato avviato un processo di revisione delle norme sull'uso e la protezione dei dati a livello Ue e nazionale

La semplificazione delle regole non è mai un'operazione neutra e sicura. Dietro ogni intervento si nasconde sempre una scelta, una decisione in merito a quali interessi si intende privilegiare e quali, invece, è possibile sacrificare. Il vero rischio è che, in nome dell'efficienza, la semplificazione si traduca non già nell'auspicato avanzamento, ma in una più temibile dismissione e regressione dei presidi.

Tutto ciò nel momento in cui dall'interno dei principali player dell'AI si stanno sollevando voci allarmistiche circa la possibilità che le AI sfuggano al controllo umano, ponendo seri rischi in ambito militare, batteriologico ed infrastrutturale.

La vera sfida non è allora dover scegliere tra protezione e innovazione, ma costruire le condizioni affinché entrambe queste condizioni — che le regole sono in grado di abilitare — possano convivere e, nella convivenza, rafforzarsi reciprocamente. Si tratta di un obiettivo realizzabile, ma occorre che l'Ue non smarrisca l'identità normativa che ha reso l'Europa un punto di riferimento mondiale nell'edificazione di standard normativi sensibili alle esigenze di tutela dei diritti e di valorizzazione dell'innovazione, come avvenuto nel caso del Gdpr.