La California vara le prime leggi USA sugli audit indipendenti dell’AI

La regolamentazione dell’intelligenza artificiale negli Stati Uniti ha appena compiuto un passo che anche l’Europa osserva con attenzione. Il 9 settembre 2026 il governatore della California Gavin Newsom ha firmato due leggi che, per la prima volta nel Paese, costruiscono un sistema di verifiche indipendenti sui sistemi di AI. Non si tratta di un semplice invito alla trasparenza, ma di un’infrastruttura giuridica che stabilisce chi può controllare gli algoritmi, con quali requisiti e con quali garanzie di terzietà.

Le due misure, SB 813 e AB 1405, nascono per rispondere a una domanda diventata centrale: di chi ti puoi fidare quando qualcuno certifica che un modello di AI rispetta la legge? La California prova a dare una risposta creando la figura del revisore indipendente, sul modello di quanto avviene da decenni nella revisione contabile.

È una svolta che merita di essere capita nei dettagli, perché tocca chiunque sviluppi o utilizzi sistemi automatici che incidono sulla vita delle persone.

Cosa prevedono le due leggi sugli audit dell’AI

Le due norme lavorano in tandem ma affrontano problemi diversi. La prima definisce il perimetro delle verifiche, la seconda costruisce l’albo di chi le può eseguire. Insieme disegnano una filiera che oggi, negli Stati Uniti, non esisteva.

SB 813 e le organizzazioni di verifica indipendenti

La SB 813, promossa dal senatore Jerry McNerney, istituisce un quadro per le cosiddette organizzazioni di verifica indipendenti, in inglese independent verification organizations. Sono soggetti autorizzati a valutare se un sistema o un modello di AI rispetta gli obblighi previsti dalle leggi statali. In pratica la legge crea una categoria di certificatori riconosciuti dallo Stato, ai quali le aziende potranno rivolgersi per dimostrare la conformità dei propri strumenti.

Secondo le ricostruzioni della stampa, la norma affida alla California Government Operations Agency il compito di certificare la prima generazione di questi organismi entro il primo gennaio 2028. È un passaggio delicato, perché la credibilità dell’intero impianto dipende da quanto saranno davvero autonomi i primi certificatori accreditati.

AB 1405 e il registro dei revisori

La AB 1405, firmata su iniziativa della deputata Rebecca Bauer-Kahan, crea invece un registro statale degli auditor dell’AI e fissa gli standard di indipendenza, trasparenza e integrità che devono rispettare. È il primo albo del suo genere negli Stati Uniti.

Dalla sua entrata in vigore, nessuno potrà svolgere un audit su un sistema di AI coperto dalla legge senza essersi prima iscritto presso lo Stato. La combinazione delle due misure disegna così un percorso completo: da un lato si stabilisce che cosa va verificato e da quali soggetti, dall’altro si tiene traccia pubblica di chi è abilitato a farlo.

Chi finisce sotto la lente: assunzioni, assicurazioni e servizi critici

Il campo di applicazione è più ampio di quanto si potrebbe pensare. Le regole non riguardano solo i grandi laboratori che sviluppano modelli di frontiera, ma qualsiasi organizzazione i cui sistemi di AI producono effetti concreti sulle persone.

Rientrano nel perimetro, per esempio, le aziende che usano modelli linguistici in licenza per scremare le candidature di lavoro, per decidere il prezzo di una polizza, per negare un rimborso assicurativo oppure per stabilire chi ha diritto a un servizio. I tre ambiti citati in modo esplicito sono la selezione del personale, la sottoscrizione e la tariffazione assicurativa e i servizi ritenuti critici.

Il messaggio è netto: se l’algoritmo incide su un diritto o su un’opportunità, deve poter essere controllato da qualcuno che non ha alcun interesse a nascondere i problemi. Questo sposta l’attenzione dalla teoria dei principi etici alla pratica dei controlli, un terreno su cui finora quasi nessuno era stato costretto a misurarsi.

Regole di indipendenza sul modello della revisione contabile

Il cuore delle due leggi è la terzietà. Per evitare che le verifiche diventino un timbro di comodo, il legislatore californiano ha importato principi già collaudati nel mondo della revisione dei bilanci.

Un revisore registrato non può detenere una partecipazione economica nell’azienda che controlla, al di là del compenso previsto per l’audit stesso. Non può inoltre accettare un impiego presso quella stessa società nei dodici mesi successivi alla verifica. Qualsiasi rapporto d’affari, finanziario o lavorativo capace di comprometterne l’obiettività lo squalifica in partenza.

Sono vincoli severi, pensati per costruire fiducia. La logica ricalca quella che separa una società di revisione dai clienti di cui certifica i conti, trasferendola dal terreno della finanza a quello degli algoritmi. Non a caso diverse voci del settore parlano già di una possibile nascita di un mercato dell’auditing algoritmico, con figure professionali del tutto nuove.

Il tassello che mancava alla legge sulla sicurezza dell’AI

Per cogliere la portata di queste norme conviene fare un passo indietro. Nel 2025 la California aveva approvato la SB 53, la prima legge al mondo dedicata ai modelli di frontiera, che obbliga gli sviluppatori più avanzati a rendere pubblico il modo in cui gestiscono i rischi dei loro sistemi.

Quella legge, però, aveva perso per strada la parte più contestata: l’obbligo di controlli affidati a un soggetto esterno e indipendente. In altre parole, le aziende dovevano dichiarare come tenevano sotto controllo i pericoli, ma nessuno era tenuto a verificare in modo terzo che quelle dichiarazioni corrispondessero alla realtà.

SB 813 e AB 1405 colmano proprio quel vuoto, aggiungendo lo strato mancante della verifica indipendente alla cornice di trasparenza introdotta l’anno precedente. Non è un caso isolato: la California ha costruito negli ultimi mesi una vera e propria stratificazione di regole sull’AI, dopo il California AI Transparency Act sui watermark e il riconoscimento dei contenuti generati dalle macchine.

Una regolamentazione approvata dall’industria e le tempistiche

Un aspetto che ha fatto discutere riguarda il rapporto tra le nuove regole e le aziende che dovranno rispettarle. Diverse ricostruzioni giornalistiche hanno sottolineato che i soggetti più coinvolti hanno partecipato alla stesura del testo, e che OpenAI ha dichiarato il proprio sostegno alle due leggi poche ore prima della firma.

C’è chi legge questo consenso come un segno di maturità del settore e chi, al contrario, teme che una normativa scritta anche con il contributo dei controllati rischi di nascere già addomesticata. È una tensione che accompagna quasi ogni tentativo di regolare una tecnologia in rapida evoluzione, e che ritroviamo anche nei dibattiti sulla governance dei laboratori, come mostra l’ingresso di figure di primo piano della sicurezza nei board delle grandi aziende, sul modello di quanto raccontato a proposito del comitato per la sicurezza della OpenAI Foundation.

Sul piano pratico, la macchina non parte domani. Secondo quanto riportato, la certificazione dei primi organismi di verifica è attesa entro il primo gennaio 2028, mentre l’obbligo di registrazione per chi svolge audit diventerà operativo dal primo gennaio 2029. Il settore ha quindi qualche anno per prepararsi.

Firmando i due provvedimenti, Newsom ha ribadito un concetto che ripete da tempo: la California fa la sua parte, ma serve un intervento anche a livello federale per evitare un mosaico di regole diverse da uno Stato all’altro. Una richiesta che si inserisce nel più ampio confronto internazionale sulla regolamentazione dell’AI discussa anche in sede G20.

Cosa cambia per l’Europa e per chi lavora con l’AI

Se segui il tema della governance dell’AI, avrai notato una convergenza. Mentre l’Unione Europea applica l’AI Act con i suoi obblighi di trasparenza e le sue valutazioni di conformità, la California costruisce dal basso un mercato di revisori certificati. Due strade diverse che puntano allo stesso obiettivo: rendere verificabili sistemi che oggi restano spesso opachi.

Per te che ti occupi di tecnologia, marketing o sviluppo, il segnale è concreto. Le competenze legate all’audit, alla documentazione dei modelli e alla gestione del rischio stanno diventando un mestiere richiesto, non più un dettaglio per pochi addetti ai lavori.

Chi saprà parlare la lingua della conformità avrà un vantaggio competitivo, sia dentro le aziende sia come consulente esterno. La California ha acceso un faro su un pezzo di futuro che riguarda tutti, e la distanza tra il modello americano e quello europeo si sta assottigliando più in fretta del previsto.

Vuoi capire come si muove la regolamentazione dell’AI tra Stati Uniti ed Europa e come prepararti per tempo? Continua a seguirci: nei prossimi mesi il confronto tra i due approcci diventerà uno dei terreni più caldi dell’intero settore.