AI Act, CRA, riforma CEMAC: da una stratificazione di norme a un unico piano d'azione

Il calendario normativo di luglio 2026 sembra un condensato del decennio. Il 2 agosto entra in applicazione una nuova fase del regolamento europeo sull'intelligenza artificiale: gli obblighi di trasparenza dell'articolo 50 (segnalazione dei contenuti generati, sistemi conversazionali, deepfake) e i poteri sanzionatori della Commissione sui modelli per finalità generali, con multe fino a 15 milioni di euro o al 3% del fatturato mondiale.

Tre settimane prima, il 13 luglio, l'ENISA aveva pubblicato un modello di autovalutazione della maturità di ciber-resilienza delle PMI, allineato al Cyber Resilience Act: cinque ambiti valutati, dalla governance al ciclo di vita del prodotto, uno strumento scaricabile, una classificazione in maturità di base, intermedia o avanzata. E a Libreville la COBAC apriva le offerte per una gara internazionale volta a rivedere i propri testi organici ed elaborare una legge bancaria unica per i sei paesi della CEMAC, destinata a sostituire il quadro derivante dalle convenzioni del 1990 e del 1992.

L'agenzia ha da allora precisato il dispositivo di segnalazione stesso: una scheda e due guide passo passo relative alla propria piattaforma unica, pubblicate a luglio 2026 e aggiornate il 31, mentre la piattaforma non è ancora aperta. Dovrà esserlo l'11 settembre, lo stesso giorno in cui l'obbligo diventa applicabile. La conseguenza pratica per un fabbricante si riassume in una riga: l'account EU Login che apre l'accesso si crea già ora, il periodo di prova, invece, non si improvvisa.

Tre regolatori, tre geografie, tre argomenti. Vista da una direzione generale, sono tre nuovi cantieri che si aggiungono a quelli già esistenti: NIS2, CSRD, EUDR, a seconda del settore. È ciò che le direzioni conformità chiamano, con crescente stanchezza, la stratificazione.

Di fronte a ogni nuovo testo, il riflesso istituzionale è sempre lo stesso: un progetto dedicato, un responsabile dedicato, uno studio di consulenza dedicato, un foglio di calcolo dedicato. Questo riflesso ha una sua logica, dato che ogni testo ha un proprio regolatore e proprie sanzioni. Ha soprattutto un costo, che poche organizzazioni misurano.

Il primo costo è la ridondanza: gli stessi team rispondono tre volte alle stesse domande, con formulazioni appena diverse. Chi è responsabile di questo sistema? Dov'è l'inventario? Come gestite gli incidenti? Un CISO di una PMI industriale può passare una parte significativa del proprio anno ad alimentare questionari che si sovrappongono per due terzi.

Il secondo costo è l'incoerenza: tre cantieri separati producono tre quadri di situazione separati, che divergono in fretta. La direzione generale riceve tre livelli di gravità, tre budget, tre calendari, senza modo di arbitrarli tra loro. E il terzo costo è strategico: a forza di rincorrere ogni scadenza, l'organizzazione non costruisce mai la base che le permetterebbe di assorbire la successiva.

Rileggiamo però i tre segnali di luglio con occhio da addetto ai lavori. L'AI Act richiede innanzitutto un inventario dei sistemi di IA e dei loro usi, una governance chiara, una documentazione dimostrabile. Il CRA, così come lo declina il modello dell'ENISA, valuta la governance, la gestione dei rischi, la gestione delle vulnerabilità, il ciclo di vita dei prodotti, le competenze. Un futuro quadro prudenziale CEMAC richiederà, come tutti i quadri di stampo basileare, una governance dei rischi, dispositivi documentati, un controllo interno dimostrabile.

In altre parole: sotto vocabolari diversi, buona parte dei requisiti si sovrappone. Sapere cosa si opera (inventario dei sistemi, dei prodotti, dei processi). Sapere chi decide (governance, responsabilità). Sapere cosa può andare storto (gestione dei rischi). Sapere reagire (incidenti, vulnerabilità, continuità). Sapere dimostrarlo (documentazione, tracciabilità). Cinque capacità di base, che ciascun testo poi declina nel proprio ambito.

È proprio perché questa base è comune che la gestione a compartimenti stagni è uno spreco: ogni cantiere separato ricostruisce, a proprie spese, un inventario, una mappatura dei rischi e una governance che il cantiere vicino ha appena pagato.

L'alternativa non è fondere le conformità in un unico fascicolo, i regolatori non lo permetterebbero. È separare due cose che il riflesso a compartimenti stagni confonde: la base, che si misura una volta sola, e le viste normative, che si declinano per singolo testo.

Concretamente: una diagnosi di maturità unica valuta le capacità di base, inventario, governance, rischi, incidenti, documentazione. Ogni criterio valutato è collegato ai testi a cui serve: un certo controllo di inventario alimenta contemporaneamente l'AI Act e il CRA; un certo requisito di governance dei rischi serve il CRA e il futuro quadro CEMAC. La misurazione rivela allora ciò che i compartimenti stagni nascondono: le collisioni, quelle azioni uniche che fanno avanzare due o tre conformità in un colpo solo.

È il principio dell'incrocio degli audit: invece di accumulare le valutazioni, le si fa dialogare tra loro. Un'organizzazione che si misura su tre quadri di riferimento con una base comune scopre quasi sempre che il suo vero ritardo si concentra in una manciata di capacità trasversali, non in trecento requisiti distinti.

Resta da ordinare il piano d'azione. Bastano due criteri, a condizione di incrociarli. Prima la scadenza: il 2 agosto 2026 è passato o imminente a seconda della lettura, gli obblighi principali del CRA arrivano a fine 2027, il futuro testo CEMAC seguirà il proprio iter di adozione. Poi il rendimento: un'azione che serve tre testi vale, a parità di sforzo, tre volte un'azione che ne serve uno solo.

L'incrocio dà un ordine naturale. In testa, le capacità di base ad alto rendimento: l'inventario dei sistemi di IA e dei prodotti software, la governance dei rischi, il dispositivo di gestione degli incidenti. Poi, i delta specifici per scadenza: la marcatura di trasparenza dell'articolo 50 per l'IA, i requisiti di prodotto del CRA, gli aggiustamenti prudenziali quando il testo CEMAC sarà pubblicato. In coda, ciò che può attendere senza rischio, documentato come tale.

Questo ordine ha una virtù tanto politica quanto tecnica: offre alla direzione generale un unico arbitraggio di budget, un'unica traiettoria, invece di tre richieste concorrenti in cui ciascuna si dichiara prioritaria.

Gestita così, la stratificazione cambia natura. La diagnosi di base diventa un asset riutilizzabile: quando arriverà il prossimo testo, e arriverà, l'organizzazione non ripartirà da zero, misurerà il delta. Le restituzioni dei risultati si declinano per interlocutore a partire dagli stessi dati: la vista AI Act per il regolatore competente, la vista CRA per gli acquirenti che la richiederanno, la vista prudenziale per il supervisore, la vista consolidata per il comitato di direzione.

E la misurazione ripetuta nel tempo trasforma la conformità in traiettoria: non si dice più "siamo conformi", affermazione inverificabile e deperibile, ma "ecco la nostra maturità, la sua progressione e il suo piano", dimostrazione datata e opponibile.

La stratificazione normativa è una realtà che non rallenterà; la frammentazione delle risposte, invece, è una scelta. Le organizzazioni che fanno la scelta opposta, una base misurata, viste per singolo testo, un unico piano con priorità, non subiscono meno testi delle altre. Le assorbono meglio, e a costo minore.