Il governatore dell’Illinois JB Pritzker ha firmato lunedì il Senate Bill 315, conosciuto come Artificial Intelligence Safety Measures Act, la prima legge statale negli Stati Uniti a rendere obbligatori gli audit indipendenti annuali per i principali sviluppatori di modelli AI. La norma si applica ai cosiddetti “large frontier developers”, ossia le aziende con oltre 500 milioni di dollari di fatturato annuo che addestrano sistemi di intelligenza artificiale ad altissima intensità computazionale.
La legge impone a queste aziende di pubblicare un framework di trasparenza che descriva come identificano il rischio catastrofico, come gestiscono la cybersicurezza e come rispondono agli incidenti di sicurezza, ogni volta che mettono in circolazione un modello nuovo o significativamente modificato. Il punto più discusso è l’obbligo di sottoporsi ogni anno a una verifica da parte di terzi indipendenti, senza conflitti di interesse finanziari con l’azienda controllata. Nessun altro stato americano aveva ancora introdotto questo requisito. California e New York avevano già fissato regole per i modelli frontier con le rispettive leggi del 2025, ma l’Illinois aggiunge un livello in più: l’audit annuale ricorrente, non una tantum. In caso di incidente critico, le aziende hanno 72 ore per notificarlo allo stato, ridotte a 24 ore se il rischio è imminente per l’incolumità delle persone.
La legge è passata alla Camera con 110 voti a favore e zero contrari, al Senato con 52 voti contro 5. Un risultato bipartisan raro su un tema tecnologico. OpenAI e Anthropic hanno sostenuto il provvedimento durante l’intero iter parlamentare. OpenAI ha preferito un quadro federale, ma ha dichiarato pubblicamente di vedere nell’allineamento tra Illinois, California e New York una possibile direzione nazionale di fatto. Chi ha frenato è stata TechNet, la coalizione di dirigenti tech che ha contestato il rischio di creare obblighi soggettivi in assenza di standard nazionali certificati. Perplessità legittime, anche se il legislatore ha risposto già in fase di lavori: esistono società di auditing, incluse grandi aziende di revisione internazionali, in grado di svolgere questo tipo di valutazioni.
Pritzker ha usato la firma per attaccare l’inazione federale. “Il Congresso e il presidente dovrebbero approvare leggi simili, ma finora non sono stati disposti a farlo,” ha detto prima di firmare. La Casa Bianca ha revocato all’inizio del secondo mandato Trump il decreto Biden del 2023 sulla sicurezza dell’AI, sostituendolo con un ordine esecutivo orientato a rimuovere i vincoli allo sviluppo. In questo vuoto, gli stati si muovono in proprio. Le sanzioni previste arrivano a un milione di dollari per la prima violazione e tre milioni per le successive, con enforcement affidato esclusivamente al procuratore generale dello stato. Nessun privato può fare causa direttamente all’azienda.
La legge entra in vigore il 1° gennaio 2028, il che lascia quasi diciotto mesi alle aziende per adeguarsi. Un arco di tempo che potrebbe risultare stretto per chi oggi non dispone ancora di un framework di sicurezza strutturato. Se nel frattempo il governo federale dovesse legiferare in materia con requisiti sovrapponibili, la legge dell’Illinois cesserebbe di applicarsi — una clausola di cedimento che rivela quanto i promotori stessi considerino l’intervento statale una soluzione provvisoria, non la destinazione finale. Il vero banco di prova sarà vedere se i modelli più potenti in circolazione nel 2028 saranno quelli di oggi o qualcosa di radicalmente diverso: in quel caso, la tenuta delle soglie attuali andrà rimessa in discussione.
