Due Parlamentari, una Legge, un Bersaglio Preciso

Il deputato Josh Gottheimer, democratico del New Jersey, e il deputato Mike Lawler, repubblicano di New York, hanno presentato lo Stop Rogue AI Act alla Camera dei Rappresentanti USA il 3 settembre 2026. L'accordo bipartisan indica una soluzione tecnica mirata, non uno scontro più ampio sulla regolamentazione dell'IA. L'ufficio di Gottheimer ha espresso la preoccupazione senza mezzi termini: "Gli agenti IA girano liberi nelle nostre reti, e nessuno riesce a vederli né a verificare chi li ha costruiti."

La legge arriva tre giorni dopo che un incidente di sicurezza legato ad agenti IA, riportato all'inizio di questo mese, ha reso evidente quella lacuna di visibilità. I suoi promotori non hanno atteso un resoconto completo di quell'episodio prima di redigere una risposta; sono andati dritti al meccanismo che, secondo loro, mancava, un modo per sapere quali agenti sono operativi e cosa fanno.

Cosa Dovrebbe Davvero Costruire il NIST

Lo Stop Rogue AI Act ordina al National Institute of Standards and Technology di scrivere standard per il dispiegamento sicuro dell'IA agentica, concedendogli un anno dall'entrata in vigore per produrli. Tre requisiti reggono il mandato: verifica continua di ciò che un agente fa realmente, registri a prova di manomissione delle azioni degli agenti, e un inventario leggibile da macchina di tutti gli agenti IA operativi all'interno di un'organizzazione.

Al NIST viene chiesto di coordinare questo lavoro con la Cybersecurity and Infrastructure Security Agency, collegando i nuovi standard all'apparato di ciberdifesa già esistente del governo invece di creare un ufficio IA a sé stante. Il requisito dell'inventario pesa più degli altri due, perché tratta un agente IA come un oggetto distinto e tracciabile, invece di inglobarlo nel modello o nel prodotto software da cui è nato.

Obbligatorio per Alcuni, Facoltativo per Tutti gli Altri

Gli standard scritti dal NIST diventano obbligatori solo per gli appaltatori federali; ogni altra organizzazione che dispiega agenti IA può adottarli su base volontaria. Questa divisione mantiene la portata immediata della legge limitata alle aziende che fanno affari con il governo, scommettendo che uno standard firmato dal NIST si diffonda poi nel mercato più ampio, come è già accaduto con precedenti framework di cibersicurezza del NIST.

La legge gode già di sostegno industriale: Palo Alto Networks, GoDaddy, Infoblox, l'AI Policy Network e l'Alliance for Secure AI l'hanno appoggiata, secondo l'ufficio di Gottheimer. Questo elenco pende verso fornitori di sicurezza e infrastruttura piuttosto che verso i grandi laboratori IA che costruiscono gli agenti stessi, un dettaglio che suggerisce chi vede un vantaggio difensivo o competitivo in un obbligo formale di inventario.

Agenti, non Modelli: un Oggetto Normativo Diverso

Ogni grande quadro di governance dell'IA scritto finora, incluso l'AI Act dell'UE, regola il modello: le sue capacità, i suoi dati di addestramento, la sua classificazione di rischio. Lo Stop Rogue AI Act regola qualcos'altro, l'agente, un'istanza software che agisce autonomamente su una rete, a volte costruita sopra un modello senza che lo sviluppatore di quel modello sappia della sua esistenza. Si tratta di un oggetto normativo significativamente diverso, ed è la prima legge statunitense a proporre un obbligo di inventario e provenienza scritto appositamente per esso.

Un inventario leggibile da macchina e un registro delle azioni a prova di manomissione non chiedono cosa un sistema IA possa fare in astratto; chiedono quali agenti specifici esistono in questo momento, chi li ha dispiegati e cosa hanno effettivamente fatto. Questa è una regolamentazione incentrata sulla provenienza invece che sulla capacità, e nulla nell'attuale testo dell'AI Act dell'UE impone un inventario equivalente specifico per gli agenti.

Cosa Anticipa per i Regolatori Europei

L'UE sta ancora lavorando sulle proprie scadenze dell'AI Act, con gli obblighi per i modelli IA per finalità generali e altre date di conformità che continuano a entrare in vigore in modo graduale nel corso del 2026. Nessuna di queste disposizioni richiede oggi il tipo di inventario permanente e leggibile da macchina degli agenti che lo Stop Rogue AI Act creerebbe, perché l'AI Act è stato costruito attorno a modelli e livelli di rischio, non attorno agli agenti autonomi come categoria a sé stante.

Questo vuoto lascia ai regolatori europei due modi di leggere questa legge. Una lettura la considera un modello da seguire, uno schema funzionante e sostenuto dall'industria per la supervisione degli agenti che l'UE potrebbe incorporare in un futuro emendamento dell'AI Act o in uno strumento dedicato agli agenti, con un anno di vantaggio in esperienza applicativa una volta che il NIST completa i suoi standard. L'altra lettura la considera un avvertimento, un regime volontario fuori dall'ambito federale che potrebbe comunque irrigidirsi in un requisito di mercato di fatto se abbastanza fornitori lo adottano per vendere all'amministrazione federale USA, creando un secondo standard di inventario che gli operatori europei dovrebbero seguire accanto ai propri obblighi dell'AI Act. Quale lettura prevarrà dipenderà da come saranno gli standard del NIST tra un anno, non da ciò che il testo della legge stabilisce oggi.

Servola Journal

Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.

Da leggere ora: New York vieta i chatbot IA dalla materna alla terza media  |  Bruxelles valuterà l'IA prima che arrivi a voi