La Legge sull’IA Più Severa degli USA è Realtà. I Tuoi Fornitori Sono Pronti?

• Fatto: L’Illinois ha approvato la SB 315 con 110 voti a favore e zero contrari — la prima legge statunitense che impone audit annuali indipendenti di terze parti ai sviluppatori di IA di frontiera come OpenAI, Anthropic e Google.

• Impatto: Entro il 2028, ogni grande fornitore di modelli IA dovrà pubblicare un framework di sicurezza, superare audit annuali e proteggere i whistleblower interni — offrendo alle imprese acquirenti una reale leva contrattuale sui propri fornitori.

• Sorpresa: OpenAI e Anthropic hanno pubblicamente sostenuto la legge. Quando le aziende che sviluppano l’IA più potente al mondo chiedono di essere regolamentate, è un segnale di mercato che vale la pena decodificare.

Negli Stati Uniti ci sono 50 parlamenti statali. Uno di loro ha appena votato 110 a zero. Questo tipo di unanimità non nasce dalla confusione o dal teatro politico — riflette un consenso sul fatto che qualcosa doveva cambiare, e che nessuno in quella sala voleva trovarsi dalla parte sbagliata della storia.

Il 27 maggio 2026, la Camera dei rappresentanti dell’Illinois ha approvato la SB 315, l’Artificial Intelligence Safety Measures Act, senza un solo voto contrario. Il governatore JB Pritzker ha dichiarato di avere intenzione di firmarla. Quando lo farà, l’Illinois diventerà il primo Stato americano a imporre audit annuali indipendenti ai laboratori di IA più potenti del Paese.

Cosa chiede concretamente la SB 315 alle aziende di IA

La legge è volutamente circoscritta. Non intende regolamentare ogni chatbot o prodotto aziendale che utilizza il machine learning. Si rivolge agli sviluppatori di IA di frontiera — le aziende che creano i modelli fondazionali più grandi e capaci. OpenAI, Anthropic, Google: i laboratori su cui poggia la maggior parte dell’infrastruttura IA aziendale.

Entro il 2028, le aziende nel perimetro della legge dovranno soddisfare quattro requisiti. Primo, pubblicare e aggiornare annualmente un Frontier AI Framework — un documento pubblico che copra valutazione dei rischi catastrofici, strategie di mitigazione, protocolli di cybersecurity, governance interna e risultati delle valutazioni esterne. Secondo, sottoporsi ad audit indipendenti annuali di quel framework — il primo obbligo del genere in qualsiasi legge statale americana. Terzo, istituire protezioni per i whistleblower interni che segnalino violazioni di sicurezza. Quarto, presentare dichiarazioni di divulgazione e pagare le relative commissioni regolamentari.

L’applicazione spetta al Procuratore Generale dell’Illinois. Le sanzioni civili raggiungono i 3 milioni di dollari per violazione. Puoi seguire l’iter del progetto di legge su NBC News.

Perché OpenAI e Anthropic hanno sostenuto questa legge?

Il dettaglio più controintuitivo della storia della SB 315 è la reazione del settore. OpenAI e Anthropic hanno entrambe sostenuto pubblicamente la legislazione prima del voto. Google, xAI e Meta non hanno risposto alle richieste di commento.

Ciò che colpisce di questa mossa non è la filosofia della sicurezza, ma la dinamica competitiva. Un framework di audit obbligatorio crea un’infrastruttura di conformità che i laboratori di frontiera ben finanziati possono assorbire — ma che i concorrenti più piccoli potrebbero non riuscire a sostenere. Quando un operatore consolidato appoggia un onere regolamentare, vale la pena chiedersi chi beneficia di più dall’esistenza di quell’onere.

Esiste anche una lettura più benevola. Dopo anni di impegni volontari sulla sicurezza con credibilità calante, gli audit di terze parti offrono agli acquirenti aziendali qualcosa di verificabile. I mercati finanziari giunsero alla stessa conclusione con i revisori indipendenti negli anni Trenta. La governance dell’IA sta arrivando alla medesima conclusione, novant’anni dopo.

Per i team che stanno già costruendo framework di governance IA e strategie di trasformazione aziendale, la SB 315 è il primo ancoraggio esterno per le politiche interne di responsabilità.

DIAGNOSI GRATUITA — Stai costruendo il tuo framework di governance dei fornitori IA? Come funziona Transform → ✓ 30 min  ✓ Gratuito  ✓ Direttore IA dedicato

Cosa devono fare le imprese acquirenti prima del 2028

La data di entrata in vigore sembra lontana. Non lo è. Le aziende coperte dalla SB 315 dovranno sviluppare architetture di conformità ben prima della scadenza — il che significa che gli acquirenti aziendali possono cominciare a esigere risposte dai fornitori già oggi.

Per un COO o un CTO che valuta fornitori di IA, la SB 315 crea un nuovo filtro di approvvigionamento. Il tuo fornitore ha un framework di sicurezza pubblicato? Una parte indipendente ha esaminato la sua metodologia di valutazione dei rischi? Dispone di protezioni documentate per i whistleblower? Sono le stesse domande che faresti a un responsabile del trattamento dei dati soggetto al GDPR o a un fornitore SaaS con certificazione SOC 2 — solo che, fino ad ora, la maggior parte degli acquirenti di IA non le poneva affatto.

Ciò che osserviamo in Epinium è che le aziende spesso si affrettano a distribuire strumenti di IA prima di aver stabilito come dovrebbe apparire la responsabilità dei fornitori. La SB 315 ridefinisce quel punto di partenza: gli acquirenti hanno ora un ancoraggio legale per esigere trasparenza, non solo richiederla.

Dati Epinium

In oltre cinque anni di progetti di trasformazione IA con brand in Europa e America Latina, meno di una su cinque aziende di medie dimensioni è arrivata con la documentazione interna necessaria per valutare la postura di sicurezza IA di un fornitore. La SB 315 non regolerà solo i laboratori — costringerà anche gli acquirenti a migliorare la propria due diligence.

La pressione normativa si accelera su tutti i fronti. Trentotto stati americani hanno approvato legislazione relativa all’IA nel 2026. La Casa Bianca ha pubblicato un framework legislativo nazionale sull’IA nel marzo 2026. Il voto di 110-0 in Illinois segnala qualcosa che sarebbe sembrato politicamente impossibile tre anni fa: la regolamentazione dell’IA è ora gestione standard del rischio, non un dibattito ideologico.

Cinque domande che pongono i team aziendali

La SB 315 riguarda le aziende che usano strumenti di IA o solo quelle che sviluppano modelli?

La SB 315 si rivolge direttamente agli sviluppatori di IA di frontiera — i laboratori che creano grandi modelli fondazionali — non alle imprese che licenziano quei modelli. Tuttavia gli acquirenti ne beneficiano indirettamente: una volta che il fornitore di IA è legalmente obbligato a pubblicare un framework di sicurezza e a superare audit annuali, si acquisisce una leva contrattuale in fase di procurement che in precedenza non esisteva.

Quali aziende di IA rientrano effettivamente nel perimetro di questa legge?

La legge mira agli sviluppatori dei modelli fondazionali più capaci — OpenAI, Anthropic, Google DeepMind e qualsiasi altro laboratorio che superi la soglia di capacità di frontiera. Le applicazioni di IA specializzate, il software aziendale e i modelli più piccoli al di sotto di quella soglia non sono direttamente coperti.

La mia azienda opera fuori dall’Illinois. La SB 315 è comunque rilevante?

Sì. Se il tuo fornitore di IA serve clienti dell’Illinois o vi opera, la legge si applica a lui — e la sua postura di conformità influenza la tua scelta di fornitore. Oltre a ciò, il voto di 110-0 accelererà probabilmente legislazioni simili in altri stati e, alla fine, a livello federale. Costruire framework di governance ora è molto meno costoso che reagire a un patchwork di leggi statali contraddittorie nel 2027.

La data di entrata in vigore è il 2028. Dovremmo aspettare a vedere?

È l’approccio sbagliato. Usa la scadenza del 2028 come leva di approvvigionamento oggi. Inizia a chiedere ai tuoi fornitori attuali di IA le bozze dei loro framework di sicurezza. Esigi da qualsiasi nuovo fornitore che illustri la propria preparazione agli audit. Le aziende che avviano queste conversazioni in anticipo avranno contratti più solidi quando partirà l’applicazione.

Ci sono grandi fornitori di IA esenti dalla SB 315?

Gli sviluppatori di modelli open source, le aziende al di sotto della soglia di capacità di frontiera e quelle che usano modelli in licenza come componenti di prodotto non sono direttamente soggetti alla legge. Tuttavia, i requisiti di conformità ricadono sui laboratori i cui modelli sostengono la maggior parte dei deployment IA aziendali su larga scala — quindi pochi acquirenti seri sono davvero isolati dagli effetti a valle.

La SB 315 non risolverà le domande più profonde sulla sicurezza dell’IA — nessuna singola legge statale potrebbe farlo. Ma stabilisce qualcosa di significativo: consenso bipartisan unanime, in un grande stato americano, sulla necessità che i laboratori di IA più potenti al mondo aprano le loro pratiche di sicurezza al controllo indipendente. Quel segnale si propaga ben oltre i confini dell’Illinois.

Le aziende attente stanno già aggiornando i propri framework di valutazione dei fornitori e le politiche di approvvigionamento IA. Quelle che aspettano la certezza si troveranno a reagire secondo il calendario degli altri.

Pronto a costruire un framework di governance IA prima che arrivino i regolatori? Epinium Transform aiuta gli operatori di brand e le aziende di medie dimensioni a progettare le strutture interne che trasformano la nuova regolamentazione IA da un onere di conformità in un vantaggio competitivo. Prenota la tua diagnosi IA gratuita → 30 min · Gratuito · Diagnosi personalizzata