Sign in Subscribe
ai regulation 13 min IT

Il Texas ha scritto la legge che Washington vuole

Sette mesi in vigore, un portale reclami già attivo e nessuna azione esecutiva annunciata. Il TRAIGA non è la stretta descritta dai titoli. È la legge organica sull'AI più leggera d'America — e sta diventando il modello.

Il Texas ha scritto la legge che Washington vuole

Il Texas Responsible AI Governance Act è in vigore dal 1° gennaio 2026. Il canale reclami dell'attorney general è già online — una pagina "Consumer AI Rights" dentro il sistema reclami dell'ufficio, lanciata in anticipo rispetto alla scadenza di legge del 1° settembre. E, al momento in cui scrivo, nessuna azione esecutiva ai sensi della legge è stata annunciata pubblicamente, anche se l'assenza di casi annunciati non esclude indagini in corso, che non sono pubbliche.

Quasi sette mesi bastano per dire cosa ha costruito davvero il Texas, ed è pressoché l'opposto di quanto descritto da gran parte della copertura. Il TRAIGA è stato raccontato come regolamentazione organica dell'AI, a volte come una stretta. Leggi il testo approvato e trovi altro: una legge con giurisdizione ampia e obblighi straordinariamente ristretti, avvolta in uno degli apparati difensivi più generosi del diritto dei consumatori americano. La tesi di questo pezzo è che il TRAIGA conta non per ciò che chiede — alle imprese private non chiede quasi nulla — ma per ciò che segnala. Il modello deliberatamente leggero, basato sull'intento, ha conquistato lo slancio istituzionale nella gara per lo standard regolatorio americano sull'AI: per la prima volta, il fronte della regolamentazione leggera ha sia un modello statale sia la macchina del governo federale dietro di sé. E quello spostamento ha conseguenze più affilate per le imprese europee di qualunque costo di compliance texano.

Cosa dice davvero la legge

Il TRAIGA si applica a chiunque faccia affari in Texas o i cui sistemi AI raggiungano residenti texani: la giurisdizione è ampia anche se gli obblighi non lo sono.

Per chiunque, pubblico o privato, la legge vieta di sviluppare o impiegare un sistema AI per quattro scopi: incitare o incoraggiare intenzionalmente l'autolesionismo, il danno ad altri o l'attività criminale; discriminare illegalmente una classe protetta, con la precisazione esplicita che il solo impatto disparato non basta a dimostrare l'intento richiesto; violare i diritti costituzionali, dove la norma esige l'intento esclusivo; e produrre o distribuire materiale di abuso sessuale su minori o deepfake sessualmente espliciti illegali. Ogni divieto poggia su intento o scopo, non sull'esito.

Gli enti governativi hanno gli obblighi aggiuntivi. Devono comunicare ai consumatori, in modo chiaro e prima o al momento dell'interazione, che stanno interagendo con un sistema AI; non possono usare l'AI per il social scoring, in una disposizione che ricorda l'articolo 5 dell'AI Act europeo; e hanno restrizioni sull'uso dell'AI per identificare specifici individui tramite dati biometrici raccolti senza consenso quando quella raccolta violerebbe un diritto costituzionale o di legge. Ai fornitori sanitari spetta uno dei pochi obblighi di disclosure nel settore privato: devono dire ai pazienti, in modo chiaro ed evidente, quando l'AI è usata nelle loro cure.

Due istituzioni completano il quadro: il Texas Artificial Intelligence Council, un organo consultivo di sette membri senza potere regolamentare, e una sandbox regolatoria di 36 mesi. E una definizione, quasi in sordina, restringe il canale principale della legge: "consumer" esclude chi agisce in un contesto lavorativo o commerciale. Questo restringe nettamente il canale dei reclami previsto dalla legge per l'attività B2B — il mestiere della maggior parte dei vendor AI europei — anche se non esenta sviluppatori e deployer B2B dai divieti generali della norma.

Disegnata perché le imprese ne escano indenni

L'architettura difensiva è il punto in cui il carattere della legge si rivela.

Non esiste azione privata; l'enforcement appartiene esclusivamente all'attorney general. Prima delle sanzioni, l'impresa riceve una notifica scritta e un periodo di sanatoria di 60 giorni. La conformità sostanziale al NIST AI Risk Management Framework è una difesa riconosciuta, e lo è anche scoprire una violazione tramite test interni, red-teaming o processi documentati di feedback. Uno sviluppatore è protetto quando un terzo usa impropriamente il suo sistema. Nessuna sanzione civile si applica a un sistema AI non ancora impiegato. E la legge sottrae ai comuni la possibilità di ordinanze locali sull'AI: in Texas c'è un solo regolamento, non uno per città.

Le sanzioni sono reali sulla carta — secondo l'analisi di Ogletree, da 10.000 a 12.000 dollari per violazione sanabile, da 80.000 a 200.000 per quelle non sanabili e da 2.000 a 40.000 dollari al giorno per le violazioni continuative — ma il percorso per arrivarci è stretto per costruzione. Per una sanzione da discriminazione, lo Stato deve dimostrare che il sistema è stato sviluppato o impiegato con l'intento di discriminare. Gli esiti diseguali non bastano. In pratica, questo rende i casi di discriminazione sostanzialmente più difficili da provare, in particolare senza prove interne che mostrino uno scopo discriminatorio, e rende l'enforcement selettivo, caso per caso — anche questo è voluto.

Le critiche al TRAIGA vanno quindi nella direzione opposta a quella che mi aspettavo quando ho iniziato a leggerlo. Non è una legge che grava sulle imprese. È una legge che rischia di proteggere poco i consumatori: una soglia di intento che la sola prova d'impatto non può superare, e tutta la discrezionalità di enforcement concentrata in un unico ufficio elettivo. Quella discrezionalità è l'unica vera esposizione privata che valga la pena nominare. Un reclamo di un consumatore può dare all'attorney general la base per emettere civil investigative demand e chiedere informazioni al soggetto segnalato — e poiché il TRAIGA raggiunge anche certe imprese fuori dallo Stato i cui sistemi sono usati in Texas, quello scrutinio non deve fermarsi al deployer locale. Questo specifico ufficio ha creato nel 2024 una squadra specializzata di enforcement sulla privacy dei dati e ha raggiunto quello che ha descritto come un accordo di tutela dei consumatori sull'AI primo nel suo genere, con un'azienda di AI sanitaria, prima ancora che il TRAIGA esistesse. Ma la discrezionalità è un rischio da prezzare, non un programma di compliance da costruire.

Non è una barriera all'ingresso.

La confusione tra due leggi

Se hai letto che il TRAIGA richiede risk assessment, documentazione d'impatto o controlli sulle decisioni rilevanti, hai letto la fusione di due leggi diverse — e gran parte della copertura ha fatto esattamente quella fusione.

Il governatore Greg Abbott ha firmato una seconda legge, la SB 1964, due giorni prima della HB 149. Disciplina l'uso dell'AI da parte dello Stato stesso, è entrata in vigore il 1° settembre 2025, e le regole attuative del Department of Information Resources sono arrivate a inizio 2026. È lì che sta la macchina: un inventario dei sistemi AI delle agenzie tenuto dal DIR, un codice etico allineato al NIST per gli enti statali e locali, e un livello di "heightened scrutiny" per i sistemi che influenzano decisioni rilevanti. Le agenzie vincolate a quelle regole trasferiscono le aspettative ai fornitori attraverso il procurement. Quindi un'impresa che vende nei flussi di lavoro del governo texano affronta davvero un regime documentale — ma la fonte è la SB 1964 con le regole del DIR, non il TRAIGA. Un'impresa che non tocca mai il settore pubblico non affronta quasi nulla.

Non è pedanteria. È la differenza tra "il Texas regola pesantemente l'AI" e la verità:

Il Texas regola l'AI del proprio governo e chiede al mercato privato di evitare una breve lista di danni intenzionali.

Il modello ha lo slancio dalla sua parte

Il significato del TRAIGA sta a monte del suo testo. Una precedente proposta TRAIGA, la HB 1709 depositata a dicembre 2024, attingeva pesantemente all'approccio del Colorado e dell'Europa: classificazioni ad alto rischio, impact assessment, doveri di prevenzione dei danni prevedibili. La HB 149 approvata, presentata a marzo 2025, ha abbandonato gran parte di quell'architettura; la cronaca dell'epoca ha documentato mesi di negoziazione e lobbying industriale che ne hanno ristretto l'ambito, e il suo promotore ha presentato il risultato esplicitamente come modello di legislazione AI per gli Stati repubblicani. "Modello" qui non significa che altri Stati copino la legge articolo per articolo. Significa una filosofia regolatoria: reattiva invece che preventiva, centrata sull'intento invece che sull'impatto, enforcement dopo il danno invece di architettura prima.

La domanda è sempre stata quale filosofia sarebbe diventata lo standard americano — quella o il modello del Colorado — e gli ultimi otto mesi hanno ridisegnato la gara. Segui la cronologia.

L'11 dicembre 2025, l'Executive Order 14365 ha dichiarato l'eccessiva regolamentazione statale un ostacolo a un quadro nazionale sull'AI "minimamente oneroso". Ha ordinato all'attorney general di creare una AI Litigation Task Force per impugnare le leggi statali sull'AI, ha incaricato il Dipartimento del Commercio di identificare le norme in conflitto, ha prospettato il taglio di fondi discrezionali per la banda larga agli Stati non allineati e ha richiesto una proposta legislativa di pre-emption federale. Un ordine esecutivo non cancella da solo le leggi statali — la Task Force è stata formalmente istituita il 9 gennaio 2026 e, dettaglio che pesa, non ha ancora avviato alcuna causa in proprio. Il suo potere agisce prima: attraverso l'esposizione al contenzioso, la leva sui fondi e la minaccia di pre-emption.

Il Colorado mostra come funziona. La sua legge del 2024 — la prima legge statale organica sull'AI, costruita su sistemi ad alto rischio e doveri contro la discriminazione algoritmica — non è mai entrata in vigore. La data di partenza originaria di febbraio 2026 era stata spostata al 30 giugno. Prima che quella data arrivasse, ad aprile 2026 xAI ha fatto causa al Colorado contestando la costituzionalità della legge e il Dipartimento di Giustizia americano è intervenuto a sostegno del ricorso; il tribunale federale ha disposto una sospensione temporanea dell'enforcement in attesa del giudizio — una pausa procedurale, non una decisione nel merito. Il 14 maggio 2026 il Colorado ha abrogato e riscritto la legge come SB 26-189, eliminando i suoi tre obblighi più pesanti — programmi di risk management, impact assessment e dovere di diligenza contro la discriminazione algoritmica — a favore di un quadro sostanzialmente più leggero sulle tecnologie di decisione automatizzata, efficace da gennaio 2027.

La sequenza sostiene una conclusione precisa, ed è un'inferenza che vale la pena dichiarare come tale. Washington non ha fatto pre-emption sul Colorado: nessun tribunale ha deciso nel merito, nessuna legge federale è passata. Ma Washington ha alzato il costo legale e politico di mantenere il regime originario — e il Colorado si è ritirato prima che quel regime si applicasse a chiunque.

Non è stato il Texas a battere il Colorado. È stata la struttura degli incentivi americana.

È così che il potere regolatorio opera oggi: prima di qualunque sentenza definitiva, attraverso il prezzo di tenere una posizione.

Due precisazioni doverose. Il Colorado non è diventato il Texas: la sua legge sostitutiva copre comunque i sistemi automatizzati nelle decisioni rilevanti e dà ai consumatori diritti procedurali che il TRAIGA non concede — comunicazione dopo le decisioni sfavorevoli, correzione dei dati, revisione umana. E la gara non è chiusa. Il Transparency in Frontier Artificial Intelligence Act della California è in vigore dal 1° gennaio 2026, e New York ha firmato il suo RAISE Act otto giorni dopo l'ordine esecutivo, allineandolo poi alla California a marzo; da gennaio 2027 imporrà ai grandi sviluppatori di modelli di frontiera di pubblicare framework di sicurezza e segnalare gli incidenti entro 72 ore. Il modello pesante e preventivo è in ritirata sul fronte degli obblighi generali, ma un secondo fronte — la trasparenza sui modelli di frontiera — resta aperto, e a presidiarlo sono le due maggiori economie statali.

L'affermazione calibrata è quindi questa: per la prima volta, il fronte della regolamentazione leggera ha sia un modello statale sia la macchina coercitiva del governo federale dietro di sé. Non è una vittoria. È slancio — e lo slancio muove i mercati prima delle leggi.

L'asimmetria che dovrebbe preoccupare l'Europa

Due architetture normative, una barriera che si dissolve tra di esse. La questione non è più quale delle due parti sia più pesante, ma chi può muoversi mentre il muro crolla.

La rassicurazione che gli europei si ripetevano su tutto questo aveva due metà: le regole UE sono più pesanti, ma almeno sono armonizzate; il mercato USA è più leggero, ma frammentato. La prima metà regge ancora. La seconda si sta erodendo — non verso l'assenza di regole, ma verso un carico di compliance ex ante sostanzialmente più basso, con Washington al lavoro per fare dell'enforcement reattivo, e non della governance preventiva, lo standard americano.

Bisogna essere precisi su cosa sia l'asimmetria, perché non è "imprese europee regolate, imprese americane libere". L'AI Act europeo si applica in base all'attività di mercato, non alla nazionalità: un'azienda americana che immette modelli o sistemi sul mercato europeo ci finisce dentro esattamente come una europea. La vera linea di demarcazione passa tra le imprese che costruiscono un'unica architettura di governance globale attorno alla baseline europea e le imprese capaci di segmentare — tenendo prodotti, modelli e processi americani fuori da quella baseline fino al giorno in cui scelgono di entrare in Europa. Un'azienda europea tende a integrare la compliance fin dall'inizio, perché mantenere due architetture è operativamente scomodo e costoso, e poi porta quel costo dentro un mercato americano che non l'ha mai chiesto. Un'azienda nata negli USA rinvia quel costo finché entrare in Europa non ne vale la pena. Il vantaggio non è la nazionalità americana. È il tempo — e il vantaggio regolatorio appartiene sempre più a chi riesce a restare fuori dalla baseline europea più a lungo.

Il precedente misurato che spiega perché conta è il GDPR. Lo studio di Johnson, Shriver e Goldberg su Management Science ha tracciato i fornitori tecnologici usati da oltre 27.000 siti web principali e ha rilevato che, nella settimana dopo l'avvio dell'enforcement, l'uso dei fornitori è calato del 15% per gli utenti UE mentre la concentrazione del mercato è salita del 17% — con i guadagni relativi andati soprattutto ai fornitori di Google e Facebook, perché i costi fissi di compliance selezionano i mercati in base a chi può assorbirli. Il limite dello studio va messo agli atti: gli effetti aggregati sono svaniti entro la fine del 2018, anche se l'effetto di concentrazione è persistito nella categoria dei fornitori pubblicitari, quella più sorvegliata dai regolatori. Il risultato non prova che ogni regime di compliance consolidi per sempre gli incumbent, ma dimostra il meccanismo: i costi fissi regolatori spostano la domanda verso i fornitori già attrezzati ad assorbirli. Per anni gli europei hanno potuto dirsi che quel meccanismo proteggeva il mercato di casa. In una gara transatlantica in cui una delle due parti sta sopprimendo le proprie regole più esigenti, quel prezzo oggi lo pagano i prodotti europei.

E l'Europa sta reagendo — il che è di per sé il segnale. A giugno 2026 l'UE ha formalmente adottato le modifiche omnibus all'AI Act: il Parlamento europeo ha approvato il pacchetto il 16 giugno e il Consiglio ha dato il via libera definitivo il 29 giugno. Il nuovo calendario sposta gli obblighi per i sistemi ad alto rischio autonomi dal 2 agosto 2026 al 2 dicembre 2027, e per l'AI ad alto rischio incorporata in prodotti regolamentati al 2 agosto 2028. Bruxelles sta alleggerendo il suo quadro pur mantenendolo — una finestra che, come ho sostenuto, le imprese dovrebbero usare deliberatamente, non con sollievo. Il quadro onesto, quindi, non è un confronto statico tra un'Europa regolata e un'America deregolata. È una gara tra due sistemi sotto la stessa pressione competitiva: gli USA che spingono verso il basso le loro leggi statali più esigenti, l'Europa che allunga il proprio calendario — e la domanda di fondo è se un unico regolamento esigente resti un vantaggio quando il tuo maggiore rivale lavora per rendere i regolamenti esigenti politicamente insostenibili.

In pratica

  • PMI europee: il costo marginale di entrare in Texas è un memo di inquadramento legale, non un programma di compliance. Riservate il budget vero alle regole del Colorado sulle decisioni automatizzate da gennaio 2027, agli obblighi di trasparenza sui modelli di frontiera in California e New York se vi riguardano, e alla regolamentazione settoriale in sanità, finanza e lavoro, che resta qualunque cosa facciano le leggi generali sull'AI. Se vendete nei flussi di lavoro del governo texano, la checklist è la SB 1964 con le regole del DIR — non il TRAIGA.
  • Investitori: rivedete l'assunto che l'espansione americana comporti costi di compliance in stile UE. Per il TRAIGA in sé, il rischio principale da coprire è la discrezionalità di enforcement dell'ufficio dell'attorney general, non un obbligo documentale permanente.
  • Policymaker: ogni anno di costi di implementazione UE è ora una variabile di competitività misurata contro un mercato americano che converge verso regole leggere, non contro un mercato frammentato. Il premio di armonizzazione che l'Europa fa pagare rende solo se l'alternativa resta caotica.
  • Tutti: guardate la battaglia sulla pre-emption federale. Deciderà se un quadro statale, leggero o pesante che sia, potrà sopravvivere.

La struttura di mercato, rovesciata

In Europa lo strato di compliance è un fossato: protegge chi lo ha già pagato. Nell'assetto americano che sta emergendo, il fossato è l'assenza di quello strato: il vantaggio va a chi costruisce e distribuisce più in fretta finché le regole restano leggere, e alla giurisdizione che può promettere in modo credibile che resteranno tali. Il Texas non ha costruito il muro che le sue prime proposte prevedevano. Ha scelto di non costruirlo — e ha sfidato le altre giurisdizioni a tenersi i propri.

Scrivo spesso che la regolamentazione è struttura di mercato. La prima tesi che ho testato qui era che il TRAIGA funzionasse come una barriera all’ingresso. Qualcosa, però, non mi convinceva, e ho continuato a verificarla. Più approfondivo il testo della legge, meno la tesi reggeva. Per la maggior parte delle imprese private, i suoi obblighi sono troppo limitati perché il costo della conformità sia la storia principale. La tesi sulla struttura di mercato, però, non è scomparsa. Si è rovesciata — ed è diventata più incisiva.

La gara che il Texas ha aperto non è su chi può permettersi le regole. È su chi sa muoversi finché le regole restano leggere — e su quanto a lungo gli altri potranno permettersi le loro, pesanti.

Se vuoi un'analisi come questa ogni settimana, iscriviti alla Newsletter di ELECTE. Scrivo di AI come potere: chi la controlla, chi ne cattura il valore e come cambiano regolamentazione, procurement, lavoro e concorrenza quando i titoli si spengono.

Fonti

Fabio Lauria

CEO & Founder, ELECTE

Ogni settimana esploriamo l'AI senza l'hype — con dati, analisi e una prospettiva indipendente.

If you found this analysis useful, please share it with someone who might be interested. And if you’d like to find out how ELECTE uses AI to automate data analysis and reporting, you can find out more at electe.net.
Iscriviti Ora

Read next

Comments ()