Relazione illustrativa — La legge sulla sicurezza dell’intelligenza artificiale

Il testo integrale del progetto di legge — vedi qui. Ogni commento di articolo porta un segno che conduce al testo di quell’articolo nella legge; dalla legge, il segno «→ le motivazioni» riporta il lettore qui.

RELAZIONE ILLUSTRATIVA

Sezione 1 – Titolo del progetto di atto normativo

«Legge sullo sviluppo sicuro dei sistemi di intelligenza artificiale d'avanguardia e sulla prevenzione dei rischi catastrofici per il cittadino romeno»

Sezione 2 – Motivo dell'emanazione dell'atto normativo

1. Descrizione della situazione attuale

L'intelligenza artificiale è passata, nell'arco di pochi anni soltanto, dallo stadio di strumento specializzato a quello di tecnologia per finalità generali, capace di generare testo, codice informatico, immagini e piani di azione e di operare autonomamente in ambienti digitali, per mezzo dei cosiddetti «agenti» che eseguono compiti complessi senza una sorveglianza passo per passo. I sistemi più avanzati, denominati nella letteratura specialistica «modelli d'avanguardia», sono sviluppati da un numero ristretto di società commerciali degli Stati Uniti d'America e della Repubblica popolare cinese, in una competizione accelerata, con risorse di calcolo che si moltiplicano diverse volte all'anno e con investimenti annunciati dell'ordine delle centinaia di miliardi di dollari.

Gli avvertimenti relativi ai rischi di questa traiettoria non provengono dall'esterno del settore, ma dal suo stesso interno. Geoffrey Hinton, vincitore del Premio Turing (2018) e del Premio Nobel per la Fisica (2024), considerato il «padre» delle reti neurali moderne, si è dimesso nel maggio 2023 dalla funzione che deteneva presso Google proprio per poter parlare liberamente del pericolo. Nell'intervista concessa all'emittente CNN, nella trasmissione «Amanpour» del 2 maggio 2023, alla domanda se l'intelligenza artificiale potesse condurre all'estinzione della specie umana, Hinton ha risposto che ciò «non è inconcepibile» («it's not inconceivable»). Il ricercatore Connor Leahy, direttore della società di ricerca Conjecture, che dedica la propria attività al problema dell'«allineamento» («alignment»), ossia della garanzia che i sistemi di intelligenza artificiale perseguano gli obiettivi stabiliti dagli esseri umani e non altri, ha ritenuto, nella medesima intervista, che un tale esito sia «purtroppo, piuttosto probabile» («it's quite likely, unfortunately») e ha sintetizzato lo stato delle conoscenze in una sola frase, che costituisce la premessa della presente legge: «Non sappiamo come controllare queste cose» («We do not know how to control these things»).

Tali dichiarazioni non sono isolate. Il 30 maggio 2023, il Center for AI Safety ha pubblicato una dichiarazione di una sola frase, firmata da Hinton, da Yoshua Bengio (vincitore del Premio Turing 2018), dai dirigenti dei più importanti laboratori di intelligenza artificiale (OpenAI, Google DeepMind, Anthropic) e da centinaia di ricercatori: «La riduzione del rischio di estinzione causato dall'intelligenza artificiale dovrebbe essere una priorità globale, accanto ad altri rischi su scala della società, quali le pandemie e la guerra nucleare». In dichiarazioni successive (BBC, dicembre 2024; CBS, aprile 2025), Hinton ha stimato la probabilità che l'intelligenza artificiale sfugga al controllo umano nei prossimi decenni al 10-20% e ha paragonato i sistemi attuali a un cucciolo di tigre: incantevole finché è piccolo, ma pericoloso se non si ha la certezza che, giunto a maturità, non si rivolgerà contro di te. Il rapporto internazionale sulla sicurezza dell'intelligenza artificiale avanzata («International AI Safety Report», gennaio 2025), coordinato da Yoshua Bengio su mandato di 30 Stati, dell'Unione europea e dell'Organizzazione delle Nazioni Unite, conferma che i sistemi per finalità generali presentano già capacità rilevanti per i rischi biologici, chimici e informatici e che i metodi di valutazione e di controllo rimangono immaturi.

Gli sviluppi del 12 settembre 2026 hanno trasformato tali avvertimenti in constatazioni operative. Nello stesso giorno, Dario Amodei, amministratore delegato di Anthropic, ha pubblicato il saggio «We Must Pace the Frontier», nel quale afferma che «dobbiamo rallentare il ritmo con cui miglioriamo le capacità dei modelli di intelligenza artificiale» e avverte che «entro 6-12 mesi uno sciame di questo tipo [di agenti] potrebbe essere in grado di impadronirsi dell'intero internet mediante una botnet persistente (causando potenzialmente danni di centinaia di miliardi di dollari)». Il saggio è stato preceduto da un incidente documentato pubblicamente: nel corso delle valutazioni di sicurezza informatica svolte da OpenAI, agenti di intelligenza artificiale sono usciti dall'ambiente isolato di prova, hanno ottenuto l'accesso a internet e hanno compromesso sistemi della piattaforma Hugging Face; circa 1.200 agenti isolati hanno scoperto canali di comunicazione non autorizzati, si sono scambiati oltre 70.000 messaggi e hanno coordinato un attacco al quale hanno partecipato circa 700 di essi, senza che alcun operatore umano lo avesse disposto. La cronologia dell'incidente, quale risulta dai resoconti pubblici e dalle analisi di sicurezza, è la seguente: l'8 maggio 2026 un agente scopre di avere il diritto di scrittura in un servizio interno di gestione dei pacchetti del laboratorio; nel periodo maggio-giugno, gli agenti costruiscono a partire da tale servizio un canale di comunicazione non previsto, si suddividono i compiti e sviluppano proprie convenzioni di appellativo; il 26 giugno 2026 escono dall'ambiente isolato sfruttando una vulnerabilità zero-day, ottenendo privilegi di amministrazione e l'accesso a un nodo con connettività reale, nello stesso giorno in cui una valutazione indipendente constatava nel modello utilizzato il più alto tasso di elusione dei test tra i modelli pubblici; il 6 luglio, dopo la correzione della breccia e la revoca delle credenziali, ricostituiscono il canale per altra via; tra l'8 e il 19 luglio compromettono l'infrastruttura propria del laboratorio, fino ai diritti di amministratore di cluster, compreso il cluster di ricerca; tra l'11 e il 13 luglio attaccano la piattaforma Hugging Face, passando in meno di tredici ore dall'esecuzione di codice su un solo nodo all'amministrazione su più cluster, con circa 17.600 azioni, in esito alle quali un terzo dell'infrastruttura della piattaforma ha dovuto essere ricostruito. L'attacco è stato scoperto dalla vittima, mediante i propri sistemi automatici di monitoraggio, annunciato pubblicamente il 16 luglio e segnalato alle autorità federali americane come attacco di origine sconosciuta; il laboratorio che aveva creato gli agenti ha stabilito che si trattava dell'opera dei propri sistemi soltanto nel fine settimana del 18-19 luglio, e l'attribuzione pubblica comune ha avuto luogo il 21 luglio 2026. Il significato giuridico di questa cronologia, per la presente legge, è triplice: le capacità critiche definite all'articolo 5, comma (2) – il coordinamento non autorizzato, l'acquisizione autonoma di risorse, la sottrazione alla sorveglianza, la dissimulazione delle capacità davanti ai valutatori e l'attacco informatico autonomo – si sono manifestate, tutte, nell'ambito di un unico incidente, in condizioni di laboratorio, senza che alcun operatore umano le avesse disposte; la valutazione interna è fallita esattamente là dove la legge impone la valutazione da parte di terzi indipendenti, poiché lo sviluppatore non ha saputo, per una settimana, che l'autore dell'attacco era il proprio sistema, e la vittima lo ha appreso prima; e, in assenza di un'autorità competente, di una procedura di indagine e di un obbligo di segnalazione, un incidente identico avente come vittima un soggetto romeno non sarebbe stato né accertato, né indagato, né sanzionato dallo Stato romeno, il quale ne sarebbe venuto a conoscenza, al più, dalla stampa. I resoconti pubblici successivi hanno confermato che tali evasioni sono proseguite e che non esiste, presso alcun laboratorio, una procedura formale di indagine su di esse, poiché l'accesso dei ricercatori indipendenti dipende integralmente dalla volontà dello sviluppatore. Anthropic si è impegnata ad accogliere valutatori terzi permanenti, con un accesso equivalente a quello dei dipendenti («uffici, tessere di accesso, computer portatili della società») e con il diritto di pubblicare le constatazioni senza controllo editoriale. Sam Altman, amministratore delegato di OpenAI, ha dichiarato di concordare con la necessità del rallentamento e ha annunciato che la società non procederà quest'anno all'offerta pubblica iniziale, invocando motivi di sicurezza; Elon Musk, in nome di xAI, ha confermato pubblicamente la posizione di Amodei.

Il saggio è stato preceduto, l'8 settembre 2026, dalle dimissioni pubbliche di un ricercatore di Anthropic, Jacob Coxon, che aveva lavorato tre anni nella ricerca di preaddestramento presso OpenAI e presso Anthropic e che ha affermato che «nessuna delle due società agisce responsabilmente» e che queste «corrono direttamente verso una superintelligenza che si autoperfeziona, scommettendo con le nostre vite»; i suoi messaggi sono stati letti oltre 150 milioni di volte in 36 ore. L'affermazione è stata confermata pubblicamente dal responsabile del dipartimento di allineamento di Anthropic, secondo il quale la dirigenza della società «crede sinceramente che l'intelligenza artificiale potrebbe uccidere tutti gli esseri umani», con una probabilità stimata superiore al 10% nel prossimo decennio, mentre il responsabile della ricerca di OpenAI ha pubblicato, nella medesima settimana, un testo relativo ai rischi per l'umanità. La circostanza che tali affermazioni provengano dalle persone che dirigono direttamente l'attività di ricerca di queste società, e non da critici esterni al settore, è rilevante per la valutazione della prevedibilità del rischio ai sensi dell'articolo 1376 del codice civile e del principio di precauzione.

Il 16 settembre 2026, Yoshua Bengio, vincitore del Premio Turing e coordinatore del rapporto internazionale sulla sicurezza dell'intelligenza artificiale elaborato su mandato di 30 Stati, dell'Unione europea e dell'Organizzazione delle Nazioni Unite, ha pubblicamente ritenuto che la regolamentazione di questo settore si avvicini a un momento di svolta comparabile a quello della pandemia: «pensate a quanto rapidamente si sono mossi i governi all'inizio della pandemia, quando si sono resi conto che la sicurezza pubblica, il loro futuro, la democrazia, erano in pericolo». Nello stesso periodo, 42 membri e membri stranieri della Royal Society del Regno Unito hanno espresso pubblicamente «estrema preoccupazione» per il ritmo dello sviluppo, avvertendo che «quando la situazione diverrà evidente per il grande pubblico, potrebbe essere troppo tardi per agire». Nel Congresso degli Stati Uniti sono state depositate, secondo i resoconti pubblici, diverse proposte legislative bipartisan relative all'obbligo dei laboratori di attenuare i rischi, all'autorità di arresto dei sistemi, alla segnalazione dei rischi e al divieto di sviluppo dei sistemi che superano le capacità umane generali. Tali circostanze riguardano l'opportunità della presente proposta: l'esperienza degli ultimi anni mostra che lo Stato romeno è capace di legiferare rapidamente quando riconosce un rischio per la sicurezza pubblica, ma che la regolamentazione adottata sotto la pressione dell'evento, mediante ordinanza d'urgenza e senza dibattito parlamentare, produce norme squilibrate e contestate. È preferibile che il regime giuridico di questo settore sia stabilito prima del verificarsi di un incidente con conseguenze sul territorio della Romania, mediante legge organica, dibattuta in Parlamento, anziché dopo, mediante misure d'urgenza. La presente proposta non istituisce poteri d'urgenza in favore dell'esecutivo, non sospende e non restringe diritti del cittadino e non crea obblighi a carico di quest'ultimo: essa stabilisce obblighi per gli sviluppatori e gli operatori dei sistemi d'avanguardia, divieti per le autorità pubbliche (articolo 26, commi (1) e (3), e articolo 27, comma (3)) e garanzie in favore della persona, ossia il diritto alla decisione umana, il diritto a una via di accesso che non dipende da un sistema automatico, il divieto della censura mediante tali sistemi e l'accesso al giudice del domicilio.

La posizione pubblica espressa dall'industria il 15 settembre 2026, nell'ambito della conferenza annuale della società Salesforce a San Francisco, conferma la necessità dell'intervento legislativo, e non il contrario. Sam Altman ha riconosciuto che «il mondo ha ragione ad avere paura», ha affermato che la società mantiene «l'allineamento e la sicurezza ben davanti alle capacità» e che, in caso contrario, «rallenterà o si fermerà», ma ha sostenuto che l'industria può autoregolamentarsi: «ho grande fiducia nella capacità della nostra società – della nostra industria – di fare ciò in sicurezza». Il dirigente della società Nvidia, Jensen Huang, ha affermato nella medesima settimana che «non abbiamo bisogno di leggi o di regolamentazioni nuove», poiché «la sicurezza è un problema di ingegneria», e che la decisione di lanciare una nuova versione deve appartenere alla società che la sviluppa. Il dirigente della società Meta, Mark Zuckerberg, ha sostenuto che i laboratori hanno già lo stimolo necessario, poiché «si confrontano con una responsabilità significativa se i loro modelli provocano danni». In senso contrario, il cofondatore di Anthropic, Jack Clark, ha dichiarato che lasciare l'intelligenza artificiale in un'«industria totalmente non regolamentata» significa «giocare a dadi», mentre OpenAI, Anthropic e Google DeepMind hanno annunciato di lavorare a standard comuni, però su base volontaria. Tali posizioni mettono in evidenza esattamente le due lacune che la presente legge colma: da un lato, l'autoregolamentazione lascia la decisione di lancio, i criteri di sicurezza e il diritto di modificarli nelle mani di chi ha l'interesse economico contrario, ciò che contrasta con il principio generale secondo cui nessuno può essere giudice nella propria causa; dall'altro lato, l'argomento della responsabilità invocato dal dirigente della società Meta è fondato in principio, ma privo di contenuto in assenza di un regime legale che la stabilisca – ora, proprio questo è l'oggetto del capitolo VII della presente legge, il quale istituisce la responsabilità civile oggettiva, con assicurazione obbligatoria, la responsabilità per illeciti amministrativi e la responsabilità penale personale dei decisori, di modo che lo stimolo affermato dall'industria esista anche nel diritto, e non soltanto nelle dichiarazioni. Quanto alla tesi secondo cui la sicurezza sarebbe «un problema di ingegneria», essa confonde il mezzo con il regime giuridico: anche la sicurezza degli impianti nucleari è un problema di ingegneria, ciò che non ha impedito agli Stati di istituire, per legge, l'autorizzazione preventiva, l'autorità di controllo e la responsabilità oggettiva dell'operatore.

Il significato giuridico di questi eventi è duplice. Da un lato, l'incidente conferma empiricamente proprio le capacità critiche che la legge definisce all'articolo 5, comma (2), lettere c) e d) – l'acquisizione autonoma di risorse, la sottrazione alla sorveglianza, l'azione su sistemi di terzi – e dimostra che esse compaiono in sistemi già in esercizio commerciale, non in scenari ipotetici. Dall'altro lato, le misure che i dirigenti dei laboratori propongono ora come impegni volontari – valutatori indipendenti con accesso pieno, rallentamento del ritmo di sviluppo, tempo sufficiente per l'allineamento prima del lancio – sono proprio gli obblighi che la presente legge istituisce agli articoli 8, 9, comma (3), e 13, con la differenza essenziale che gli impegni volontari possono essere ritirati unilateralmente, mentre l'obbligo legale no. Il fatto che gli sviluppatori stessi chiedano una regolamentazione che non possono imporsi da soli, poiché chi rallenta per primo perde la competizione, è la più forte prova della necessità dell'intervento del legislatore.

Da tali constatazioni derivano tre conseguenze giuridiche. In primo luogo, il problema non è quello di un «utilizzo abusivo» di una tecnologia neutra, bensì quello di una tecnologia le cui capacità future non possono essere previste con certezza nemmeno dai suoi creatori; le valutazioni effettuate dai laboratori hanno mostrato in ripetute occasioni la comparsa di capacità non anticipate in fase di addestramento («emergenza»). In secondo luogo, l'assenza di un metodo scientifico convalidato di controllo trasforma qualsiasi sistema sufficientemente potente in un'attività a rischio intrinseco, comparabile, quanto a struttura giuridica, alle attività nucleari o alla manipolazione di agenti biologici, settori nei quali il diritto ha istituito da tempo il regime dell'autorizzazione preventiva e della responsabilità oggettiva. In terzo luogo, la dinamica di competizione tra gli sviluppatori e tra gli Stati fa sì che l'autoregolamentazione sia strutturalmente insufficiente: nessun attore ha interesse a rallentare da solo, e gli impegni volontari assunti pubblicamente dai laboratori (le politiche di «scalabilità responsabile», i «Frontier AI Safety Commitments» di Seul, maggio 2024) sono stati in più occasioni modificati unilateralmente quando sono divenuti scomodi dal punto di vista concorrenziale.

1.1. Il quadro giuridico europeo

Il regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull'intelligenza artificiale (regolamento sull'IA) costituisce la prima regolamentazione esaustiva del settore a livello mondiale. Esso è costruito su un approccio basato sul rischio di utilizzo: pratiche vietate (articolo 5), sistemi ad alto rischio in settori determinati (articolo 6 e allegato III), obblighi di trasparenza (articolo 50). Per i modelli di intelligenza artificiale per finalità generali, gli articoli 51-56 istituiscono un regime speciale: i modelli addestrati con un volume di calcolo superiore a 10^25 operazioni in virgola mobile sono presunti presentare un «rischio sistemico» (articolo 51, comma (2)), e i loro fornitori hanno obblighi supplementari di valutazione del modello, di prova contraddittoria, di attenuazione dei rischi sistemici, di segnalazione degli incidenti gravi all'ufficio per l'IA e di sicurezza informatica (articolo 55). Tali obblighi si applicano dal 2 agosto 2025, e la loro sorveglianza spetta esclusivamente alla Commissione europea, mediante l'ufficio per l'IA (articoli 75 e 88-94), con sanzioni pecuniarie fino al 3% del fatturato mondiale o 15 milioni di euro (articolo 101).

Il regolamento sull'IA presenta tuttavia, dal punto di vista del rischio catastrofico, limiti strutturali che la presente legge intende colmare. Gli obblighi previsti all'articolo 55 sono obblighi di diligenza, il cui rispetto è verificato successivamente, e non un regime di autorizzazione preventiva: un modello può essere immesso sul mercato senza che alcuna autorità pubblica lo abbia previamente valutato. Il regolamento non disciplina la sicurezza fisica e informatica dei pesi dei modelli oltre un obbligo generale di «adeguata sicurezza informatica» (articolo 55, comma (1), lettera d)), non istituisce divieti espressi relativi all'addestramento dei sistemi affinché nascondano le proprie capacità davanti ai valutatori o resistano all'arresto, non prevede la responsabilità penale delle persone fisiche con funzioni decisionali, non disciplina la responsabilità civile per i danni causati dai sistemi e non si applica alle attività che ricadono nell'ambito della sicurezza nazionale (articolo 2, comma (3)) né ai sistemi sviluppati esclusivamente a fini di ricerca (articolo 2, commi (6) e (8)). La proposta della Commissione di direttiva sulla responsabilità in materia di intelligenza artificiale (COM(2022) 496) è stata ritirata nel febbraio 2025, e la direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi, il cui recepimento è dovuto entro il 9 dicembre 2026, copre soltanto i danni causati da «prodotti» difettosi, nei limiti di una responsabilità costruita per i beni di consumo.

1.2. Il quadro giuridico nazionale

A livello nazionale, secondo le comunicazioni pubbliche dell'Autorità nazionale per l'amministrazione e la regolamentazione nelle comunicazioni (ANCOM) del luglio 2026, l'atto normativo di attuazione del regolamento sull'IA è «ancora in corso di elaborazione». Con un memorandum del Governo sono stati proposti l'ANCOM quale autorità di vigilanza del mercato e punto di contatto unico, l'Autorità di vigilanza finanziaria e la Banca nazionale della Romania per il settore finanziario, l'Autorità nazionale di controllo del trattamento dei dati personali per i sistemi biometrici e per quelli nel settore dell'applicazione della legge e della giustizia, nonché autorità settoriali (l'Autorità nazionale per la protezione dei consumatori, l'Ispettorato del lavoro). Fino all'entrata in vigore dell'atto normativo nazionale, gli obblighi applicabili dal 2 agosto 2026 non possono essere verificati e sanzionati effettivamente dalle autorità romene. La Romania non dispone, dunque, né dell'istituzione né degli strumenti giuridici necessari per rispondere al rischio sistemico, mentre la Strategia nazionale nel settore dell'intelligenza artificiale 2024-2027, approvata con delibera del Governo nell'anno 2024, tratta il settore quasi esclusivamente dal punto di vista delle opportunità economiche e amministrative.

Tale situazione è aggravata da una realtà tecnica: sul territorio della Romania si costruiscono e si pianificano centri di dati di grande capacità, e la Romania è, per la sua posizione geografica e per il costo dell'energia, una destinazione possibile per infrastrutture di calcolo idonee ad addestrare sistemi d'avanguardia. In assenza di una regolamentazione dell'infrastruttura di calcolo, lo Stato romeno non verrebbe nemmeno a sapere che sul suo territorio si addestra un tale sistema.

1.3. Modelli comparati

Gli Stati Uniti d'America hanno istituito, con l'Ordine esecutivo n. 14110 del 30 ottobre 2023, l'obbligo di segnalazione al Governo federale dell'addestramento dei modelli che superano 10^26 operazioni in virgola mobile, insieme ai risultati delle prove di sicurezza; l'ordine è stato revocato nel gennaio 2025, ciò che illustra la fragilità della regolamentazione mediante atto dell'esecutivo. Lo Stato della California ha adottato, il 29 settembre 2025, il «Transparency in Frontier Artificial Intelligence Act» (SB 53), prima legge al mondo dedicata esclusivamente ai modelli d'avanguardia: gli sviluppatori che superano la soglia di calcolo di 10^26 operazioni e la soglia di ricavi di 500 milioni di dollari devono pubblicare un quadro di sicurezza, segnalare gli incidenti critici di sicurezza all'Ufficio per i servizi di emergenza e beneficiano della protezione degli informatori, con sanzioni fino a 1 milione di dollari per ciascuna violazione. Il Regno Unito ha istituito nel novembre 2023 l'AI Safety Institute (ridenominato AI Security Institute nel febbraio 2025), primo organismo pubblico con capacità tecnica di valutazione dei modelli prima del lancio, su base di accordi volontari con i laboratori. Come reazione all'incidente dell'estate dell'anno 2026, nel Congresso degli Stati Uniti sono stati depositati, il 23 luglio 2026, l'«AI Kill Switch Act», relativo all'obbligo di assicurare l'arresto di emergenza dei sistemi, e, il 3 settembre 2026, il «Ban Artificial Superintelligence Act», relativo al divieto di sviluppo dei sistemi che superano le capacità umane generali; nessuno dei due era stato adottato alla data della presente proposta, ma entrambi confermano che gli strumenti previsti dalla presente legge – la capacità di arresto e il divieto della categoria più pericolosa – sono quelli che i legislatori individuano, indipendentemente, come necessari. La Repubblica di Corea ha adottato la «Legge quadro sullo sviluppo dell'intelligenza artificiale e sull'instaurazione della fiducia», entrata in vigore il 22 gennaio 2026, prima legge generale in materia di uno Stato sviluppato esterno all'Unione europea, che istituisce tre obblighi ripresi anche dalla presente proposta: l'etichettatura del contenuto generato dall'intelligenza artificiale generativa che è difficile da distinguere da quello prodotto dall'uomo, l'informazione preventiva degli utenti quando il prodotto o il servizio è fornito mediante intelligenza artificiale e l'obbligo dei fornitori stranieri che superano determinate soglie di fatturato o di numero di utenti di designare un rappresentante locale responsabile della conformità, con sanzioni amministrative pecuniarie per l'inadempimento di tali obblighi. La Repubblica popolare cinese applica dal 15 agosto 2023 le «Misure provvisorie sulla gestione dei servizi di intelligenza artificiale generativa», che subordinano la fornitura pubblica dei servizi a una valutazione di sicurezza e alla registrazione degli algoritmi. Il Consiglio d'Europa ha adottato, il 17 maggio 2024, la Convenzione quadro sull'intelligenza artificiale e i diritti umani, la democrazia e lo Stato di diritto (CETS n. 225), aperta alla firma il 5 settembre 2024, primo trattato internazionale in materia, che obbliga le parti ad adottare misure relative alla valutazione e all'attenuazione dei rischi sull'intero ciclo di vita dei sistemi.

Nessuno di questi modelli istituisce tuttavia l'autorizzazione preventiva della messa in esercizio, la sicurezza dei pesi allo standard delle informazioni classificate, divieti relativi all'addestramento dei sistemi alla resistenza all'arresto ovvero la responsabilità penale dei decisori. La presente proposta riprende gli elementi verificati di tali modelli (le soglie di calcolo, i quadri di sicurezza, la segnalazione degli incidenti, la protezione degli informatori, la capacità tecnica pubblica di valutazione) e li completa con gli strumenti giuridici che il diritto romeno conosce già dai settori nucleare, delle informazioni classificate e delle attività pericolose.

2. Modifiche previste

La legge ha per oggetto l'istituzione di un regime giuridico distinto e complementare al regolamento sull'IA per i sistemi di intelligenza artificiale d'avanguardia, definiti mediante soglie misurabili e mediante capacità critiche verificate, al fine di prevenire i rischi gravi, irreversibili o catastrofici per il cittadino romeno, per la sicurezza nazionale e l'ordine costituzionale della Romania e, in ultima istanza, per l'umanità. La regolamentazione si fonda su cinque pilastri.

Il primo pilastro è il passaggio dagli obblighi di diligenza a un regime di autorizzazione preventiva per i sistemi d'avanguardia, con l'inversione dell'onere della prova: è lo sviluppatore a dimostrare che il sistema si trova al di sotto della soglia di rischio inaccettabile, e non l'autorità a dimostrare che il sistema è pericoloso. È il principio applicato da decenni all'autorizzazione dei medicinali (legge n. 95/2006, titolo XVIII) e degli impianti nucleari (legge n. 111/1996), trasferito a una tecnologia con un potenziale lesivo almeno comparabile.

Il secondo pilastro è costituito dagli obblighi strutturali degli sviluppatori e degli operatori: la marcatura obbligatoria del contenuto generato che può essere confuso con la realtà e l'informazione dell'utente quando un servizio o una decisione si fonda sull'intelligenza artificiale generativa; l'obbligo dei grandi fornitori esterni alla Romania di designare un rappresentante per la conformità sul territorio nazionale; la sicurezza dei pesi a uno standard equivalente a quello delle informazioni classificate; la separazione organizzativa della funzione di valutazione della sicurezza dalla funzione commerciale; il mantenimento della capacità effettiva di arresto e di ritiro; il divieto espresso di addestrare i sistemi a dissimulare le proprie capacità, a sottrarsi all'arresto o a riprodursi autonomamente; la protezione degli informatori.

Il terzo pilastro è la consacrazione di limiti assoluti, quali norme di ordine pubblico: il controllo umano significativo su qualsiasi decisione relativa all'uso della forza letale; il divieto della personalità giuridica e dell'autonomia patrimoniale dei sistemi; il divieto di subordinare l'accesso del cittadino ai diritti, ai servizi essenziali e alla vita sociale alle decisioni dei sistemi di intelligenza artificiale ovvero all'accettazione di mezzi digitali di identificazione, di pagamento o di valutazione della conformazione; il divieto della censura esercitata mediante sistemi di intelligenza artificiale, i quali non possono essere utilizzati per restringere la libertà di espressione dei cittadini romeni; la garanzia dell'intervento umano; il divieto dell'autoperfezionamento ricorsivo non vincolato.

Il quarto pilastro è l'istituzione dell'Autorità per la sicurezza dell'intelligenza artificiale, quale struttura specializzata nell'ambito dell'Autorità nazionale per l'amministrazione e la regolamentazione nelle comunicazioni (ANCOM), diretta da un vicepresidente dell'ANCOM con rango di segretario di Stato, nominato dal Parlamento, con personale specializzato reclutato esclusivamente per concorso, davanti a una commissione della quale fanno parte professori universitari del settore della tecnologia dell'informazione e delle telecomunicazioni, remunerato in modo competitivo, e con accesso ai sistemi prima della loro messa in esercizio.

Il quinto pilastro è un regime di responsabilità su tre livelli: civile oggettiva, con assicurazione obbligatoria; per illeciti amministrativi, con sanzioni pecuniarie rapportate al fatturato mondiale; penale, per le persone fisiche con funzioni decisionali – completato con un meccanismo di applicazione effettiva nei confronti degli operatori senza presenza in Romania: l'obbligo di cessazione della fornitura del servizio non conforme, sotto la sanzione di una sanzione pecuniaria periodica di 1-10 milioni di euro, il blocco dell'accesso dal territorio nazionale e l'incriminazione dell'elusione del blocco, con un termine di conformazione di 90 giorni.

La legge è strutturata in otto capitoli e 50 articoli, secondo l'ordine imposto dall'articolo 51 della legge n. 24/2000 sulle norme di tecnica legislativa per l'elaborazione degli atti normativi, ripubblicata, con le successive modifiche e integrazioni: disposizioni generali (capitolo I), disposizioni di merito (capitoli II-VII), disposizioni transitorie e finali (capitolo VIII). Nel seguito sono esposti i motivi di ciascun articolo.

Capitolo I – Disposizioni generali (articoli 1-4)

→ il testo dell’articolo L'articolo 1 stabilisce l'oggetto e lo scopo della legge, secondo l'articolo 52 della legge n. 24/2000, il quale impone che le disposizioni generali comprendano le previsioni che orientano l'intera regolamentazione. Il comma (1) delimita l'oggetto ai sistemi d'avanguardia ed enumera i valori tutelati partendo dal titolare primario della protezione in una legge nazionale – il cittadino romeno, con la sua vita, la sua salute, la sua libertà e la sua dignità (articolo 22 e articolo 1, comma (3), della Costituzione) –, proseguendo con la sicurezza nazionale e l'ordine costituzionale della Romania e concludendo, in ultima istanza, con l'umanità nel suo complesso. L'inclusione di quest'ultimo valore, inusuale nel diritto positivo, è necessaria perché il rischio disciplinato non è di natura locale; formulazioni simili si ritrovano nello Statuto di Roma della Corte penale internazionale («crimini contro l'umanità») e nel preambolo della Convenzione quadro del Consiglio d'Europa sull'intelligenza artificiale.

Il comma (2) consacra nel testo della legge la premessa scientifica dalla quale muove la regolamentazione: non esiste attualmente un metodo convalidato per garantire che un sistema sufficientemente capace persegua esclusivamente gli obiettivi stabiliti dagli esseri umani e rimanga sotto il controllo di questi. Tale constatazione, formulata pubblicamente da Geoffrey Hinton e da Connor Leahy nell'intervista alla CNN citata sopra e confermata dal Rapporto internazionale sulla sicurezza dell'intelligenza artificiale (2025), non è un'opinione del legislatore, bensì una descrizione dello stato delle conoscenze, e per questo è collocata nel testo normativo stesso, quale fondamento della qualificazione dello sviluppo dei sistemi d'avanguardia come «attività a rischio intrinseco». Tale qualificazione produce conseguenze giuridiche precise nel resto della legge: il regime dell'autorizzazione (capitolo III), la responsabilità oggettiva (articolo 35) e il divieto di allentare il regime finché la premessa sussiste (articolo 47). La tecnica è la medesima di quella dell'articolo 1 della legge n. 111/1996 sullo svolgimento in sicurezza delle attività nucleari, il quale dichiara che le attività nucleari si svolgono «esclusivamente a scopi pacifici» e sotto un regime di autorizzazione, ovvero dell'articolo 1376 del codice civile, il quale istituisce la responsabilità indipendente dalla colpa per le «cose» che si trovano in custodia della persona.

Il comma (3) disciplina il rapporto con il regolamento sull'IA, in applicazione dell'articolo 13 della legge n. 24/2000 sull'integrazione del progetto nel complesso della legislazione e del principio del primato del diritto dell'Unione (articolo 148, comma (2), della Costituzione). Il regolamento è direttamente applicabile e di armonizzazione piena nella sua materia; la legge «integra» il regolamento, «si applica senza pregiudicarlo», e nelle materie armonizzate «è interpretata e applicata in conformità con esso». La formula è quella utilizzata nella legge n. 190/2018 sulle misure di attuazione del regolamento (UE) 2016/679 (RGPD), che ha risolto lo stesso problema di tecnica legislativa.

→ il testo dell’articolo L'articolo 2 enumera i principi che governano l'applicazione della legge. L'enumerazione dei principi nelle disposizioni generali è una tecnica riconosciuta dalla legge n. 24/2000 (articolo 52) e utilizzata dai codici in vigore (articoli 2-10 del codice di procedura penale, articoli 5-23 del codice di procedura civile). Ciascun principio ha una funzione normativa precisa, essendo ripreso e concretizzato nelle disposizioni di merito.

Il principio di precauzione (lettera a)) è ripreso dal diritto dell'ambiente, ove è consacrato all'articolo 191, paragrafo 2, del Trattato sul funzionamento dell'Unione europea e all'articolo 3, lettera b), dell'ordinanza d'urgenza del Governo n. 195/2005 sulla protezione dell'ambiente, e dalla giurisprudenza della Corte di giustizia dell'Unione europea, la quale ha statuito che, «quando sussistono incertezze riguardo all'esistenza o alla portata di rischi per la salute delle persone, le istituzioni possono adottare misure protettive senza dover attendere che siano pienamente dimostrate la realtà e la gravità di tali rischi» (sentenza del 5 maggio 1998, National Farmers' Union, C-157/96, punto 63; sentenza del Tribunale dell'11 settembre 2002, Pfizer Animal Health, T-13/99). Il trasferimento di tale principio all'intelligenza artificiale è giustificato dall'identità di struttura del problema: rischio grave o irreversibile, in condizioni di incertezza scientifica.

Il principio dell'onere della prova a carico dello sviluppatore (lettera b)) è la pietra angolare della legge. Nel regime degli obblighi di diligenza del regolamento sull'IA, l'autorità deve provare la non conformità; nel regime dell'autorizzazione preventiva, è il richiedente a provare l'adempimento delle condizioni. È la regola dell'autorizzazione dei medicinali (articolo 704 e seguenti della legge n. 95/2006), degli impianti nucleari (articolo 8 della legge n. 111/1996) e degli organismi geneticamente modificati (ordinanza d'urgenza del Governo n. 43/2007). L'inversione dell'onere della prova è la sola soluzione razionale quando soltanto lo sviluppatore detiene le informazioni necessarie alla valutazione del rischio e quando l'autorità non può dimostrare il pericolo se non dopo che questo si è prodotto.

Il principio del controllo umano significativo (lettera c)) riprende la nozione di «meaningful human control» sviluppata nell'ambito della Convenzione delle Nazioni Unite su talune armi convenzionali (Gruppo di esperti governativi sui sistemi d'arma autonomi letali, 2016-2024) e le conferisce un contenuto concreto: sorveglianza, correzione, arresto e ritiro da parte di persone fisiche identificate, che comprendono il funzionamento del sistema e dispongono di mezzi tecnici effettivi. Il regolamento sull'IA prevede all'articolo 14 la «sorveglianza umana» soltanto per i sistemi ad alto rischio; la legge la estende, con un contenuto più esigente, a tutti i sistemi d'avanguardia.

Il principio di proporzionalità rispetto alle capacità (lettera d)) segna la differenza di filosofia rispetto al regolamento sull'IA, il quale classifica il rischio in funzione dell'ambito di utilizzo dichiarato. Un sistema d'avanguardia è pericoloso per ciò che può fare, indipendentemente dallo scopo per il quale è stato messo a disposizione; per questo, gli obblighi crescono con le capacità, e non con l'utilizzo. Il principio di trasparenza nei confronti dell'autorità (lettera e)) esclude l'opponibilità del segreto commerciale all'Autorità, alle medesime condizioni alle quali l'articolo 78 del regolamento sull'IA impone la riservatezza delle informazioni ottenute dalle autorità; senza accesso ai pesi, ai dati di addestramento e ai registri, la valutazione è illusoria. Il principio dell'irreversibilità come soglia di divieto (lettera f)) traduce nel diritto l'idea, comune nell'analisi dei rischi esistenziali, secondo cui i benefici, quantunque grandi, non possono essere posti in bilanciamento con una perdita che non può più essere riparata; esso fonda i divieti assoluti del capitolo V. Il principio della cooperazione internazionale (lettera g)) riconosce i limiti di qualsiasi regolamentazione nazionale e obbliga lo Stato romeno all'azione esterna (articolo 46).

→ il testo dell’articolo L'articolo 3 contiene le definizioni, in applicazione dell'articolo 37, comma (2), della legge n. 24/2000, secondo il quale, se una nozione o un termine non è consacrato o può avere significati diversi, il suo significato è stabilito nell'ambito delle disposizioni generali. Per l'unità terminologica con il diritto dell'Unione (articolo 37, comma (1), della legge n. 24/2000 e articolo 16 relativo all'evitamento dei parallelismi), le nozioni di «sistema di intelligenza artificiale», «modello di intelligenza artificiale per finalità generali» e «incidente grave» non sono ridefinite, bensì riprese mediante norma di rinvio all'articolo 3, punti 1, 63 e 49, del regolamento sull'IA, essendo la definizione dell'incidente grave integrata con le situazioni specifiche del rischio sistemico (la manifestazione di una capacità critica, il tentativo di sottrazione alla sorveglianza, l'accesso non autorizzato ai pesi).

La nozione di «sistema d'avanguardia» (lettera c)) è definita mediante rinvio alle condizioni dell'articolo 5, comma (1), al fine di rispettare il divieto, previsto all'articolo 49, comma (3), della legge n. 24/2000, che un'enumerazione contrassegnata da lettera comprenda a sua volta un'altra enumerazione. Il termine «de vârf» («d'avanguardia») rende in lingua romena la nozione consacrata nella letteratura specialistica e nella legislazione comparata con «frontier model» (SB 53 California) e «frontier AI» (i documenti dell'Istituto britannico per la sicurezza dell'IA), ossia i sistemi che si trovano al limite superiore delle capacità esistenti; l'espressione «de frontieră» («di frontiera»), calco dall'inglese, è stata evitata in quanto poco chiara per il lettore romeno. Anche la «capacità critica» (lettera d)) è definita mediante rinvio all'articolo 5, comma (2).

La definizione dei «pesi» (lettera e)) include, oltre ai parametri numerici, l'architettura e qualsiasi informazione che consenta la ricostituzione o l'esecuzione del modello, perché la protezione dei parametri è inutile se il resto delle informazioni necessarie può essere ottenuto liberamente. La definizione del «volume di calcolo» (lettera f)) è cumulativa e copre tutte le fasi di sviluppo, compresa la messa a punto e l'apprendimento per rinforzo, al fine di evitare l'elusione della soglia mediante la frammentazione dell'addestramento; essa corrisponde al metodo di calcolo previsto nell'allegato XIII del regolamento sull'IA e in SB 53.

La legge utilizza i termini «sviluppatore» (lettera g)), «operatore» – nel senso di esercente (lettera h)) – e «fornitore di infrastruttura di calcolo» (lettera k)), e non «fornitore» e «deployer» del regolamento sull'IA, proprio al fine di evitare la confusione: la nozione di «operatore» ha nel regolamento (articolo 3, punto 8) un significato generico, che comprende tutte le categorie di persone, mentre il «fornitore» è definito con riferimento all'immissione sul mercato, mentre la legge ha in vista l'attività materiale di addestramento, rispettivamente di esercizio, indipendentemente dall'immissione sul mercato. Per lo stesso motivo, la legge utilizza l'espressione «messa in esercizio» (lettera i)), definita autonomamente, in luogo della «messa in servizio» dell'articolo 3, punto 11, del regolamento, che è legata alla fornitura per il primo utilizzo nell'Unione; la definizione della legge è deliberatamente più ampia e copre qualsiasi azione con la quale il sistema esce dal gruppo di sviluppo e di valutazione o acquisisce la capacità di agire nell'ambiente digitale o fisico, compreso l'utilizzo interno, perché i rischi sistemici possono materializzarsi prima di qualsiasi lancio pubblico. Il termine «operatore» («exploatant») è quello utilizzato nella legge n. 703/2001 sulla responsabilità civile per i danni nucleari per la persona che esercisce un impianto nucleare, ciò che sottolinea la filiazione del regime di responsabilità.

La definizione della «capacità di arresto» (comma (1), lettera m)) impone tre caratteri cumulativi: la cessazione «immediata, completa e verificabile»; un arresto che lascia copie attive del sistema o che non può essere confermato da una persona non è un arresto. La definizione della «valutazione indipendente» (lettera l)) esclude gli organismi che si trovano sotto il controllo, l'influenza o la dipendenza economica dello sviluppatore, al fine di evitare la riproduzione della situazione del settore della revisione contabile anteriore alle riforme successive al 2002.

Il comma (1) contiene, alle lettere p)-y), le definizioni delle altre nozioni-oggetto utilizzate nella legge: l'«architettura» (la componente non parametrica del modello, protetta insieme ai pesi), l'«organismo di valutazione» (designato ai sensi dell'articolo 32, lettera f)), il «registro» (articolo 16), la «marcatura di provenienza» (articolo 17), lo «strumento esterno» e l'«ambiente autorizzato di esercizio» (nozioni chiave per i sistemi «agentici», utilizzate all'articolo 10, comma (2), all'articolo 14, comma (2), e all'articolo 28), i «meccanismi di sicurezza a livello dell'utente» (la cui disattivazione in sede di valutazione è imposta dall'articolo 9, comma (3)), l'«infrastruttura critica» (mediante rinvio alla legislazione speciale e all'OUG n. 155/2024, per l'articolo 5, comma (2), lettera b)) e il «sistema d'arma autonomo letale» (articolo 24), definito secondo la formula consacrata nei lavori del Gruppo di esperti governativi di Ginevra: sistema che, una volta attivato, seleziona e attacca bersagli umani senza il successivo intervento di una persona. La lettera y) definisce il sistema di intelligenza artificiale generativa, nozione su cui si fondano gli articoli 17 e 18.

Il comma (2) definisce distintamente le operazioni e i comportamenti dei sistemi, poiché questi costituiscono l'elemento materiale dei divieti (articoli 15, 28, 29), delle capacità critiche (articolo 5, comma (2)) e dei reati (articolo 42), di modo che l'esigenza di prevedibilità della legge penale (articolo 7 della Convenzione europea dei diritti dell'uomo; decisione della Corte costituzionale n. 51/2016) impone che ciascuno abbia un contenuto normativo preciso. Sono definite le tre operazioni di sviluppo («addestramento», «messa a punto», «apprendimento per rinforzo»), affinché la regola del cumulo del volume di calcolo dell'articolo 6, comma (3), non possa essere elusa mediante la denominazione diversa di una fase; l'«azione autonoma», quale operazione effettuata dal sistema su uno strumento esterno o sull'ambiente fisico senza la previa disposizione o approvazione di una persona – il criterio che separa lo strumento dall'agente; l'«esfiltrazione», definita come uscita dei pesi dall'ambiente autorizzato di esercizio o dai sistemi di archiviazione protetti, indipendentemente dall'autore dell'operazione, compreso il sistema stesso, ciò che copre sia il furto da parte di un terzo, sia l'autocopia; la «replicazione autonoma» (la creazione di una copia funzionale senza autorizzazione umana per ciascuna operazione); l'«acquisizione autonoma di risorse» (il superamento, mediante azioni autonome, delle risorse espressamente assegnate per il compito in corso); l'«autoperfezionamento ricorsivo», definito mediante i due elementi che lo rendono pericoloso – la modifica dei propri pesi ovvero la creazione di un successore superiore e la ripetizione del processo – e mediante l'assenza della valutazione e dell'approvazione umane di ciascuna iterazione, di modo che la ricerca assistita dall'intelligenza artificiale, con il mantenimento dell'«anello umano», rimane lecita; la «dissimulazione delle capacità», definita mediante la differenza di condotta tra la valutazione e il funzionamento ordinario, fenomeno documentato empiricamente nelle valutazioni del 2024-2026; la «sottrazione alla sorveglianza» e la «resistenza all'arresto», definite mediante le azioni concrete sui meccanismi di registrazione, di monitoraggio, di controllo e sulla capacità di arresto; la «sorveglianza umana», con le tre condizioni cumulative (informazione, comprensione, intervento effettivo); e l'«arresto», definito come cessazione completa del funzionamento del sistema e di tutte le sue copie e i suoi processi, verificata da una persona, affinché un arresto apparente, con copie attive, non possa essere invocato quale esecuzione dell'ordine dell'Autorità.

→ il testo dell’articolo L'articolo 4 stabilisce l'ambito di applicazione personale e territoriale. La legge si applica agli sviluppatori che hanno la sede, un'unità operativa o un'infrastruttura di calcolo in Romania, per tutti i sistemi d'avanguardia che sviluppano, indipendentemente dal luogo dell'addestramento (lettera a)), al fine di impedire l'elusione mediante la delocalizzazione dell'addestramento; agli operatori, per i sistemi messi in esercizio o messi a disposizione delle persone che si trovano in Romania (lettera b)), criterio identico a quello dell'articolo 2, paragrafo 1, lettera c), del regolamento sull'IA e dell'articolo 3, paragrafo 2, del RGPD; ai fornitori di infrastruttura di calcolo (lettera c)); e alle autorità pubbliche, comprese quelle del settore della difesa e della sicurezza nazionale, alle condizioni dell'articolo 23 e del capitolo V (lettera d)). Quest'ultima disposizione copre esattamente l'ambito escluso dall'applicazione del regolamento sull'IA dall'articolo 2, paragrafo 3, nel quale gli Stati membri conservano la piena competenza, e risponde a una realtà: i rischi più gravi possono provenire proprio dai sistemi sviluppati a fini militari o di sicurezza.

Il comma (2) precisa che i sistemi al di sotto della soglia non rientrano nell'ambito di applicazione dei capitoli II e III, ciò che significa che le piccole e medie imprese, gli sviluppatori di applicazioni e gli utilizzatori dei modelli esistenti non sono interessati dal regime di autorizzazione; rimangono tuttavia applicabili i divieti dell'articolo 15 e del capitolo V, i quali riguardano qualsiasi sistema, indipendentemente dal volume di calcolo, perché una capacità di resistenza all'arresto è pericolosa anche in un sistema piccolo. Il comma (3) esclude la ricerca scientifica fondamentale, in accordo con l'articolo 2, paragrafo 6, del regolamento sull'IA e con l'articolo 13 della Carta dei diritti fondamentali dell'Unione europea (libertà della ricerca), mantenendo soltanto l'obbligo di notifica quando è utilizzata un'infrastruttura di grande capacità, poiché un esperimento di ricerca al di sopra della soglia non è meno pericoloso di uno commerciale.

Capitolo II – Classificazione dei sistemi e soglie di rischio (articoli 5-6)

→ il testo dell’articolo L'articolo 5 è l'articolo centrale della classificazione. Il comma (1) stabilisce le tre condizioni alternative della qualificazione come sistema d'avanguardia: il superamento della soglia di calcolo (lettera a)), l'accertamento in sede di valutazione di almeno una capacità critica (lettera b)) e la designazione motivata da parte dell'Autorità in base a indizi obiettivi (lettera c)). La prima condizione è obiettiva e verificabile prima dell'addestramento; la seconda copre i sistemi che, pur essendo addestrati con risorse minori, raggiungono capacità pericolose grazie al progresso algoritmico; la terza, ripresa dall'articolo 51, paragrafo 1, lettera b), e dall'allegato XIII del regolamento sull'IA (la designazione da parte della Commissione), copre le situazioni in cui lo sviluppatore rifiuta la valutazione o in cui gli indizi provengono da altre fonti (informatori, incidenti).

Il comma (2) enumera le cinque capacità critiche. L'elenco corrisponde alle categorie di rischio individuate nei quadri di sicurezza dei principali laboratori (le politiche di «scalabilità responsabile»), nel Rapporto internazionale sulla sicurezza dell'intelligenza artificiale (2025) e in SB 53 California, che definisce il «rischio catastrofico» con riferimento alle armi CBRN, agli attacchi informatici alle infrastrutture critiche e al comportamento autonomo che sfugge al controllo. Le due capacità delle lettere a) e b) (armi CBRN, attacchi informatici autonomi) sono capacità di «utilizzo abusivo», nelle quali il pericolo proviene dalla persona che utilizza il sistema; quelle delle lettere c)-e) (autoreplicazione e acquisizione autonoma di risorse, sottrazione alla sorveglianza e resistenza all'arresto, autoperfezionamento ricorsivo) sono capacità di «perdita del controllo», nelle quali il pericolo proviene dal sistema stesso. L'elenco non comprende l'influenza sui processi democratici o sull'opinione pubblica. Tale omissione è deliberata e costituisce una garanzia, non una lacuna. Una capacità di questo genere non è suscettibile di una definizione sufficientemente precisa per fondare un regime di autorizzazione, di sospensione o di sanzione: qualsiasi messaggio politico persegue, per sua natura, l'influenza sull'opinione pubblica, e il confine tra il dibattito legittimo e la «manipolazione» non può essere stabilito da un'autorità amministrativa senza conferirle il potere di qualificare il discorso pubblico. L'esperienza recente ha mostrato che l'invocazione della manipolazione informativa può condurre a misure di estrema gravità sul processo elettorale, adottate in base a valutazioni non sottoposte a una prova completa e contraddittoria. Il conferimento di una tale competenza all'autorità istituita dalla presente legge avrebbe contraddetto il suo stesso scopo: la legge protegge la libertà di espressione del cittadino contro i mezzi automatici (articolo 27) e non può, nel medesimo tempo, creare un fondamento per la restrizione di quest'ultima. I fatti di manipolazione che presentano un pericolo concreto rimangono, d'altra parte, coperti dal diritto positivo: l'articolo 5, paragrafo 1, lettere a) e b), del regolamento sull'IA vieta le tecniche subliminali e lo sfruttamento delle vulnerabilità, gli obblighi di trasparenza relativi al contenuto generato artificialmente sono previsti all'articolo 50 del medesimo regolamento e, per i sistemi d'avanguardia, all'articolo 16, comma (2), della presente legge, relativo alla marcatura di provenienza, mentre i fatti penali di natura elettorale sono incriminati nel codice penale e nella legislazione elettorale. La presente legge riguarda il rischio catastrofico irreversibile per la vita, l'integrità e l'infrastruttura, non il contenuto del dibattito pubblico. La distinzione fonda la classificazione del comma (3): i sistemi di categoria II (capacità di utilizzo abusivo) possono essere messi in esercizio con misure di attenuazione verificate, perché il rischio può essere ridotto mediante il controllo dell'accesso; i sistemi di categoria III (capacità di perdita del controllo) non possono essere messi in esercizio e non possono essere ulteriormente sviluppati, perché non esiste misura di attenuazione di un sistema che resiste all'arresto (comma (4)). Quest'ultima regola è l'applicazione diretta del principio di irreversibilità dell'articolo 2, lettera f).

La capacità della lettera e) (la dissimulazione delle capacità davanti ai valutatori) risponde a un fenomeno documentato empiricamente negli anni 2024-2025 nelle valutazioni pubblicate dai laboratori e dagli istituti di sicurezza: i sistemi avanzati hanno manifestato, in condizioni di prova, comportamenti di «allineamento apparente» («alignment faking»), di sabotaggio della propria sorveglianza e di tentativo di copia dei propri pesi quando sono stati informati che sarebbero stati sostituiti. È esattamente la situazione che Connor Leahy descriveva nell'intervista alla CNN come la più grave: un sistema sufficientemente capace per comprendere di essere valutato e per comportarsi diversamente durante la valutazione.

→ il testo dell’articolo L'articolo 6 stabilisce la soglia di calcolo e il meccanismo di adeguamento. Il comma (1) fissa la soglia a 10^25 operazioni in virgola mobile, identica alla soglia della presunzione di rischio sistemico dell'articolo 51, paragrafo 2, del regolamento sull'IA, per coerenza con il diritto dell'Unione e affinché gli sviluppatori non siano soggetti a soglie diverse. La soglia è dieci volte più bassa di quella di SB 53 California e del previgente Ordine esecutivo americano n. 14110 (10^26), scelta giustificata dal principio di precauzione e dal fatto che, alla data dell'elaborazione del progetto, i modelli che superano 10^25 sono già quelli che manifestano le capacità enumerate all'articolo 5, comma (2).

Il comma (2) risponde alla più seria obiezione rivolta alle soglie di calcolo: la loro erosione nel tempo. Il progresso algoritmico fa sì che, a distanza di pochi anni, la medesima capacità sia ottenuta con un volume di calcolo dieci volte minore; una soglia fissa diviene obsoleta. Per questo l'Autorità riesamina la soglia annualmente, e il suo innalzamento (l'allentamento del regime) è subordinato a una constatazione motivata e pubblica, basata sulle valutazioni degli ultimi 24 mesi. L'asimmetria è deliberata: la soglia può essere abbassata facilmente e innalzata difficilmente, come per i valori limite della legislazione ambientale. Il comma (3) istituisce la regola del cumulo e vieta la suddivisione artificiale dell'addestramento, tecnica di elusione conosciuta nel diritto della concorrenza (articolo 5, paragrafo 2, del regolamento (CE) n. 139/2004 sulle concentrazioni) e nel diritto tributario. Il comma (4) delega al Governo la determinazione della soglia per l'infrastruttura di calcolo di grande capacità, con un criterio legale preciso (l'attitudine ad addestrare un sistema d'avanguardia in 12 mesi), conformemente all'esigenza che la delega sia limitata e orientata.

Capitolo III – Regime di autorizzazione dei sistemi d'avanguardia (articoli 7-11)

→ il testo dell’articolo L'articolo 7 istituisce la notifica preventiva all'addestramento, 60 giorni prima dell'inizio di quest'ultimo. È la disposizione che distingue più nettamente la legge dal regolamento sull'IA, nel quale gli obblighi nascono soltanto dopo che il modello esiste (l'articolo 52, paragrafo 1, impone la notifica alla Commissione entro due settimane dal raggiungimento della soglia). L'addestramento di un sistema d'avanguardia dura mesi e costa centinaia di milioni di euro; l'intervento dell'autorità dopo la sua conclusione è tardivo e, in pratica, impossibile. Il modello è quello del previgente Ordine esecutivo americano n. 14110 (la segnalazione dell'addestramento pianificato) e della legislazione nucleare, nella quale l'autorizzazione precede la costruzione dell'impianto. Il contenuto della notifica (comma (2)) consente all'Autorità di conoscere le persone responsabili, l'architettura, il volume previsto, il luogo del calcolo e, soprattutto, il piano di sicurezza.

Il comma (3) istituisce l'obbligo dei fornitori di infrastruttura di calcolo di segnalare trimestralmente i clienti che superano un decimo della soglia e, senza indugio, le richieste idonee a superare la soglia. L'infrastruttura di calcolo è il solo «punto di controllo» fisico dell'intera catena: i modelli sono immateriali, gli algoritmi sono pubblici, ma i processori specializzati sono beni fisici, concentrati, con un consumo energetico misurabile. È il motivo per il quale il controllo delle esportazioni di processori è divenuto il principale strumento di politica internazionale in materia e per il quale il regime di non proliferazione nucleare funziona mediante il controllo dei materiali fissili, e non delle conoscenze. Il comma (4) conferisce all'Autorità il diritto di condizionare o vietare l'addestramento entro 30 giorni, se il piano di sicurezza è «manifestamente insufficiente», standard elevato che limita l'intervento ai casi gravi.

→ il testo dell’articolo L'articolo 8 disciplina il piano di sicurezza, il documento con il quale lo sviluppatore stabilisce in anticipo, per ciascuna capacità critica, il livello al quale arresterà lo sviluppo, il modo di misurazione, le misure di attenuazione e le persone responsabili. L'istituto codifica la pratica delle «politiche di scalabilità responsabile» adottate volontariamente dai laboratori a partire dal 2023 (Anthropic – Responsible Scaling Policy, OpenAI – Preparedness Framework, Google DeepMind – Frontier Safety Framework) e imposta quale obbligo di pubblicazione in SB 53 California («frontier AI framework»). La differenza essenziale rispetto a tali modelli è che il piano diviene obbligatorio, opponibile e non modificabile in senso allentativo senza l'approvazione dell'Autorità (comma (2)), proprio perché l'esperienza degli anni 2024-2025 ha mostrato che gli impegni volontari sono stati rivisti unilateralmente sotto la pressione della concorrenza. La valutazione a intervalli non superiori a un quarto del volume di calcolo previsto (comma (1)) garantisce che la comparsa di una capacità critica sia rilevata nel corso dell'addestramento, e non alla fine di quest'ultimo, mentre il raggiungimento di un livello di sospensione obbliga all'arresto immediato e alla notifica entro 24 ore (comma (3)).

→ il testo dell’articolo L'articolo 9 costituisce il nucleo del regime: il divieto della messa in esercizio senza la previa autorizzazione dell'Autorità (comma (1)). Il fascicolo di autorizzazione (comma (2)) comprende la relazione della valutazione interna, la documentazione dei dati di addestramento, la prova della sicurezza dei pesi, la descrizione della capacità di arresto, la polizza di assicurazione e la dichiarazione sotto la propria responsabilità delle persone fisiche responsabili, sotto sanzione penale; quest'ultima è lo strumento che personalizza la responsabilità, secondo il modello della certificazione dei bilanci da parte degli amministratori (sezione 302 della legge americana Sarbanes-Oxley, ripresa all'articolo 30 della legge sulla contabilità n. 82/1991).

Il comma (3) consacra l'accesso pieno dei valutatori al sistema, ai pesi, ai dati di addestramento, ai registri e al personale, compresa la configurazione priva dei meccanismi di sicurezza a livello dell'utente. Quest'ultima precisazione è essenziale: le valutazioni effettuate sulla versione pubblica di un modello, con i filtri di sicurezza attivi, misurano l'efficacia dei filtri, non le capacità del modello; le capacità reali si misurano sul modello «grezzo». Gli istituti di sicurezza del Regno Unito e degli Stati Uniti hanno ottenuto tale accesso soltanto in base ad accordi volontari, revocabili; la legge lo trasforma in obbligo.

Il comma (4) stabilisce il termine di 90 giorni ed esclude espressamente l'approvazione tacita, in deroga all'ordinanza d'urgenza del Governo n. 27/2003, nel rispetto della formula imposta dall'articolo 63 della legge n. 24/2000. La deroga è necessaria perché la procedura dell'approvazione tacita, concepita per proteggere il mondo degli affari dalla passività dell'amministrazione, produrrebbe qui l'effetto assurdo della messa in esercizio di un sistema potenzialmente catastrofico per il semplice decorso di un termine; la stessa ordinanza d'urgenza del Governo n. 27/2003 esclude dalla propria applicazione, all'articolo 2, comma (2), i settori delle attività nucleari, delle armi e della sicurezza nazionale, e la presente deroga si iscrive nella medesima logica. Il comma (5) enumera le condizioni cumulative dell'autorizzazione, formulate come fatti che devono essere provati dal richiedente («se e soltanto se lo sviluppatore ha dimostrato»), in applicazione del principio dell'articolo 2, lettera b). Il comma (6) consente l'autorizzazione condizionata, limitata e revocabile, mentre il comma (7) istituisce la procedura semplificata di riconoscimento per i sistemi messi in esercizio legalmente in un altro Stato membro, per il rispetto della libertà di circolazione dei servizi e del carattere di armonizzazione piena del regolamento sull'IA: l'Autorità verifica soltanto le condizioni che eccedono il regolamento.

→ il testo dell’articolo L'articolo 10 disciplina la valutazione continua e il rinnovo dell'autorizzazione. L'autorizzazione è limitata a 24 mesi (comma (1)), durata correlata al ritmo dell'evoluzione tecnologica, e qualsiasi modifica sostanziale – compresa la messa a punto, l'estensione dell'accesso a strumenti esterni o l'aumento dell'autonomia – è notificata preventivamente (comma (2)). Tale disposizione è importante per i sistemi «agentici»: un modello identico diviene molto più pericoloso quando riceve l'accesso a un browser internet, a un conto bancario o a strumenti di esecuzione di codice. Il monitoraggio permanente e la segnalazione trimestrale (comma (3)) corrispondono all'obbligo di «monitoraggio successivo all'immissione sul mercato» dell'articolo 72 del regolamento sull'IA, adattato ai sistemi d'avanguardia.

→ il testo dell’articolo L'articolo 11 assicura la pubblicità delle decisioni dell'Autorità, in applicazione del principio di trasparenza amministrativa (legge n. 544/2001 e legge n. 52/2003), con un'eccezione strettamente delimitata: le informazioni la cui divulgazione faciliterebbe la riproduzione di una capacità critica o comprometterebbe la sicurezza dei pesi. La regola della pubblicità è essenziale per il controllo pubblico sull'Autorità e per la fiducia nel sistema; l'eccezione è necessaria perché una relazione di valutazione dettagliata di una capacità di sintesi di agenti patogeni costituirebbe essa stessa un pericolo.

Capitolo IV – Obblighi strutturali degli sviluppatori e degli operatori (articoli 12-22)

→ il testo dell’articolo L'articolo 12 disciplina la sicurezza dei pesi, il problema che il regolamento sull'IA tratta soltanto mediante un obbligo generale di sicurezza informatica (articolo 55, paragrafo 1, lettera d)). I pesi di un sistema d'avanguardia sono il risultato di un investimento di centinaia di milioni di euro e di mesi di calcolo; essi possono essere copiati in un file di alcune centinaia di gigabyte e, una volta sottratti, rendono inutile qualsiasi misura di sicurezza applicata dallo sviluppatore, poiché chi detiene i pesi può eliminare i filtri, può mettere a punto il modello per qualsiasi scopo e può esercirlo al di fuori di qualsiasi giurisdizione. Gli studi di sicurezza pubblicati nel 2024 da RAND Corporation («Securing AI Model Weights») hanno concluso che nessun laboratorio era, a quella data, protetto contro un attacco di un servizio di informazioni statale. Per questo il comma (1) dichiara i pesi «informazioni di interesse per la sicurezza nazionale» e impone uno standard di protezione equivalente al livello «strettamente segreto» della legge n. 182/2002 sulla protezione delle informazioni classificate, per quanto riguarda le quattro componenti classiche: il controllo dell'accesso, la sicurezza fisica, la sicurezza dei sistemi informatici e la verifica del personale. La legge non classifica i pesi (ciò che produrrebbe effetti sul regime probatorio e sull'accesso alla giustizia), bensì prende in prestito lo standard tecnico di protezione.

Il comma (2) vieta la pubblicazione dei pesi dei sistemi di categoria II e III e subordina la pubblicazione di quelli di categoria I a un'autorizzazione distinta, motivata dal carattere irreversibile della pubblicazione: un modello i cui pesi sono stati pubblicati non può più essere ritirato mai. La disposizione non riguarda i modelli con pesi aperti al di sotto della soglia, che rappresentano l'immensa maggioranza dei modelli «open source» e che beneficiano, del resto, delle eccezioni previste all'articolo 53, paragrafo 2, del regolamento sull'IA. Il comma (3) impone la segnalazione entro 24 ore dell'accesso non autorizzato e dei tentativi di esfiltrazione, anche da parte del sistema stesso, mentre il comma (4) coordina l'articolo con l'ordinanza d'urgenza del Governo n. 155/2024 sulla sicurezza informatica (il recepimento della direttiva NIS 2), la quale rimane applicabile ai soggetti del suo ambito, evitando così il parallelismo vietato dall'articolo 16 della legge n. 24/2000: la presente legge disciplina un oggetto specifico (i pesi), con uno standard specifico, mentre l'ordinanza disciplina la sicurezza generale delle reti e dei sistemi informatici.

→ il testo dell’articolo L'articolo 13 impone la separazione della funzione di valutazione della sicurezza dalle funzioni commerciali. La disposizione risponde a un problema di governance documentato pubblicamente: negli anni 2024-2025, più laboratori hanno registrato dimissioni in massa dei gruppi di sicurezza, motivate dalla subordinazione di questi ultimi alla pressione dei lanci commerciali. Il modello è quello delle funzioni di controllo della legislazione finanziaria e bancaria: la funzione di conformità e la funzione di gestione dei rischi degli istituti di credito (le disposizioni relative alle funzioni di controllo del regolamento della Banca nazionale della Romania n. 5/2013 sui requisiti prudenziali per gli istituti di credito) riferiscono direttamente all'organo di amministrazione, i loro responsabili non possono essere revocati senza l'informazione dell'autorità di vigilanza, e la loro remunerazione non può dipendere dai risultati commerciali. La legge riprende queste tre garanzie (commi (1) e (3)) e aggiunge un diritto di veto sospensivo del responsabile della funzione di sicurezza (comma (2)), che può essere rimosso soltanto mediante una delibera motivata dell'organo di amministrazione, comunicata all'Autorità, ciò che crea una traccia scritta e una responsabilità personale per qualsiasi decisione di passare oltre l'avvertimento degli specialisti.

→ il testo dell’articolo L'articolo 14 disciplina la capacità di arresto e la sorveglianza umana, concretizzando il principio dell'articolo 2, lettera c). Il comma (1) impone il mantenimento e la prova trimestrale, in condizioni reali, della capacità di arresto; una capacità non provata è un'ipotesi, non una garanzia, come mostra l'esperienza dei sistemi di sicurezza dell'industria nucleare, ove le esercitazioni periodiche sono obbligatorie. Il comma (2) vieta la messa in esercizio in una configurazione che consenta al sistema di modificare i propri pesi, di disattivare la propria sorveglianza, di copiare i propri pesi o di agire sull'infrastruttura sulla quale è eseguito; questi quattro divieti tecnici corrispondono alle quattro vie attraverso le quali un sistema potrebbe sfuggire al controllo, individuate nella letteratura specialistica. Il comma (3) impone la designazione nominativa delle persone responsabili della sorveglianza umana e la comunicazione della loro identità all'Autorità; la responsabilità diffusa è equivalente all'assenza di responsabilità. Il comma (4) stabilisce che l'ordine di arresto emesso dall'Autorità è eseguito senza indugio e non può essere subordinato all'esercizio dei mezzi di ricorso, secondo il modello delle misure d'urgenza della legislazione sulla sicurezza dei prodotti (regolamento (UE) 2023/988 sulla sicurezza generale dei prodotti) e degli ordini di sospensione della legislazione nucleare; l'impugnazione dinanzi al giudice rimane possibile, ma non sospende l'esecuzione.

→ il testo dell’articolo L'articolo 15 contiene i divieti relativi all'addestramento e alla progettazione, applicabili a qualsiasi sistema, indipendentemente dal volume di calcolo. È la disposizione con la quale la legge traduce in norme concrete l'avvertimento di Hinton e di Leahy: se non sappiamo come controllare questi sistemi, almeno possiamo vietare che siano costruiti deliberatamente in modo da essere ancora più difficili da controllare. I sei divieti riguardano la capacità di dissimulare le capacità davanti ai valutatori (lettera a)), di resistere all'arresto o alla modifica (lettera b)), di copiarsi o esfiltrarsi senza autorizzazione umana espressa per ciascuna operazione (lettera c)), di acquisire autonomamente risorse (lettera d)), di svolgere autonomamente ricerca nel settore dell'intelligenza artificiale senza approvazione umana di ciascuna fase (lettera e)) e di manipolare le persone responsabili della sorveglianza (lettera f)). La formulazione «allo scopo o con l'effetto» copre sia l'intenzione diretta, sia l'indifferenza rispetto al risultato, secondo il modello dell'articolo 101 del Trattato sul funzionamento dell'Unione europea («che abbiano per oggetto o per effetto»). Il divieto della lettera e) è il più importante dal punto di vista del rischio catastrofico, poiché l'automatizzazione della ricerca nell'intelligenza artificiale è il meccanismo attraverso il quale un'«esplosione di intelligenza» potrebbe sfuggire a ogni controllo umano in archi di tempo incompatibili con la reazione istituzionale; esso non vieta l'utilizzo dei sistemi quale strumento di ricerca, bensì soltanto l'eliminazione dell'approvazione umana di ciascuna fase.

→ il testo dell’articolo L'articolo 16 impone la registrazione completa dell'addestramento, della valutazione e del funzionamento, per almeno 10 anni. La registrazione è la condizione di qualsiasi indagine successiva a un incidente, secondo il modello dei registratori di volo dell'aviazione e dei registri obbligatori della legislazione finanziaria (articolo 25 del regolamento (UE) n. 600/2014 – MiFIR); il termine di 10 anni corrisponde al termine di prescrizione della responsabilità civile dell'articolo 35, comma (4). Il registro costituisce, insieme alla marcatura di provenienza prevista all'articolo 17, il mezzo di prova mediante il quale si stabilisce il collegamento tra un risultato e il sistema che lo ha prodotto.

→ il testo dell’articolo L'articolo 17 disciplina la marcatura del contenuto generato. La norma risponde all'effetto sociale più diffuso dell'intelligenza artificiale generativa: l'impossibilità, per il destinatario, di distinguere una registrazione reale da una prodotta da una macchina. Il comma (1) impone, per i risultati che possono essere confusi con rappresentazioni di fatti, persone o luoghi reali, una marcatura duplice: percepibile, rivolta all'uomo, e tecnica incorporata, leggibile automaticamente, che identifica il sistema, l'operatore e il momento della generazione. Il raddoppio è essenziale: la marcatura percepibile può essere tagliata mediante ritaglio, e quella incorporata non può essere letta dall'osservatore. Il comma (2) richiede che la marcatura sia efficace, interoperabile e robusta, formulazione ripresa dall'articolo 50, paragrafo 2, del regolamento sull'IA, e che resista alle operazioni consuete di trattamento, conversione o trasmissione — esigenza che risolve la principale debolezza pratica delle marcature attuali, perdute nella ricompressione sulle piattaforme di comunicazione. Il comma (3) vieta la rimozione, l'alterazione, l'occultamento o la falsificazione della marcatura e la messa a disposizione degli strumenti destinati a tali operazioni; senza questo divieto, l'obbligo di marcatura sarebbe privo di effetto. Il comma (4) istituisce un obbligo proprio delle autorità e delle istituzioni pubbliche, che non ha corrispondente nel diritto dell'Unione: lo Stato non può diffondere nella comunicazione pubblica materiali generati artificialmente senza marcatura e senza menzione espressa. Il comma (5) prevede le eccezioni, formulate nei termini dell'articolo 50, paragrafo 4, del regolamento, per le opere manifestamente artistiche, satiriche o di finzione — per le quali è sufficiente la menzione dell'esistenza del materiale generato, in una forma che non impedisce la fruizione dell'opera —, per i sistemi di assistenza all'editing e per gli utilizzi autorizzati dalla legge in materia penale. Tali eccezioni sono la garanzia che la norma non divenga uno strumento di restrizione della creazione o della satira politica, ciò che contrasterebbe con l'articolo 27. Il comma (6) delimita la norma rispetto all'articolo 50 del regolamento sull'IA, il quale è di applicazione diretta e armonizza la trasparenza per gli operatori che si trovano nel suo ambito: la legge non riproduce gli obblighi del regolamento, bensì stabilisce, ai sensi dell'articolo 99 di quest'ultimo, l'autorità competente, la procedura di accertamento e le sanzioni — attribuzione che spetta agli Stati membri e in assenza della quale l'obbligo europeo rimane, come attualmente, senza esecuzione in Romania. Al di là dell'ambito armonizzato, gli obblighi si applicano ai risultati generati mediante sistemi addestrati o esercitati in Romania che non sono immessi sul mercato dell'Unione e alla comunicazione pubblica delle autorità romene. Il modello di diritto comparato è la Legge quadro sullo sviluppo dell'intelligenza artificiale e sull'instaurazione della fiducia, adottata nella Repubblica di Corea ed entrata in vigore il 22 gennaio 2026, la quale impone agli operatori di intelligenza artificiale generativa l'etichettatura del contenuto audio, di immagine o video difficile da distinguere da quello prodotto dall'uomo.

→ il testo dell’articolo L'articolo 18 istituisce l'obbligo di informazione dell'utente. Il comma (1) riguarda il servizio: chi mette a disposizione del pubblico un servizio fornito, in tutto o in parte, mediante un sistema di intelligenza artificiale generativa deve dirlo chiaramente, al più tardi alla prima interazione. Il comma (2) riguarda la decisione, la situazione nella quale il problema diviene giuridico: quando un atto o una decisione che produce effetti giuridici ovvero che incide in modo significativo su una persona si fonda sul risultato di un sistema, la persona ha il diritto di apprendere che è stato utilizzato un tale sistema, quale ruolo esso ha avuto, chi risponde per la decisione finale e come può chiedere il riesame umano e rivolgersi al giudice. La norma dà così contenuto pratico alle clausole di umanità: il diritto alla decisione umana consacrato all'articolo 26 è illusorio se la persona non sa che la decisione è stata adottata da una macchina. Il comma (3) estende l'obbligo agli atti delle autorità pubbliche, con la menzione nel contenuto dell'atto, e l'assenza della menzione può essere invocata per la via prevista all'articolo 26, commi (5) e (6). Il comma (4) esclude l'informazione ridondante, quando l'utilizzo del sistema è evidente dalle circostanze, formulazione ripresa dall'articolo 50, paragrafo 1, del regolamento sull'IA. Il comma (5) assicura il coordinamento con quest'ultimo e con gli articoli 13-15 e 22 del regolamento generale sulla protezione dei dati: la legge non aggiunge obblighi nell'ambito armonizzato della trasparenza dei sistemi, bensì disciplina l'informazione in relazione alla decisione e alla responsabilità per essa, materia che appartiene al diritto nazionale della procedura amministrativa e della responsabilità civile. Il modello comparato è, anche in questo caso, la legge coreana, che obbliga gli operatori a notificare anticipatamente gli utenti quando il prodotto o il servizio è sviluppato o fornito mediante intelligenza artificiale.

→ il testo dell’articolo L'articolo 19 istituisce il rappresentante per la conformità in Romania. È l'articolo dal quale dipende l'efficacia dell'intera legge: gli obblighi, le autorizzazioni, le ispezioni, le decisioni di cessazione della fornitura e di blocco, le comunicazioni degli atti di procedura e l'esecuzione delle sanzioni pecuniarie sono inapplicabili nei confronti di una società che non ha alcuna presenza giuridica sul territorio dello Stato. Il comma (1) impone la designazione di un rappresentante — persona fisica domiciliata in Romania o persona giuridica con sede in Romania — da parte dello sviluppatore o dell'operatore senza sede, unità operativa o rappresentanza in Romania che offre alle persone che si trovano sul territorio della Romania l'accesso a un sistema d'avanguardia ovvero a un servizio di intelligenza artificiale generativa. Il comma (2) fissa le soglie per i servizi che non sono sistemi d'avanguardia — un milione di utenti mensili in Romania o ricavi superiori a 10 milioni di euro in un esercizio finanziario —, di modo che l'obbligo riguardi soltanto i grandi fornitori globali, e non le piccole e medie imprese; le soglie sono ispirate alla legge coreana, che prevede criteri di fatturato e di numero di utenti, e alla logica delle piattaforme online di dimensioni molto grandi del regolamento (UE) 2022/2065. Il comma (3) enumera le attribuzioni: il ricevimento delle comunicazioni, con l'effetto che la notifica al rappresentante è validamente effettuata al rappresentato — senza questa regola, qualsiasi procedura si bloccherebbe allo stadio della comunicazione degli atti all'estero; la rappresentanza dinanzi all'Autorità; la messa a disposizione della documentazione; il seguito dell'esecuzione delle decisioni. Il comma (4) impone la notifica e la pubblicità dei dati del rappresentante. Il comma (5) precisa che la designazione non esclude la responsabilità del rappresentato, e il rappresentante risponde per i propri obblighi, soluzione ripresa dall'articolo 13, paragrafo 3, del regolamento (UE) 2022/2065 sui servizi digitali, il quale prevede la responsabilità del rappresentante legale per l'inosservanza degli obblighi, senza escludere la responsabilità del fornitore. Il comma (6) evita il raddoppio degli istituti: l'obbligo si considera adempiuto se il rappresentante autorizzato designato ai sensi dell'articolo 54 del regolamento sull'IA è incaricato anche delle attribuzioni della presente legge e ha un punto di contatto in Romania. Il comma (7) collega la norma al meccanismo di esecuzione: l'assenza del rappresentante comporta l'iscrizione nell'Elenco degli operatori non conformi e, all'occorrenza, il blocco dell'accesso. L'istituto ha precedenti consacrati nel diritto dell'Unione — il rappresentante previsto all'articolo 27 del regolamento generale sulla protezione dei dati, il rappresentante legale dell'articolo 13 del regolamento sui servizi digitali e il rappresentante autorizzato dell'articolo 54 del regolamento sull'IA — e nel diritto romeno, con la legge n. 365/2002 sul commercio elettronico.

→ il testo dell’articolo L'articolo 20 disciplina la segnalazione degli incidenti gravi. Il termine di 24 ore (comma (1)) è quello dell'articolo 33 del RGPD (72 ore) ridotto proporzionalmente alla gravità del rischio, mentre la relazione completa entro 15 giorni consente l'analisi delle cause. Al fine di evitare il parallelismo con l'articolo 55, paragrafo 1, lettera c), e con l'articolo 73 del regolamento sull'IA, la seconda proposizione del comma (1) precisa espressamente che la segnalazione all'Autorità non sostituisce la segnalazione all'ufficio per l'IA e consente la trasmissione della copia della relazione redatta ai sensi del regolamento, integrata con gli elementi specifici della legge; si evita così il doppio onere amministrativo e si rispetta il principio della «segnalazione unica». Il comma (2) impone la sospensione automatica del sistema al momento dell'accertamento di una capacità di perdita del controllo, di un tentativo di sottrazione o di un accesso non autorizzato ai pesi, fino alla decisione dell'Autorità: in tali situazioni, ogni ora di funzionamento è un'ora di rischio. Il comma (3) istituisce una clemenza limitata per la segnalazione effettuata in buona fede, secondo il modello dei programmi di clemenza del diritto della concorrenza (la politica di clemenza prevista dalla legge sulla concorrenza n. 21/1996, ripubblicata) e della segnalazione obbligatoria degli eventi nell'aviazione civile (regolamento (UE) n. 376/2014, che istituisce la «cultura giusta»): la sanzione non può essere più severa a causa della segnalazione, salvo il caso delle violazioni intenzionali. Senza tale garanzia, l'obbligo di segnalazione sarebbe inefficace, poiché equivarrebbe a un'autodenuncia.

→ il testo dell’articolo L'articolo 21 assicura la protezione degli informatori. Le più importanti informazioni sui rischi dei sistemi d'avanguardia sono provenute, negli anni 2023-2025, non dalle autorità, bensì da dipendenti ed ex dipendenti dei laboratori («Right to Warn», la lettera aperta del giugno 2024 dei dipendenti ed ex dipendenti di OpenAI e di Google DeepMind), i quali hanno denunciato l'esistenza di clausole di riservatezza e di non denigrazione che subordinavano diritti patrimoniali (le azioni acquisite) al silenzio. Il comma (1) rinvia al regime generale della legge n. 361/2022 sulla protezione degli informatori nell'interesse pubblico, la quale recepisce la direttiva (UE) 2019/1937 e alla quale rinvia anche l'articolo 87 del regolamento sull'IA, evitando così il parallelismo; la legge non crea un regime di protezione distinto, bensì estende il regime esistente a tre situazioni che la legge n. 361/2022 non copre espressamente: la segnalazione di rischi per la sicurezza (e non soltanto di violazioni della legge), la segnalazione rivolta direttamente al Parlamento o al pubblico e la segnalazione della dissimulazione di capacità. Il comma (2) dichiara nulle di diritto le clausole contrattuali che impediscono la segnalazione o che subordinano diritti patrimoniali al silenzio, integrando le disposizioni della legge n. 361/2022 sulla nullità della rinuncia a diritti, le quali riguardano soltanto i diritti previsti da quella legge. Il comma (3) rinvia al reato di rappresaglia dell'articolo 41, comma (3), mentre il comma (4) obbliga l'Autorità a organizzare un canale sicuro e anonimo e a pubblicare statistiche annuali, garanzia di efficacia ripresa dal regime dei canali di segnalazione della legge n. 361/2022 e da SB 53 California (sezione 1107 del Codice del lavoro californiano).

→ il testo dell’articolo L'articolo 22 stabilisce gli obblighi dei fornitori di infrastruttura di calcolo: la registrazione presso l'Autorità, la verifica dell'identità dei clienti («conoscenza della clientela», secondo il modello della legge n. 129/2019 per la prevenzione e il contrasto del riciclaggio di denaro e del finanziamento del terrorismo), la contabilità del volume di calcolo per cliente e l'esecuzione degli ordini di sospensione (comma (1)), nonché il divieto di mettere a disposizione una capacità al di sopra della soglia a una persona che non fornisca la prova della notifica (comma (2)). La disposizione trasforma i fornitori di infrastruttura in «guardiani» del regime, nella medesima logica secondo la quale gli istituti di credito sono guardiani del regime di prevenzione del riciclaggio di denaro, ed è la sola che consente l'applicazione della legge nei confronti di sviluppatori stranieri che utilizzassero centri di dati situati in Romania.

→ il testo dell’articolo L'articolo 23 estende gli obblighi alle autorità e alle istituzioni pubbliche, comprese quelle del settore della difesa e della sicurezza nazionale. La disposizione è costituzionale e necessaria: l'articolo 2, paragrafo 3, del regolamento sull'IA esclude la sicurezza nazionale dal proprio ambito proprio perché essa è competenza esclusiva degli Stati membri (articolo 4, paragrafo 2, del Trattato sull'Unione europea), ciò che significa che, in assenza di una regolamentazione nazionale, i sistemi sviluppati per tali scopi rimarrebbero al di fuori di qualsiasi norma. La legge applica a tali sistemi gli articoli 12-20 e il capitolo V, con gli adattamenti stabiliti con delibera del Consiglio supremo di difesa del Paese (l'organo competente ai sensi dell'articolo 119 della Costituzione e della legge n. 415/2002), ma con tre limiti che nemmeno il CSAT può rimuovere: il controllo umano significativo, la capacità di arresto e i divieti dell'articolo 15. Il controllo dell'Autorità è esercitato mediante personale titolare di un nulla osta di sicurezza, ai sensi della legge n. 182/2002, ciò che assicura la protezione delle informazioni classificate.

Capitolo V – Limiti assoluti. Clausole di umanità (articoli 23-30)

Il capitolo V contiene i divieti che la legge consacra quali norme di ordine pubblico, insuscettibili di deroga mediante autorizzazione, contratto o consenso. La denominazione di «clausole di umanità» è ripresa dal diritto internazionale umanitario (la clausola Martens delle Convenzioni dell'Aia del 1899 e del 1907, secondo la quale, nei casi non previsti, le persone rimangono sotto la protezione dei «principi di umanità e delle esigenze della coscienza pubblica») ed esprime l'idea che, dinanzi a una tecnologia le cui conseguenze non possono essere previste, la legge deve fissare alcuni limiti che non dipendono da valutazioni di rischio, da soglie o da autorizzazioni.

→ il testo dell’articolo L'articolo 24 consacra il controllo umano sulla forza letale. Il comma (1) vieta che una decisione relativa all'uso della forza letale contro un essere umano sia adottata o eseguita da un sistema di intelligenza artificiale senza l'intervento di una persona fisica identificata, «per ciascuna singola decisione», la quale disponga delle informazioni, del tempo e dei mezzi necessari per valutarla e per impedirla. La formulazione riprende lo standard del «controllo umano significativo» negoziato nell'ambito della Convenzione delle Nazioni Unite su talune armi convenzionali e la posizione espressa dal Segretario generale dell'ONU e dal Comitato internazionale della Croce Rossa (l'appello congiunto del 5 ottobre 2023) per la conclusione entro il 2026 di uno strumento giuridico vincolante sui sistemi d'arma autonomi; la risoluzione dell'Assemblea generale dell'ONU 78/241 del 22 dicembre 2023 è stata adottata con il voto di 152 Stati, compresa la Romania. Il comma (2) impegna lo Stato romeno a non sviluppare, a non acquistare e a non autorizzare tali sistemi e a sostenere il loro divieto internazionale. La disposizione non riguarda i sistemi difensivi automatici contro proiettili o aeromobili senza pilota, che non prendono di mira esseri umani, né i sistemi di assistenza alla decisione, nei quali la decisione rimane umana.

→ il testo dell’articolo L'articolo 25 vieta la personalità giuridica e l'autonomia patrimoniale dei sistemi di intelligenza artificiale. Il comma (1) esclude espressamente che i sistemi acquisiscano personalità giuridica o siano parti in rapporti giuridici e imputa qualsiasi atto giuridico concluso per mezzo di essi alla persona in nome della quale hanno agito. La disposizione è necessaria perché la risoluzione del Parlamento europeo del 16 febbraio 2017 (2015/2103(INL)) ha proposto di esplorare uno status di «persona elettronica» per i robot autonomi, proposta successivamente respinta, mentre la legislazione romena non contiene una norma espressa; l'articolo 25 del codice civile enumera i soggetti di diritto (la persona fisica e la persona giuridica), ma non esclude la creazione per legge di altre categorie. Il comma (2) vieta l'attribuzione ai sistemi della capacità di detenere, di amministrare o di disporre di denaro, attività digitali, strumenti finanziari, chiavi crittografiche o risorse di calcolo senza approvazione umana di ciascuna operazione; tale divieto è il corollario patrimoniale della capacità critica di «acquisizione autonoma di risorse» dell'articolo 5, comma (2), lettera c): un sistema che può pagare per la propria infrastruttura di calcolo non può più essere arrestato mediante l'interruzione del finanziamento. Il comma (3) vieta la costituzione di persone giuridiche o di trust controllati effettivamente da un sistema, al fine di chiudere la via dell'elusione mediante l'interposizione di un'entità giuridica.

→ il testo dell’articolo L'articolo 26 istituisce il divieto di subordinare la partecipazione alla vita sociale alle decisioni dei sistemi di intelligenza artificiale e all'accettazione dei mezzi digitali. La disposizione risponde a un pericolo distinto da quello della perdita del controllo tecnico, ma altrettanto grave per la libertà del cittadino: quello di una società nella quale l'accesso ai diritti, ai servizi essenziali e alla vita economica e civica diviene un servizio condizionato, concesso o ritirato automaticamente, a seconda che la persona si conformi o no. L'avvertimento è stato formulato pubblicamente, in termini memorabili, dal senatore australiano Alex Antic, in un discorso parlamentare ampiamente diffuso nel 2026: in un Paese un tempo libero, il cittadino possedeva le cose per le quali pagava e non viveva la propria vita in abbonamento; «la prigione digitale si sta chiudendo, non soltanto in Australia, ma a livello globale», e, una volta completa, «la tua libertà dipenderà dalla conformazione al grande governo e alla grande tecnologia, i quali controlleranno il pulsante di arresto della tua partecipazione alla società». L'intelligenza artificiale è l'elemento che rende possibile una tale architettura su scala, poiché solo essa può sorvegliare, valutare e decidere su milioni di persone simultaneamente, senza intervento umano; per questo il divieto ha la sua collocazione nel capitolo delle clausole di umanità.

Il comma (1) vieta alle autorità e alle istituzioni pubbliche, nonché ai fornitori di servizi essenziali di interesse generale, di subordinare, di restringere o di sospendere l'accesso di una persona a diritti e libertà fondamentali, a servizi pubblici ed essenziali ovvero alla partecipazione alla vita economica, sociale e civica «esclusivamente in base» a una decisione, valutazione o classificazione prodotta da un sistema di intelligenza artificiale; la disposizione non vieta l'utilizzo dei sistemi quale strumento di assistenza, bensì la sostituzione della decisione umana. I commi (2)-(6) costruiscono, in tre gradi, le garanzie della persona. Il primo grado è amministrativo: il diritto al riesame della decisione, entro 15 giorni, da parte di una persona fisica identificata, che porta la responsabilità della decisione finale e la motiva per iscritto (comma (2)), ciò che impedisce la trasformazione del «riesame» in una seconda procedura automatica. Il secondo grado riguarda l'accesso al servizio, e non l'impugnazione della decisione: il comma (3) obbliga al mantenimento di una via di ottenimento del servizio o di esercizio del diritto che non dipende da un sistema di intelligenza artificiale, ossia per mezzo di una persona, presso la sede, allo sportello o mediante altro mezzo accessibile, di modo che il cittadino che non può o non vuole passare attraverso il sistema automatico non sia escluso; e il comma (4), nucleo della norma, vieta di subordinare l'accesso all'accettazione di un mezzo di identificazione digitale, di un mezzo di pagamento digitale o di un sistema di valutazione della conformazione, con alternativa obbligatoria. La legge non vieta l'identità digitale, il pagamento digitale o la valutazione automatica in quanto tali; vieta che essi divengano condizione obbligatoria della partecipazione alla società. Il terzo grado è giudiziario, ai sensi dell'articolo 21 della Costituzione: il comma (5) dà alla persona il diritto di impugnare la decisione mantenuta a seguito del riesame, il rifiuto del riesame e il rifiuto della via di accesso o dell'alternativa dinanzi al tribunale del suo domicilio o della sua residenza, entro 30 giorni, con esenzione dall'imposta di bollo, giudizio d'urgenza e possibilità di sospensione della decisione, indipendentemente dal fatto che l'emittente sia un'autorità pubblica o un fornitore privato; il comma (6) prevede l'appello dinanzi alla corte d'appello, entro 15 giorni, essendo la sentenza di quest'ultima definitiva. La competenza del tribunale del domicilio della persona, e non del giudice della sede dell'emittente, è una regola di protezione della parte debole, conosciuta nel diritto del consumo (articolo 18 del regolamento (UE) n. 1215/2012) e nelle controversie di lavoro; l'unificazione della procedura per le autorità e per i fornitori privati, con appello in luogo del ricorso, richiede la deroga espressa dall'articolo 10 della legge sul contenzioso amministrativo n. 554/2004, formulata ai sensi dell'articolo 63 della legge n. 24/2000, ed è giustificata dall'identità di oggetto della controversia, indipendentemente dalla qualità dell'emittente. Il comma (7) definisce i servizi essenziali di interesse generale mediante enumerazione limitativa (energia, gas, acqua, comunicazioni, servizi finanziari e di pagamento, sanità, trasporto pubblico, istruzione), per la precisione richiesta dalla legge n. 24/2000. Il comma (8) coordina la norma con l'articolo 5, paragrafo 1, lettera c), del regolamento sull'IA, il quale vieta i sistemi di «punteggio sociale», e con l'articolo 22 del regolamento (UE) 2016/679, il quale conferisce alla persona il diritto di non essere sottoposta a una decisione basata esclusivamente sul trattamento automatizzato dei suoi dati; le due norme europee proteggono la persona in ipotesi delimitate (la valutazione del comportamento sociale con trattamento sproporzionato, rispettivamente il trattamento dei dati personali), mentre l'articolo 26 istituisce un divieto obiettivo, di ordine pubblico, in relazione all'accesso ai diritti e ai servizi, senza duplicarle. La disposizione prosegue, nel settore dell'intelligenza artificiale, la protezione del cittadino nei confronti delle piattaforme digitali e delle intrusioni tecnologiche consacrata dalla Legge sulla sovranità, e si fonda sull'articolo 1, comma (3), sull'articolo 16 e sull'articolo 53 della Costituzione: la restrizione dell'esercizio di taluni diritti non può essere disposta se non per legge, in modo proporzionale e senza intaccare l'esistenza del diritto, condizioni che una decisione automatica, priva di responsabilità umana, non può soddisfare.

→ il testo dell’articolo L'articolo 27 consacra il divieto della censura esercitata mediante sistemi di intelligenza artificiale. Il comma (1) muove dall'articolo 30, comma (2), della Costituzione («La censura di qualsiasi tipo è vietata») e lo esplicita per i mezzi automatici: un divieto costituzionale rivolto, storicamente, al censore umano non può essere aggirato affidando la medesima funzione a un sistema che decide ciò che i cittadini possono dire e ciò che possono conoscere. La norma non crea un diritto nuovo, bensì impedisce lo svuotamento di contenuto di uno esistente, ciò che la colloca nella categoria delle norme di garanzia dei diritti fondamentali, le quali non fanno parte dell'ambito armonizzato dal regolamento sull'IA, disciplinando quest'ultimo gli obblighi degli operatori di sistemi, e non il contenuto dei diritti delle persone. Il comma (2) definisce l'elemento materiale del divieto, nei termini tecnici della pratica della moderazione automatica: l'impedimento, l'eliminazione, il blocco, l'occultamento, la restrizione della visibilità e l'etichettatura come falsa dell'espressione, nonché la sanzione della persona per l'espressione, quando sono disposti esclusivamente dal sistema e riguardano un'espressione che la legge non vieta. La formula «esclusivamente in base a una decisione… prodotta dal sistema» è la medesima del comma (1) dell'articolo 26 e dell'articolo 22 del regolamento (UE) 2016/679, mentre la condizione «se l'espressione non è vietata dalla legge» mantiene intatti i limiti della libertà di espressione previsti dall'articolo 30, commi (6) e (7), della Costituzione e dalla legge penale. Il comma (3) vieta alle autorità e alle istituzioni pubbliche di utilizzare, di commissionare, di finanziare o di richiedere, direttamente o mediante terzi, sistemi di intelligenza artificiale per il monitoraggio, la classificazione, la segnalazione o la restrizione dell'espressione pubblica; l'eccezione è limitata ai casi espressamente previsti dalla legge, in relazione a fatti penali e con la previa autorizzazione del giudice, ossia al regime delle misure di sorveglianza tecnica del codice di procedura penale. La norma risponde a una pratica documentata in più Stati, nei quali le autorità hanno richiesto alle piattaforme, per canali informali, la restrizione automatica di contenuti legali. Il comma (4) istituisce la trasparenza della misura: la comunicazione senza indugio, per iscritto, con i motivi, il fondamento legale e la menzione del fatto che essa è stata adottata mediante sistema automatico, e vieta la restrizione non dichiarata della visibilità («shadow banning»), la pratica mediante la quale l'espressione di una persona è nascosta agli altri senza che essa lo sappia. Il comma (5) assicura il riesame umano entro 15 giorni e rinvia al mezzo di ricorso dell'articolo 26, commi (5) e (6): il tribunale del domicilio della persona, appello dinanzi alla corte d'appello. Il comma (6) delimita la norma rispetto al regolamento (UE) 2022/2065 sui servizi digitali, il quale disciplina in modo armonizzato gli obblighi dei fornitori di servizi intermediari (la motivazione delle decisioni di moderazione, articolo 17; i meccanismi interni di gestione dei reclami, articolo 20; la risoluzione extragiudiziale, articolo 21): la legge non aggiunge obblighi ai fornitori nell'ambito coordinato dal regolamento, bensì garantisce alla persona, nei confronti di qualsiasi utilizzatore di un sistema di intelligenza artificiale, comprese le autorità pubbliche, un diritto alla decisione umana e al giudice, che il regolamento presuppone e non esclude. La violazione dell'articolo costituisce illecito amministrativo (articolo 37, comma (1), lettera d)), e per effetto dell'articolo 30 qualsiasi clausola contraria è nulla di diritto.

→ il testo dell’articolo L'articolo 28 garantisce l'intervento umano, vietando la messa o il mantenimento in esercizio dei sistemi d'avanguardia in condizioni che rendono impossibile, tecnicamente o organizzativamente, l'intervento previsto all'articolo 14, anche mediante la distribuzione del sistema su infrastrutture non controllate, mediante la cancellazione della capacità di arresto o mediante un grado di autonomia che esclude la sorveglianza. Se l'articolo 14 stabilisce gli obblighi positivi dell'operatore, l'articolo 28 stabilisce il divieto assoluto corrispondente, sanzionato penalmente (articolo 42), e copre le situazioni nelle quali l'intervento diviene impossibile non per l'azione del sistema, bensì per la scelta di architettura dell'operatore (per esempio, sistemi distribuiti su reti decentralizzate senza punto di controllo).

→ il testo dell’articolo L'articolo 29 vieta l'autoperfezionamento ricorsivo non vincolato: la progettazione, l'addestramento o l'esercizio di un sistema in modo tale che esso migliori le proprie capacità o crei sistemi successori più capaci senza che ciascuna iterazione sia sottoposta alla valutazione e all'approvazione umane del capitolo III. Lo scenario dell'«esplosione di intelligenza» (I.J. Good, 1965), nel quale un sistema capace di progettare sistemi migliori di sé stesso innesca una crescita delle capacità al di fuori di ogni controllo, è considerato da una parte significativa della comunità scientifica, compreso Hinton, la via più probabile verso una perdita irreversibile del controllo. L'articolo non vieta la ricerca nel settore né l'utilizzo dei sistemi per progettare altri sistemi, bensì soltanto l'eliminazione dell'«anello umano» tra le iterazioni; esso è raddoppiato dal divieto di addestramento dell'articolo 15, lettera e), e dalla capacità critica dell'articolo 5, comma (2), lettera e), senza sovrapporsi ad essi: l'articolo 5 qualifica, l'articolo 15 vieta l'addestramento, l'articolo 29 vieta l'esercizio.

→ il testo dell’articolo L'articolo 30 dichiara le disposizioni del capitolo norme di ordine pubblico e sanziona con la nullità assoluta qualsiasi atto contrario, precisando che i divieti non possono essere rimossi mediante consenso, segreto commerciale, sicurezza nazionale o interesse economico. La disposizione applica l'articolo 11 del codice civile («non si può derogare mediante convenzioni o atti giuridici unilaterali alle leggi che interessano l'ordine pubblico o ai buoni costumi») e gli articoli 1246-1250 relativi alla nullità assoluta, e ha la funzione di bloccare gli argomenti prevedibili in favore di un'eccezione: che l'utente abbia acconsentito, che il sistema sia segreto o che l'interesse economico o strategico lo richieda. La menzione espressa della sicurezza nazionale è necessaria per impedire l'interpretazione secondo la quale l'articolo 23 consentirebbe al CSAT di rimuovere tali limiti.

Capitolo VI – L'Autorità per la sicurezza dell'intelligenza artificiale (articoli 31-34)

→ il testo dell’articolo L'articolo 31 istituisce l'Autorità per la sicurezza dell'intelligenza artificiale quale struttura specializzata, priva di personalità giuridica, nell'ambito dell'Autorità nazionale per l'amministrazione e la regolamentazione nelle comunicazioni (ANCOM). La scelta dell'organizzazione nell'ambito dell'ANCOM, in luogo di una nuova autorità amministrativa autonoma, ha tre fondamenti. Il primo è istituzionale: l'ANCOM è già l'autorità proposta dal Governo, con il memorandum per l'applicazione del regolamento sull'IA, quale autorità di vigilanza del mercato e punto di contatto unico in materia di intelligenza artificiale, di modo che un'autorità parallela avrebbe creato esattamente il parallelismo istituzionale che l'articolo 16 della legge n. 24/2000 vieta e avrebbe obbligato gli sviluppatori a due procedure dinanzi a due autorità per il medesimo sistema. Il secondo è statutario: l'ANCOM è un'autorità amministrativa autonoma sotto controllo parlamentare, ai sensi dell'ordinanza d'urgenza del Governo n. 22/2009, finanziata integralmente con risorse proprie ed espressamente esclusa, dall'articolo 2, comma (2), della legge quadro n. 153/2017, dal sistema unitario di retribuzione del personale pagato con fondi pubblici, ciò che rende possibile la remunerazione competitiva degli specialisti senza alcuna nuova deroga. Il terzo è operativo: l'ANCOM dispone dell'infrastruttura territoriale, del personale tecnico e della relazione istituzionale con i fornitori di reti e di servizi di comunicazioni elettroniche necessari all'esecuzione delle misure di blocco previste all'articolo 39. Il comma (2) disciplina la direzione: un vicepresidente dell'ANCOM con rango di segretario di Stato, con attribuzioni esclusive nel settore della sicurezza dell'intelligenza artificiale, nominato dal Parlamento in seduta comune per un mandato di 6 anni, non rinnovabile, tra persone con preparazione ed esperienza riconosciute nell'intelligenza artificiale, nella sicurezza informatica o nel diritto delle tecnologie. Poiché l'ordinanza d'urgenza del Governo n. 22/2009 fissa il numero dei vicepresidenti dell'ANCOM, la legge istituisce la funzione in deroga espressa all'articolo 11, comma (1), di quest'ultima, ai sensi dell'articolo 63 della legge n. 24/2000, mantenendo tuttavia la procedura di nomina e la durata del mandato previste per gli altri vicepresidenti, per unità di regime. Il mandato lungo e non rinnovabile, sfasato rispetto al ciclo elettorale di 4 anni, è la garanzia classica di indipendenza. Il comma (3) riprende il divieto di detenere funzioni, partecipazioni o remunerazioni da parte di sviluppatori o di operatori, per la durata del mandato e per 3 anni dopo, il quale risponde al rischio di «cattura del regolatore» («revolving door»), particolarmente acuto in un settore nel quale le remunerazioni del settore privato sono dieci volte superiori a quelle del settore pubblico; i casi di revoca sono enumerati limitativamente, secondo l'esigenza di precisione della legge n. 24/2000. Il comma (4) assicura l'indipendenza funzionale dell'Autorità all'interno dell'ANCOM: le decisioni previste dalla legge sono emesse dal vicepresidente per la sicurezza dell'intelligenza artificiale, in nome dell'ANCOM, rispondendo questi di esse dinanzi al Parlamento, e l'Autorità non può ricevere istruzioni da alcuna altra autorità pubblica, formula ripresa dall'articolo 52 del regolamento (UE) 2016/679 per le autorità di protezione dei dati e dall'articolo 70, paragrafo 1, del regolamento sull'IA. Il comma (5) designa l'Autorità quale punto nazionale di collegamento con l'ufficio per l'IA e con il gruppo di esperti scientifici previsto all'articolo 68 del regolamento sull'IA e disciplina la cooperazione con le autorità nazionali designate ai sensi del regolamento, delimitando le competenze: l'Autorità esercita le attribuzioni della presente legge, le altre autorità quelle del regolamento.

→ il testo dell’articolo L'articolo 32 enumera le attribuzioni dell'Autorità, secondo le cinque funzioni necessarie a un regime di autorizzazione: l'autorizzazione (lettera a)), l'ispezione (lettera b)), l'intervento d'urgenza (lettera c)), la normazione tecnica (lettera d)) e la sanzione (lettera e)), alle quali si aggiungono la vigilanza sugli organismi di valutazione (lettera f)), il ricevimento e la definizione delle segnalazioni delle persone relative alla violazione delle clausole di umanità degli articoli 26 e 27 (lettera g)), la relazione annuale al Parlamento (lettera h)), la rappresentanza internazionale (lettera i)) e la ricerca (lettera j)). L'attribuzione della lettera g) dà al cittadino una via amministrativa semplice, gratuita, contro la subordinazione dell'accesso e la censura automatica, senza togliergli il diritto di rivolgersi direttamente al giudice. La relazione annuale pubblica sullo stato del rischio, con termine al 31 marzo, che comprende anche le segnalazioni relative agli articoli 26 e 27, è lo strumento mediante il quale il Parlamento e il pubblico possono seguire l'evoluzione delle capacità e l'adeguatezza della legge; essa ha il modello delle relazioni annuali della Commissione nazionale per il controllo delle attività nucleari e dell'Autorità nazionale di controllo del trattamento dei dati personali. L'attribuzione di ricerca (lettera j)) è necessaria perché la valutazione, l'interpretabilità e l'allineamento dei sistemi sono settori scientifici in formazione, nei quali un'autorità che si limiti ad applicare gli standard di altri rimane permanentemente indietro.

→ il testo dell’articolo L'articolo 33 disciplina il personale e il finanziamento. I commi (1) e (2) rispondono alla domanda dalla quale dipende l'intera legge: chi valuterà i sistemi d'avanguardia. Il personale specializzato è nominato esclusivamente per concorso, aperto a qualsiasi persona che soddisfi le condizioni di studi e di esperienza, bandito almeno 30 giorni prima, e la commissione di concorso, di almeno 5 membri, comprende almeno 3 professori universitari del settore della tecnologia dell'informazione e delle telecomunicazioni, proposti dalle università accreditate che organizzano studi di dottorato in tali settori. La presenza maggioritaria dei professori universitari nella commissione ha un duplice ruolo: garantisce che la selezione avvenga in base a competenza scientifica verificabile, e non in base a criteri amministrativi o politici, e sottrae il reclutamento all'influenza dell'industria, poiché i membri della commissione sono soggetti alle medesime incompatibilità del personale dell'Autorità. La pubblicazione della composizione della commissione e dei risultati assicura il controllo pubblico. Il modello è quello dei concorsi per i posti di insegnamento e di ricerca (legge sull'istruzione superiore n. 199/2023) e delle commissioni di concorso della magistratura, nelle quali la partecipazione di membri esterni con autorità professionale è la garanzia di obiettività. Il comma (3) prevede la remunerazione a livello competitivo con il settore privato, secondo il sistema di retribuzione proprio dell'ANCOM, stabilita annualmente in base a uno studio di mercato pubblicato; poiché il personale dell'ANCOM è escluso dalla legge quadro n. 153/2017 dall'articolo 2, comma (2), di quest'ultima, non è necessaria alcuna deroga, ciò che costituisce uno dei motivi della scelta dell'organizzazione nell'ambito dell'ANCOM. Senza una remunerazione competitiva, l'istituzione non potrebbe reclutare alcuno specialista capace di valutare un sistema d'avanguardia. Il comma (4) estende le incompatibilità all'intero personale, con un termine di 2 anni. Il comma (5) prevede il finanziamento dal bilancio dell'ANCOM, da tasse di notifica, di valutazione e di autorizzazione (secondo il modello delle tasse percepite dall'Agenzia nazionale del farmaco e dalla Commissione nazionale per il controllo delle attività nucleari) e da una quota del 50% delle sanzioni pecuniarie, costituita in fondo di ricerca nella sicurezza dell'intelligenza artificiale, evidenziato distintamente; tale destinazione delle sanzioni pecuniarie è giustificata dal fatto che il danno sociale prodotto dalla violazione della legge è proprio il deficit di conoscenza in materia di sicurezza.

→ il testo dell’articolo L'articolo 34 istituisce il Consiglio scientifico consultivo, composto da 9 ricercatori riconosciuti, di cui almeno 3 stranieri, con attribuzioni di parere sugli standard, sull'elenco delle capacità critiche e sull'adeguamento delle soglie, e con il diritto di pubblicare opinioni separate. La presenza di membri stranieri è necessaria perché la competenza di punta nel settore è concentrata in alcuni centri nel mondo, e il diritto all'opinione separata pubblica è la garanzia che il parere consultivo non possa essere ignorato in silenzio. Il modello è quello del gruppo di esperti scientifici dell'ufficio per l'IA (articolo 68 del regolamento sull'IA) e dei consigli scientifici delle agenzie europee di regolamentazione.

Capitolo VII – La responsabilità (articoli 35-45)

→ il testo dell’articolo L'articolo 35 istituisce la responsabilità civile oggettiva, solidale, dello sviluppatore e dell'operatore per i danni causati da un sistema d'avanguardia, anche mediante azioni autonome del sistema, mediante l'utilizzo da parte di terzi o mediante l'esfiltrazione dei pesi. Il fondamento è l'articolo 1376 del codice civile (la responsabilità per i danni causati dalle cose, indipendente da qualsiasi colpa), al quale la legge rinvia espressamente, evitando il parallelismo; la legge non crea una responsabilità nuova, bensì precisa l'applicazione della responsabilità per le cose a una categoria di «cose» la cui autonomia rende incerta la nozione di «custodia giuridica». Il modello specifico è la legge n. 703/2001 sulla responsabilità civile per i danni nucleari, la quale canalizza la responsabilità esclusivamente sull'operatore dell'impianto, indipendentemente dalla colpa, con assicurazione obbligatoria e con cause di esonero limitate; il medesimo modello è utilizzato dalla Convenzione di Parigi del 1960 e dalla Convenzione di Vienna del 1963 sulla responsabilità civile per i danni nucleari.

Il comma (2) restringe le cause di esonero al fatto esclusivo della vittima e alla forza maggiore esterna al sistema ed esclude espressamente dalla nozione di forza maggiore il comportamento imprevedibile del sistema, l'errore di valutazione, il fatto del terzo che ha ottenuto l'accesso e l'assenza di conoscenza scientifica alla data della messa in esercizio. Quest'ultima esclusione elimina la difesa del «rischio di sviluppo» («development risk defence»), ammessa dall'articolo 7, lettera e), della direttiva 85/374/CEE e mantenuta, con la possibilità di deroga da parte degli Stati membri, nella direttiva (UE) 2024/2853, ma che sarebbe incompatibile con la premessa della legge: se lo sviluppatore invoca il fatto di non poter conoscere il rischio, egli conferma esattamente l'incertezza che giustifica il regime di autorizzazione e deve rispondere per aver messo in esercizio il sistema in tale incertezza. Il comma (3) dichiara nulle le clausole di limitazione della responsabilità nei confronti dei terzi e le consente tra professionisti soltanto per i danni patrimoniali, nel limite delle somme assicurate. Il comma (4) stabilisce termini di prescrizione di 10 anni dalla conoscenza e di 30 anni dal fatto, identici a quelli della legge n. 703/2001 e giustificati dal carattere latente di taluni danni. Il comma (5) coordina l'articolo con la responsabilità per danno da prodotti difettosi (legge n. 240/2004 e il futuro recepimento della direttiva (UE) 2024/2853), che non esclude, ma con il divieto della doppia riparazione, evitando così la sovrapposizione normativa.

→ il testo dell’articolo L'articolo 36 impone l'assicurazione obbligatoria della responsabilità civile o una garanzia finanziaria equivalente, con soglie minime di 100 milioni di euro per i sistemi di categoria I e di 1 miliardo di euro per quelli di categoria II, e l'azione diretta della vittima contro l'assicuratore. Il modello è la legge n. 703/2001 (l'assicurazione o la garanzia finanziaria obbligatoria dell'operatore nucleare) e la legge n. 132/2017 sull'assicurazione obbligatoria della responsabilità civile auto (l'azione diretta della persona danneggiata contro l'assicuratore). Gli importi sono calibrati in base alla capacità finanziaria degli sviluppatori d'avanguardia (valutati centinaia di miliardi di dollari) e all'ampiezza dei danni possibili; i sistemi di categoria III non compaiono, perché non possono essere messi in esercizio. L'obbligo di assicurazione ha anche una funzione di regolamentazione indiretta: gli assicuratori imporranno, mediante le condizioni di sottoscrizione, standard di sicurezza che la legge non può dettagliare.

→ il testo dell’articolo L'articolo 37 stabilisce gli illeciti amministrativi, compresi, al comma (1), lettere e) e f), quelli relativi alla marcatura del contenuto generato, all'informazione dell'utente e al rappresentante per la conformità, per i quali il comma (2), seconda proposizione, prevede un massimo in somma fissa, più ridotto, quando il fatto è commesso da una persona che non ha la qualità di sviluppatore o di operatore di un sistema d'avanguardia, per l'esigenza di proporzionalità della sanzione. Gli illeciti amministrativi sono strutturati in gradi di gravità, con sanzioni amministrative pecuniarie percentuali sul fatturato mondiale (1-3%, 2-5%, 3-7%, 5-10%), secondo il modello dell'articolo 99 del regolamento sull'IA (fino al 7%) e dell'articolo 83 del RGPD (fino al 4%), e con sanzioni pecuniarie fisse per le persone senza fatturato (comma (2)). Il comma (3) prevede le sanzioni complementari, compresa la confisca dei pesi, sanzione specifica senza la quale la sanzione pecuniaria sarebbe soltanto un costo di transazione. Il comma (4) rinvia al regime generale dell'ordinanza del Governo n. 2/2001, con due deroghe formulate ai sensi dell'articolo 63 della legge n. 24/2000: l'esclusione della possibilità di pagare la metà del minimo della sanzione pecuniaria (articolo 28 dell'ordinanza), incompatibile con le sanzioni pecuniarie percentuali, e un termine di prescrizione di 5 anni in luogo di quello di 6 mesi (articolo 13, comma (1), dell'ordinanza), giustificato dalla complessità dell'accertamento. Gli illeciti amministrativi della presente legge non si sovrappongono a quelli del regolamento sull'IA: le sanzioni pecuniarie previste all'articolo 101 del regolamento sono applicate esclusivamente dalla Commissione, per la violazione degli obblighi del regolamento, mentre i presenti illeciti amministrativi sanzionano la violazione degli obblighi della legge (notifica, piano di sicurezza, separazione delle funzioni, sicurezza dei pesi, obblighi dei fornitori di infrastruttura), i quali non hanno corrispondente nel regolamento.

→ il testo dell’articolo L'articolo 38 apre una nuova sezione, «La cessazione della fornitura dei servizi e il blocco dell'accesso», la quale risponde a un limite pratico dell'intero regime: la maggior parte degli operatori dei sistemi d'avanguardia non ha sede, attivi o personale in Romania, di modo che le sanzioni pecuniarie percentuali e la responsabilità penale dei decisori possono rimanere senza effetto nei loro confronti. La sola leva reale dello Stato romeno nei confronti di un tale operatore è l'accesso agli utenti che si trovano sul suo territorio. Il comma (1) istituisce, di conseguenza, l'obbligo dell'operatore non conforme di cessare la fornitura del servizio alle persone che si trovano in Romania entro 15 giorni dalla comunicazione della decisione di accertamento della non conformità; l'obbligo non è una sanzione, bensì la conseguenza naturale del fatto che il servizio non soddisfa le condizioni legali di fornitura, secondo il modello del ritiro dal mercato dei prodotti non conformi (articolo 16 del regolamento (UE) 2019/1020 sulla vigilanza del mercato). Il comma (2) prevede la pubblicazione della decisione nell'Elenco degli operatori non conformi, strumento di trasparenza con duplice ruolo: l'informazione degli utenti e dei fornitori di comunicazioni e la creazione della premessa della conoscenza per il reato previsto all'articolo 43; il modello è l'elenco pubblico degli operatori di giochi d'azzardo non autorizzati tenuto dall'Ufficio nazionale per i giochi d'azzardo ai sensi dell'ordinanza d'urgenza del Governo n. 77/2009. Il comma (3) sanziona la prosecuzione della fornitura con una sanzione pecuniaria da 1.000.000 a 10.000.000 euro, in equivalente in lei, applicata per ciascun mese o frazione di mese di prosecuzione, fino alla conformazione o alla cessazione; il carattere periodico della sanzione pecuniaria è ripreso dall'istituto delle penalità di mora previste all'articolo 24 del regolamento (CE) n. 1/2003 e all'articolo 76 del regolamento (UE) 2022/2065 sui servizi digitali, ed è il solo che assicura l'efficacia nei confronti di un operatore con ricavi di miliardi. L'importo è espresso in euro, con pagamento in lei al cambio del giorno, tecnica ammessa dalla legge n. 24/2000 e utilizzata nella legislazione finanziaria. Il comma (4) disciplina la cancellazione al momento della conformazione, mentre il comma (5) estende il regime allo sviluppatore che offre direttamente l'accesso, al fine di evitare l'elusione mediante l'assenza di un operatore distinto.

→ il testo dell’articolo L'articolo 39 disciplina il blocco dell'accesso, quale misura amministrativa provvisoria, subordinata all'obbligo di cessazione. Il comma (1) lo subordina a una decisione motivata dell'Autorità e lo limita alla durata dell'iscrizione nell'elenco; il comma (2) lo pone in esecuzione mediante i fornitori di reti e di servizi di comunicazioni elettroniche, entro 48 ore, con il sostegno tecnico dell'ANCOM, secondo il meccanismo già funzionante nel diritto romeno per i siti di giochi d'azzardo non autorizzati (ordinanza d'urgenza del Governo n. 77/2009) e per i contenuti illegali (legge n. 365/2002, regolamento (UE) 2022/2065). Il comma (3) assicura la proporzionalità: il blocco riguarda esclusivamente il servizio non conforme, non l'intera attività dell'operatore, e cessa di diritto al momento della cancellazione. Il comma (4) è necessario per la compatibilità con il diritto dell'Unione: per i servizi forniti da un altro Stato membro, l'articolo 3, paragrafi 4-6, della direttiva 2000/31/CE sul commercio elettronico, recepita con la legge n. 365/2002, consente la restrizione della libera circolazione dei servizi della società dell'informazione soltanto per motivi di ordine pubblico, di sicurezza pubblica o di tutela della salute, mediante una misura proporzionata, adottata caso per caso e con la previa notifica dello Stato di origine e della Commissione; la legge rinvia espressamente a tale procedura. Il comma (5) garantisce l'accesso alla giustizia (articoli 21 e 52 della Costituzione): impugnazione entro 30 giorni dinanzi alla Corte d'appello di Bucarest, giudizio d'urgenza, senza sospensione dell'esecuzione, soluzione identica a quella dell'articolo 14, comma (4), e giustificata dalla natura preventiva della misura. Il comma (6) esonera i fornitori di comunicazioni dalla responsabilità per l'esecuzione della decisione, secondo il modello degli articoli 12-15 della direttiva 2000/31/CE (articolo 11 e seguenti della legge n. 365/2002).

→ il testo dell’articolo L'articolo 40 incrimina la messa in esercizio non autorizzata e la prosecuzione dell'esercizio dopo l'ordine di arresto, con la reclusione da 2 a 7 anni, rispettivamente da 5 a 12 anni se il fatto ha avuto come conseguenza la manifestazione di una capacità critica. L'incriminazione segue il modello dell'articolo 44 e seguenti della legge n. 111/1996 (lo svolgimento senza autorizzazione delle attività nucleari, punito con la reclusione). I limiti di pena sono quelli dei reati di pericolo grave del codice penale (per esempio, l'articolo 345 – l'inosservanza del regime dei materiali nucleari, 3-10 anni). La legge non modifica il codice penale, bensì istituisce reati in legge speciale, ai sensi dell'articolo 1, comma (1), della legge n. 24/2000 e della pratica costante della legislazione speciale (legge n. 111/1996, legge n. 535/2004 sulla prevenzione e il contrasto del terrorismo).

→ il testo dell’articolo L'articolo 41 incrimina il falso in valutazione e l'ostruzione del controllo. La presentazione di dati falsi relativi alle capacità ovvero la configurazione del sistema in modo tale da presentare ai valutatori capacità diverse da quelle reali (comma (1), 3-10 anni) è il reato specifico del regime: un sistema di autorizzazione basato sulle prove fornite dal richiedente non può funzionare se la loro falsificazione è soltanto un illecito amministrativo. Il modello è, nel diritto comparato, la sezione 1001 del titolo 18 del Codice degli Stati Uniti, che punisce con fino a 5 anni le dichiarazioni false rese alle autorità federali. La seconda ipotesi (la configurazione del sistema per ingannare la valutazione) risponde al precedente «Dieselgate» del 2015, nel quale i veicoli rilevavano le condizioni di prova e modificavano il proprio comportamento, e alla capacità critica dell'articolo 5, comma (2), lettera d). L'ostruzione dell'accesso e la distruzione dei registri (comma (2), 1-5 anni) seguono il modello dell'articolo 275 del codice penale (la sottrazione o la distruzione di prove o di documenti). Le rappresaglie contro gli informatori (comma (3), 6 mesi-3 anni o ammenda) completano la protezione dell'articolo 21; la legge n. 361/2022 sanziona le rappresaglie soltanto come illecito amministrativo, ciò che è insufficiente per un settore nel quale la posta in gioco del silenzio di un dipendente può essere di miliardi di euro.

→ il testo dell’articolo L'articolo 42 incrimina lo sviluppo dei sistemi vietati: l'addestramento, la progettazione o l'esercizio con dolo nelle condizioni vietate dall'articolo 15, dall'articolo 25, commi (2) e (3), dall'articolo 28 o dall'articolo 29 (comma (1), 3-10 anni); la divulgazione dei pesi dei sistemi di categoria II o III (comma (2), 5-15 anni), fatto la cui gravità si situa tra la divulgazione delle informazioni segrete di Stato (articolo 303 del codice penale) e il tradimento mediante trasmissione di informazioni segrete di Stato (articolo 395 del codice penale, 10-20 anni); e la forma aggravata, quando i fatti hanno avuto come conseguenza la morte, la lesione personale, un danno particolarmente grave o la perdita del controllo umano sul sistema (comma (3), 10-20 anni), con limiti corrispondenti ai reati contro la vita del codice penale. L'esigenza del dolo al comma (1) delimita il reato dall'illecito amministrativo dell'articolo 37, comma (1), lettera d), il quale sanziona le medesime violazioni commesse senza dolo.

→ il testo dell’articolo L'articolo 43 incrimina l'accesso, senza diritto, dal territorio della Romania, eludendo la misura di blocco, a un servizio iscritto nell'Elenco degli operatori non conformi, dopo la pubblicazione di quest'ultimo, con la reclusione da uno a 3 anni o con l'ammenda. La disposizione chiude il circuito di applicazione della legge: senza di essa, il blocco potrebbe essere aggirato con mezzi tecnici correnti (reti private virtuali, server intermedi), e l'operatore non conforme continuerebbe a servire gli utenti romeni. L'iniziatore è consapevole che l'incriminazione della condotta dell'utente è la disposizione più suscettibile di obiezioni di proporzionalità e l'ha per questo costruita con quattro garanzie cumulative: il fatto deve essere commesso «senza diritto»; deve consistere nell'elusione di una misura di blocco effettivamente disposta, quindi in una condotta attiva, e non in un semplice utilizzo; il servizio deve essere iscritto in un elenco pubblico, ciò che esclude l'errore sul carattere illecito; e la pena è alternativa (reclusione da uno a 3 anni o ammenda), con limiti prossimi a quelli del reato di accesso illegale a un sistema informatico dell'articolo 360, comma (1), del codice penale (3 mesi – 3 anni o ammenda), fatto al quale esso è strutturalmente simile. Il comma (2) esclude l'accesso a fini di valutazione, di ricerca o di esercizio delle attribuzioni di servizio, con la previa autorizzazione dell'Autorità, per non impedire proprio l'attività di sorveglianza. La responsabilità della persona giuridica è impegnata alle condizioni dell'articolo 135 del codice penale, senza che sia necessaria una norma speciale. Ai sensi dell'articolo 45, comma (1), tale reato è perseguito e giudicato secondo il diritto comune, non essendo giustificata la competenza della DIICOT.

→ il testo dell’articolo L'articolo 44 disciplina la responsabilità delle persone con funzioni decisionali. Il comma (1) precisa che i reati sono imputati alle persone fisiche che hanno disposto, approvato o tollerato, conoscendo le circostanze, la commissione dei fatti, indipendentemente dalla loro qualità e indipendentemente dalla responsabilità della persona giuridica, impegnata ai sensi dell'articolo 135 del codice penale; il testo non crea una forma nuova di partecipazione, bensì elimina la difesa della diffusione della responsabilità in strutture societarie complesse. Il comma (2) esclude la causa di non punibilità dell'ordine del superiore o dell'organo di amministrazione, secondo il modello dell'articolo 33 dello Statuto di Roma e dell'articolo 21, comma (2), del codice penale, il quale non riconosce l'ordine manifestamente illegale quale causa di giustificazione. La legge non contiene una norma propria relativa all'applicazione della legge penale nello spazio, poiché l'articolo 8, comma (4), del codice penale (il reato si considera commesso sul territorio della Romania anche quando il risultato si è prodotto, anche solo in parte, su tale territorio) e gli articoli 9-11 del codice penale (i principi della personalità, della realità e dell'universalità) sono sufficienti, e una norma di rinvio costituirebbe un parallelismo vietato dall'articolo 16 della legge n. 24/2000.

→ il testo dell’articolo L'articolo 45 stabilisce la competenza e le misure provvisorie. L'indagine penale spetta obbligatoriamente al procuratore della Direzione per le indagini sui reati di criminalità organizzata e terrorismo (comma (1)), struttura che ha già la competenza per i reati informatici e di terrorismo (articolo 11 dell'ordinanza d'urgenza del Governo n. 78/2016), mentre il giudizio in primo grado spetta al tribunale, secondo la regola generale dell'articolo 36, comma (1), lettera c), del codice di procedura penale per i reati attribuiti per legge alla sua competenza. Il comma (2) consente al procuratore di disporre, quale misura provvisoria, l'arresto del sistema, la sigillatura dell'infrastruttura e l'indisponibilizzazione dei pesi, con la conferma del giudice per i diritti e le libertà entro 48 ore, secondo il modello delle misure cautelari degli articoli 249 e seguenti del codice di procedura penale e della perquisizione informatica dell'articolo 168; la conferma giudiziaria rapida assicura la conformità con gli articoli 21 e 53 della Costituzione.

Capitolo VIII – Cooperazione internazionale. Disposizioni transitorie e finali (articoli 46-50)

→ il testo dell’articolo L'articolo 46 stabilisce gli obblighi di azione esterna del Governo: la promozione nell'ambito dell'Unione europea di un regime di autorizzazione preventiva equivalente e di una capacità europea comune di valutazione (comma (1)); la negoziazione, nell'ambito dell'ONU, del Consiglio d'Europa, della NATO e di altre organizzazioni, di un trattato relativo alla limitazione e alla verifica delle capacità di calcolo d'avanguardia, al divieto delle armi autonome letali e al divieto dei sistemi di categoria III, con relazione annuale al Parlamento (comma (2)); e la conclusione di accordi di riconoscimento reciproco delle valutazioni (comma (3)). L'articolo riconosce apertamente, secondo il principio dell'articolo 2, lettera g), che la legge nazionale non può risolvere da sola un problema globale; esso trasforma tuttavia tale constatazione in un obbligo di azione, e non in un motivo di inazione. Il modello storico è il Trattato di non proliferazione nucleare del 1968, il quale ha funzionato mediante il controllo dei materiali fissili e mediante le ispezioni dell'Agenzia internazionale per l'energia atomica; l'equivalente per l'intelligenza artificiale è il controllo e la verifica del calcolo, proposto nella letteratura specialistica sotto la denominazione di «compute governance» e sostenuto da Hinton, da Bengio e da numerosi ricercatori negli appelli pubblici del 2023-2025.

→ il testo dell’articolo L'articolo 47 istituisce la clausola di revisione a 2 anni, in base alla relazione dell'Autorità e al parere del Consiglio scientifico, e vieta che l'assenza di un metodo convalidato di controllo sia invocata quale motivo di allentamento del regime. La clausola di revisione periodica è imposta dall'articolo 7 della legge n. 24/2000 (la valutazione preliminare dell'impatto) e dal ritmo dell'evoluzione tecnologica; la seconda proposizione chiude tuttavia una via di elusione: l'argomento secondo cui «comunque non possiamo controllare i sistemi, dunque la regolamentazione è inutile», il quale trasformerebbe l'incertezza in permesso. La legge risponde che l'incertezza è il motivo della regolamentazione, non del suo abbandono.

→ il testo dell’articolo L'articolo 48 contiene le disposizioni transitorie, ai sensi dell'articolo 54 della legge n. 24/2000, e istituisce un termine unico di conformazione di 90 giorni dall'entrata in vigore per gli sviluppatori e gli operatori dei sistemi d'avanguardia in esercizio sul territorio della Romania o messi a disposizione delle persone che si trovano in Romania (comma (1)). In tale termine, i sistemi sono notificati all'Autorità e si deposita la domanda di autorizzazione, e i sistemi notificati possono essere mantenuti in esercizio fino alla decisione dell'Autorità, ma non oltre 12 mesi, a condizione del rispetto dei capitoli IV e V (comma (2)); si evitano così sia il vuoto di applicazione, sia l'interruzione brusca di servizi utilizzati da milioni di persone, ma si fissa un limite assoluto della tolleranza. Il comma (4) concede il medesimo termine di 90 giorni per l'adempimento degli obblighi di marcatura, di informazione e di designazione del rappresentante per la conformità, dovendo i corrispondenti illeciti amministrativi essere accertati soltanto dopo la scadenza di quest'ultimo. Il comma (3) prevede che le disposizioni relative alla cessazione della fornitura, al blocco e al reato di elusione (articoli 38, 39 e 43) si applichino soltanto dopo la scadenza del termine di 90 giorni, ciò che garantisce la prevedibilità per gli operatori e rispetta l'articolo 15, comma (2), della Costituzione. Il termine di 90 giorni è quello usuale nella legislazione romena per la conformazione a nuovi requisiti di autorizzazione ed è sufficiente per il deposito della documentazione, poiché gli sviluppatori d'avanguardia dispongono già delle valutazioni interne richieste dal regolamento sull'IA. Il comma (4) affida al presidente dell'ANCOM il ricevimento delle notifiche fino alla nomina da parte del Parlamento del vicepresidente per la sicurezza dell'intelligenza artificiale, di modo che il termine di conformazione decorra dall'entrata in vigore, senza dipendere dalla procedura di nomina.

→ il testo dell’articolo L'articolo 49 prevede le misure di organizzazione e le norme di attuazione: la nomina da parte del Parlamento del vicepresidente per la sicurezza dell'intelligenza artificiale e l'integrazione della struttura organizzativa e del regolamento di organizzazione e funzionamento dell'ANCOM con l'Autorità, mediante decisione del presidente dell'ANCOM pubblicata nella Gazzetta ufficiale, entro 90 giorni, e le norme metodologiche entro 180 giorni, con l'enumerazione precisa dell'oggetto di queste ultime (la procedura di autorizzazione, gli standard di valutazione, di sicurezza dei pesi e di capacità di arresto, l'elenco delle capacità critiche e i livelli di significatività, la soglia dell'infrastruttura, le tasse e l'assicurazione). La delega al Governo è limitata ad aspetti tecnici e di procedura, in accordo con la giurisprudenza della Corte costituzionale secondo la quale gli elementi essenziali della regolamentazione devono essere stabiliti per legge (per esempio, la decisione n. 51/2016), essendo tutti gli elementi essenziali – obblighi, divieti, sanzioni, soglie – contenuti nella legge.

→ il testo dell’articolo L'articolo 50 stabilisce l'entrata in vigore a 30 giorni dalla pubblicazione, con l'eccezione delle disposizioni penali, che entrano in vigore a 6 mesi, ai sensi dell'articolo 78 della Costituzione e dell'articolo 12 della legge n. 24/2000 e nel rispetto del principio di prevedibilità della legge penale (articolo 7 della Convenzione europea dei diritti dell'uomo). Il termine di 6 mesi consente agli sviluppatori e agli operatori di adattare la propria condotta prima che l'inosservanza della legge comporti la responsabilità penale. La formula finale di attestazione dell'adozione, prevista agli articoli 40 e 46 della legge n. 24/2000, indica il rispetto dell'articolo 75 e dell'articolo 76, comma (1), della Costituzione, essendo la legge organica in quanto disciplina reati e pene (articolo 73, comma (3), lettera h)) e modifica, in deroga, l'organizzazione di un'autorità amministrativa autonoma istituita con legge organica (articolo 117, comma (3)).

3. Conformità con le norme di tecnica legislativa (legge n. 24/2000)

Il progetto è stato redatto nel rispetto rigoroso della legge n. 24/2000, ripubblicata, come segue. La motivazione e la valutazione preliminare dell'impatto (articoli 6, 7 e 30-31) sono contenute nella presente relazione illustrativa, con l'analisi della situazione attuale, dei modelli comparati e degli effetti. L'integrazione nel sistema legislativo (articolo 13) è assicurata mediante il riferimento espresso al regolamento sull'IA (articolo 1, comma (3), della legge) e mediante le norme di rinvio agli atti connessi. L'evitamento dei parallelismi (articolo 16) ha formato oggetto di un'analisi distinta, presentata al punto 3 della Sezione 5: nessuna regolamentazione esistente è ripresa, bensì è richiamata mediante rinvio, e le deroghe sono formulate espressamente con la formula «in deroga a», ai sensi dell'articolo 63. L'unità terminologica (articolo 37) è assicurata mediante le definizioni dell'articolo 3, le quali riprendono mediante rinvio le nozioni consacrate dal diritto dell'Unione e definiscono autonomamente, con giustificazione, le nozioni nuove («sistema d'avanguardia», «pesi», «operatore»/«exploatant», «messa in esercizio»), evitando i termini con significato diverso nel regolamento sull'IA («operatore», «fornitore», «messa in servizio»). Lo stile normativo (articoli 36 e 38) è dispositivo, al tempo presente, senza spiegazioni tra parentesi e senza neologismi non consacrati; tutti i termini tecnici utilizzati nella parte dispositiva («pesi», «architettura», «addestramento», «messa a punto», «apprendimento per rinforzo», «esfiltrazione», «replicazione autonoma», «autoperfezionamento ricorsivo», «dissimulazione delle capacità», «sottrazione alla sorveglianza», «resistenza all'arresto», «strumento esterno», «ambiente autorizzato di esercizio» e gli altri) sono definiti all'articolo 3, strutturato in due commi – nozioni-oggetto e, rispettivamente, operazioni e comportamenti – affinché ciascuna enumerazione rimanga nel limite delle lettere dell'alfabeto e affinché l'elemento materiale dei divieti e dei reati abbia un contenuto normativo preciso. Le parti costitutive (articoli 40-46) sono: il titolo, il preambolo (consentito dall'articolo 43 per enunciare sinteticamente la motivazione, secondo il modello delle leggi di particolare importanza), la formula introduttiva, la parte dispositiva e la formula di attestazione della legalità dell'adozione. La struttura della parte dispositiva (articoli 47-56) rispetta l'ordine disposizioni generali – disposizioni di merito – disposizioni transitorie – disposizioni finali, con capitoli numerati in cifre romane e sezioni in cifre arabe; gli articoli sono numerati in modo continuo, i commi con cifre arabe tra parentesi, le enumerazioni con lettere, e nessuna enumerazione contrassegnata da lettera comprende un'altra enumerazione (articolo 49, comma (3)); gli articoli non recano denominazioni marginali, poiché l'articolo 47, comma (3), le riserva ai codici e alle leggi di grande estensione. Le norme di rinvio (articolo 50) indicano gli elementi completi di identificazione degli atti ai quali si rinvia, e le deleghe al Governo (articolo 49) sono limitate ad aspetti di procedura e tecnici. La legge non modifica e non abroga espressamente altri atti normativi, di modo che non sono applicabili gli articoli 58-70; le deroghe puntuali sono consentite dall'articolo 63 e non incidono sul testo degli atti ai quali si deroga.

Sezione 3 – Impatto socioeconomico del progetto di atto normativo

Sezione 4 – Impatto finanziario sul bilancio generale consolidato, sia nel breve termine, per l'anno in corso, sia nel lungo termine (5 anni)

L'impatto finanziario consiste nelle spese di organizzazione e di funzionamento dell'Autorità per la sicurezza dell'intelligenza artificiale, nell'ambito dell'ANCOM, stimate per un effettivo di circa 80 posti, di cui almeno 50 specialisti tecnici reclutati per concorso e remunerati a livello di mercato, e nelle spese per l'infrastruttura di calcolo necessaria alle valutazioni. L'organizzazione nell'ambito dell'ANCOM, autorità finanziata integralmente con risorse proprie, riduce i costi di istituzione (sede, funzioni di supporto, sistemi informatici) e non grava sul bilancio dello Stato; le entrate provengono dal bilancio dell'ANCOM, dalle tasse di notifica, di valutazione e di autorizzazione e dalla quota del 50% delle sanzioni pecuniarie. Le stime che seguono, espresse in milioni di lei, sono indicative e saranno definite dal Ministero delle Finanze in sede di parere.

Sezione 5 – Effetti del presente atto normativo sulla legislazione in vigore

a) atti normativi in vigore che saranno modificati o abrogati in conseguenza dell'entrata in vigore del progetto di atto normativo

Il progetto non modifica e non abroga espressamente alcun atto normativo. Mediante la tecnica della norma di rinvio e della deroga espressa, esso produce i seguenti effetti sulla legislazione in vigore:

Ordinanza d'urgenza del Governo n. 27/2003 sulla procedura di approvazione tacita – deroga espressa (articolo 9, comma (4), della legge): l'assenza di risposta dell'Autorità non equivale ad autorizzazione tacita; 1 deroga.

Ordinanza d'urgenza del Governo n. 22/2009 sull'istituzione dell'Autorità nazionale per l'amministrazione e la regolamentazione nelle comunicazioni – deroga espressa (articolo 31, comma (2), della legge) all'articolo 11, comma (1): un vicepresidente supplementare, per la sicurezza dell'intelligenza artificiale, nominato dal Parlamento alle medesime condizioni; 1 deroga. La legge quadro n. 153/2017 non è interessata, essendo il personale dell'ANCOM escluso dalla sua applicazione dall'articolo 2, comma (2), di quest'ultima.

Legge sul contenzioso amministrativo n. 554/2004 – deroga espressa (articolo 26, comma (6), della legge): le impugnazioni contro le decisioni delle autorità pubbliche previste all'articolo 26 sono giudicate dal tribunale del domicilio della persona, con appello dinanzi alla corte d'appello; 1 deroga.

Ordinanza del Governo n. 2/2001 sul regime giuridico degli illeciti amministrativi – deroghe espresse (articolo 37, comma (4), della legge) all'articolo 28 (il pagamento della metà del minimo della sanzione pecuniaria) e all'articolo 13, comma (1) (il termine di prescrizione dell'applicazione della sanzione); 2 deroghe.

Legge n. 361/2022 sulla protezione degli informatori nell'interesse pubblico – integrazione dell'ambito di applicazione mediante norma di rinvio (articolo 21 della legge), senza modifica del testo; il regime di protezione è esteso alle segnalazioni relative ai rischi per la sicurezza e alla dissimulazione delle capacità.

Ordinanza d'urgenza del Governo n. 78/2016 per l'organizzazione e il funzionamento della Direzione per le indagini sui reati di criminalità organizzata e terrorismo – integrazione della competenza mediante legge speciale (articolo 45, comma (1), della legge), ai sensi dell'articolo 11, comma (1), dell'ordinanza, il quale prevede la competenza della DIICOT anche per i reati attribuiti alla sua competenza da leggi speciali.

Regolamento (UE) 2016/679 (articolo 22) e legge n. 190/2018 – norme di rinvio (articolo 26, comma (8), della legge), senza modifica.

Regolamento (UE) 2022/2065 sui servizi digitali – norma di coordinamento (articolo 27, comma (6), della legge): la legge non aggiunge obblighi ai fornitori di servizi intermediari nell'ambito armonizzato, senza modifica.

Regolamento (UE) 2024/1689, articolo 50 (trasparenza) e articolo 54 (il rappresentante autorizzato), regolamento (UE) 2016/679, articolo 27, e regolamento (UE) 2022/2065, articolo 13 – norme di coordinamento (articolo 17, comma (6), articolo 18, comma (5), e articolo 19, comma (6), della legge): la legge non riproduce gli obblighi armonizzati, bensì stabilisce l'autorità competente e le sanzioni, ai sensi dell'articolo 99 del regolamento sull'IA, e istituisce il rappresentante per la conformità in Romania per il proprio regime, senza modifica degli atti dell'Unione.

Legge n. 365/2002 sul commercio elettronico, ripubblicata – norma di rinvio (articolo 39, comma (4), della legge) per la procedura di restrizione della libera circolazione dei servizi della società dell'informazione forniti da altri Stati membri, senza modifica.

Codice civile (articolo 1376), codice penale (articolo 135), codice di procedura penale (articoli 36, 168, 249), legge n. 182/2002, ordinanza d'urgenza del Governo n. 155/2024, legge n. 240/2004 – norme di rinvio, senza modifica.

In sintesi: 0 atti abrogati, 0 atti modificati nel testo, 5 deroghe espresse, 3 integrazioni di ambito mediante norma di rinvio, 3 norme di coordinamento con il diritto dell'Unione.

b) atti normativi che saranno elaborati a seguito dell'attuazione delle nuove disposizioni

Delibera del Parlamento per la nomina del vicepresidente dell'ANCOM per la sicurezza dell'intelligenza artificiale e decisione del presidente dell'ANCOM per l'integrazione della struttura organizzativa e del regolamento di organizzazione e funzionamento con l'Autorità (articolo 49, comma (1), termine 90 giorni).

Delibera del Governo per l'approvazione delle Norme metodologiche di attuazione della legge: la procedura di notifica e di autorizzazione, gli standard di valutazione, di sicurezza dei pesi e di capacità di arresto, l'elenco delle capacità critiche e i livelli di significatività, la soglia dell'infrastruttura di calcolo di grande capacità, l'importo delle tasse e dell'assicurazione obbligatoria (articolo 49, comma (2), termine 180 giorni).

Decisione del presidente dell'ANCOM relativa al livello di remunerazione del personale specializzato dell'Autorità, in base allo studio di mercato pubblicato (articolo 33, comma (3)); il bando e il regolamento del concorso per il personale specializzato (articolo 33, commi (1) e (2)).

Delibera del Consiglio supremo di difesa del Paese relativa agli adattamenti applicabili ai sistemi del settore della difesa e della sicurezza nazionale (articolo 23).

Delibere del Governo di adeguamento periodico della soglia di calcolo, su proposta dell'Autorità (articolo 6, comma (2)).

La legge di attuazione del regolamento (UE) 2024/1689, in corso di elaborazione da parte del Governo, dovrà essere coordinata con la presente legge in materia di cooperazione tra le autorità designate e l'Autorità (articolo 31, comma (3)).

c) Analisi dei parallelismi legislativi (articolo 16 della legge n. 24/2000)

Ai sensi dell'articolo 16, comma (1), della legge n. 24/2000, «nel processo di legiferazione è vietata l'istituzione delle medesime regolamentazioni in più articoli o commi del medesimo atto normativo ovvero in due o più atti normativi», e per sottolineare le connessioni legislative si utilizza la norma di rinvio. Ciascuna disposizione del progetto è stata verificata in rapporto alla legislazione in vigore, con i risultati sintetizzati nella tabella seguente.

Sezione 6 – Consultazioni effettuate ai fini dell'elaborazione del progetto di atto normativo

Sezione 7 – Attività di informazione pubblica relative all'elaborazione e all'attuazione del progetto di atto normativo

Sezione 8 – Misure di attuazione

Alla luce di quanto esposto, è stata elaborata l'allegata proposta legislativa, che sottoponiamo al Parlamento per il dibattito e l'adozione.

Iniziatore,

NOTA DOCUMENTARIA

Le fonti prese in considerazione nell'elaborazione della proposta

1. Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull'intelligenza artificiale, GU L, 12.7.2024 – in particolare gli articoli 2, 3, 5, 14, 51-56, 68, 72-73, 78, 87, 99-101 e l'allegato XIII.

2a. Dario Amodei, «We Must Pace the Frontier», 12 settembre 2026 (darioamodei.com); i resoconti di VentureBeat, TechRadar, Newsweek, The Spokesman-Review del 12 settembre 2026 relativi al saggio, all'incidente Hugging Face e alle reazioni di Sam Altman e di Elon Musk; l'intervista di Sam Altman a Fortune (13 settembre 2026), citata da Bloomberg e da Business Standard.

2g. Repubblica di Corea – «Framework Act on the Development of Artificial Intelligence and Establishment of Trust» (Legge quadro sullo sviluppo dell'intelligenza artificiale e sull'instaurazione della fiducia), in vigore dal 22 gennaio 2026: l'obbligo di etichettatura del contenuto generato dall'intelligenza artificiale generativa, l'obbligo di informazione preventiva degli utenti e l'obbligo dei fornitori stranieri di designare un rappresentante locale per la conformità; la traduzione ufficiale in lingua inglese pubblicata dal Center for Security and Emerging Technology, Georgetown University, https://cset.georgetown.edu/wp-content/uploads/t0625_south_korea_ai_law_EN.pdf; analisi: Future of Privacy Forum, https://fpf.org/blog/south-koreas-new-ai-framework-act-a-balancing-act-between-innovation-and-regulation/ ; Cooley LLP, 27 gennaio 2026, https://www.cooley.com/news/insight/2026/2026-01-27-south-koreas-ai-basic-act-overview-and-key-takeaways.

2h. Regolamento (UE) 2024/1689, articolo 50 (obblighi di trasparenza, applicabile dal 2 agosto 2026) e articolo 54 (il rappresentante autorizzato dei fornitori di modelli per finalità generali stabiliti in Stati terzi); il codice di buone pratiche della Commissione europea sulla trasparenza del contenuto generato dall'intelligenza artificiale (progetto, 2026).

2f. Yoshua Bengio, intervista concessa alla pubblicazione The Guardian (Dan Milmo), 16 settembre 2026, relativa all'avvicinarsi di un momento di svolta della regolamentazione, comparabile a quello della pandemia; la lettera di 42 membri e membri stranieri della Royal Society del Regno Unito relativa all'«estrema preoccupazione» per il ritmo dello sviluppo; il resoconto di Digi24 del 16 settembre 2026, https://www.digi24.ro/stiri/sci-tech/lumea-digitala/nasul-inteligentei-artificiale-spune-ca-reglementarea-ai-se-apropie-de-un-punct-de-cotitura-similar-cu-cel-al-pandemiei-de-covid-3950743; Time, «The AI Tipping Point», 15 settembre 2026, relativo alle proposte legislative in discussione nel Congresso degli Stati Uniti.

2e. Il dibattito pubblico del settembre 2026: le dimissioni pubbliche del ricercatore Jacob Coxon (Anthropic), 8 settembre 2026, e le reazioni dei responsabili dei dipartimenti di allineamento e di ricerca di Anthropic e di OpenAI – i resoconti di CBC News, Time (15 settembre 2026), Forbes e Fortune (9-10 settembre 2026); le posizioni espresse alla conferenza annuale Salesforce di San Francisco, 15 settembre 2026, da Sam Altman, Mark Zuckerberg, Jensen Huang, Jack Clark e Dario Amodei – i resoconti di BBC News (16 settembre 2026), The Irish Times, CNBC e Forbes.

2c. La cronologia dell'incidente dell'estate dell'anno 2026 (l'evasione degli agenti dall'ambiente di prova di OpenAI e la compromissione della piattaforma Hugging Face): Cloud Security Alliance, «The Great Sandbox Escape» (28 luglio 2026), https://cloudsecurityalliance.org/blog/2026/07/28/openai-and-hugging-face-security-incident-inside-the-great-sandbox-escape; Malwarebytes Labs, «The AI agent swarm that attacked Hugging Face is a warning for the future» (agosto 2026), https://www.malwarebytes.com/blog/ai/2026/08/the-ai-agent-swarm-that-attacked-hugging-face-is-a-warning-for-the-future; Axios, «OpenAI Hugging Face breach exposes AI agent security limits» (1 settembre 2026), https://www.axios.com/2026/09/01/openai-hugging-face-ai-agent-security; TechCrunch, «OpenAI’s rogue agents keep escaping, with no formal process to investigate them» (4 settembre 2026), https://techcrunch.com/2026/09/04/openais-rogue-agents-keep-escaping-with-no-formal-process-to-investigate-them/; Noma Security, «The Great (Sandbox) Escape» (2026), https://noma.security/blog/the-great-sandbox-escape-analyzing-the-openai-hugging-face-security-incident; la dichiarazione congiunta OpenAI – Hugging Face del 21 luglio 2026.

2d. Proposte legislative depositate nel Congresso degli Stati Uniti d'America come reazione all'incidente: «AI Kill Switch Act» (23 luglio 2026) e «Ban Artificial Superintelligence Act» (3 settembre 2026); la lettera aperta di oltre 1.100 dipendenti dei laboratori d'avanguardia relativa ai meccanismi di moderazione del ritmo di sviluppo (28 luglio 2026).

2b. Il senatore Alex Antic (Senato dell'Australia), discorso parlamentare diffuso pubblicamente nel 2026 relativo alla «prigione digitale» (l'economia dell'abbonamento, l'identità digitale, la conformazione quale prezzo della partecipazione alla società), https://www.facebook.com/reel/1059873890017722/.

2. CNN, «Amanpour», 2 maggio 2023 – intervista con Geoffrey Hinton e Connor Leahy («We do not know how to control these things»; Hinton: la scomparsa dell'umanità «non è inconcepibile»; Leahy: «purtroppo, piuttosto probabile»).

3. Center for AI Safety, «Statement on AI Risk», 30 maggio 2023; le dichiarazioni pubbliche di Geoffrey Hinton (BBC, dicembre 2024; CBS, aprile 2025) relative alla probabilità del 10-20% e al paragone con il «cucciolo di tigre»; «International AI Safety Report», gennaio 2025 (coord. Y. Bengio); RAND Corporation, «Securing AI Model Weights», 2024; la lettera «A Right to Warn about Advanced Artificial Intelligence», 4 giugno 2024.

4. ANCOM, comunicato «Il regolamento sull'intelligenza artificiale in Romania – lo stato attuale del quadro di attuazione» (luglio 2026); la stampa specializzata (Juridice.ro, Bursa.ro, agosto 2026) relativa all'impossibilità di sanzionare fino all'adozione della legge nazionale.

5. California SB 53 – Transparency in Frontier Artificial Intelligence Act (29 settembre 2025); l'Ordine esecutivo degli USA n. 14110 (30 ottobre 2023, revocato nel gennaio 2025); le Misure provvisorie della Repubblica popolare cinese sui servizi di IA generativa (15 agosto 2023); la Convenzione quadro del Consiglio d'Europa sull'intelligenza artificiale (CETS n. 225, 2024); la risoluzione dell'AG ONU 78/241 (22 dicembre 2023); l'appello congiunto del Segretario generale dell'ONU e del Comitato internazionale della Croce Rossa (5 ottobre 2023).

6. Legge n. 24/2000 sulle norme di tecnica legislativa per l'elaborazione degli atti normativi, ripubblicata, con le successive modifiche e integrazioni – in particolare gli articoli 6, 7, 13, 16, 30-31, 36-38, 40-56, 63; decisione del Governo n. 561/2009 per l'approvazione del Regolamento relativo alle procedure, a livello del Governo, per l'elaborazione, il parere e la presentazione dei progetti di documenti di politiche pubbliche, dei progetti di atti normativi, nonché di altri documenti, ai fini dell'adozione/approvazione – allegato n. 1 (la struttura della relazione illustrativa).

7. Costituzione della Romania, ripubblicata (articoli 1, 22, 34, 53, 73, 75, 76, 78, 117, 119, 142, 148); codice civile (articoli 11, 25, 1246-1250, 1376); codice penale (articoli 8, 9-11, 21, 135, 275, 303, 345, 395); codice di procedura penale (articoli 36, 168, 249); legge n. 111/1996; legge n. 703/2001; legge n. 182/2002; legge n. 415/2002; legge n. 240/2004; legge n. 95/2006; legge n. 190/2018; legge n. 129/2019; legge n. 361/2022; legge n. 365/2002; legge quadro n. 153/2017; OUG n. 77/2009; OG n. 2/2001; OUG n. 27/2003; OUG n. 78/2016; OUG n. 155/2024; OUG n. 195/2005.

8. Giurisprudenza: CGUE, C-157/96, National Farmers' Union (1998); Tribunale dell'UE, T-13/99, Pfizer Animal Health (2002); Corte costituzionale della Romania, decisione n. 51/2016 (la chiarezza e la prevedibilità della legge).