Spagna, multe da €35 milioni sui deepfake IA

La Spagna ha approvato una legge nazionale organica sull'intelligenza artificiale che prevede multe fino a 35 milioni di euro e vieta in modo esplicito i deepfake sessuali. Tre settimane prima, l'Unione europea aveva rinviato alcune delle scadenze per l'applicazione delle norme più severe. È in quello scarto temporale che si capisce dove sia oggi la regolazione dell'IA in Europa.

Il 26 maggio, il Consiglio dei ministri spagnolo ha approvato la legge per il buon uso e la governance dell'intelligenza artificiale, classificandola come "legge organica", categoria che in Spagna si riserva ai testi che incidono sui diritti fondamentali. Il provvedimento va oltre l'AI Act europeo su due piani: vieta i deepfake sessuali generati dall'IA e il materiale di sfruttamento minorile e introduce, in ogni amministrazione pubblica che utilizzi sistemi automatizzati, una nuova figura: il "delegato per l'IA".

La legge attribuisce inoltre responsabilità giuridica sia ai fornitori di sistemi di IA sia alle imprese che li utilizzano, chiamandoli a rispondere legalmente delle violazioni. La logica è simile a quella della sicurezza alimentare: se un cliente si ammala, può risponderne tanto chi ha prodotto l'alimento quanto il ristorante che lo ha servito.

Bruxelles ha concesso più tempo. Madrid no.

L'AI Act dell'UE è entrato in vigore nell'agosto 2024, ma le norme più incisive, quelle sui sistemi usati per assunzioni, diagnosi mediche e attività di polizia, hanno continuato a slittare. Il 7 maggio, Parlamento europeo e Consiglio hanno concordato di rinviare quegli obblighi di oltre un anno, inserendo il rinvio in un pacchetto legislativo chiamato Digital Omnibus. La maggior parte degli Stati membri non aveva ancora istituito le autorità nazionali di vigilanza sull'IA e gli standard tecnici necessari alle aziende per dimostrare la conformità non erano pronti.

La Spagna ha scelto di non aspettare. Già nel giugno 2024, prima ancora che l'AI Act producesse effetti, aveva avviato AESIA, la prima agenzia europea dedicata alla supervisione dell'IA. La nuova legge le dà ora strumenti sanzionatori veri.

Cinque Paesi, cinque manuali d'uso

In Europa sta prendendo forma un mosaico di risposte nazionali all'IA, ciascuna modellata dalla politica interna e dalle rispettive tradizioni giuridiche.

L'Italia ha scelto la strada penale. La legge 132/2025 ha trasformato la diffusione di deepfake in un reato autonomo, anche sulla scia del caso, molto esposto mediaticamente, delle immagini manipolate della presidente del Consiglio Giorgia Meloni. La vicepresidente della Camera Anna Ascani, esponente dell'opposizione, ha definito "inutile" la criminalizzazione se le autorità non dispongono anche del potere di imporre alle piattaforme la rimozione dei contenuti.

La Germania ha lasciato avanzare i tribunali. Il 12 maggio l'Oberlandesgericht di Hamm, corte d'appello regionale, ha stabilito che le aziende rispondono pienamente delle false affermazioni dei propri chatbot, anche quando il sistema sia stato addestrato su dati corretti. Il chatbot di una clinica estetica aveva inventato credenziali mediche per i suoi medici. La legge nazionale tedesca di attuazione è ancora all'esame del Parlamento.

La Francia ha preferito il coordinamento istituzionale a una nuova legge. La CNIL, l'autorità francese per la protezione dei dati, agisce da coordinatore della regolazione dell'IA tra oltre 15 autorità settoriali. Arthur Mensch, fondatore di Mistral AI, ha detto all'Assemblea nazionale che il peso regolatorio favorisce i giganti statunitensi rispetto alle startup europee, perché un piccolo team di compliance deve orientarsi tra decine di attuazioni nazionali della stessa legge europea.

L'Irlanda parte quasi da zero. Il suo AI Office aprirà il 1° agosto con un organico ridotto e senza che sia stato ancora nominato un amministratore delegato. Il primo banco di prova sarà l'azione su Grok di X, segnalato dai regolatori irlandesi per la generazione di immagini intime non consensuali.

Il vuoto che nessuno aveva previsto

Anche la legge spagnola ha zone d'ombra. Le amministrazioni pubbliche che usano male l'IA rischiano ammonimenti, non multe. In Italia, il sistema di vigilanza è distribuito tra più autorità, con una frammentazione che i critici giudicano poco coordinata. L'Irlanda non ha ancora riempito gli uffici del regolatore, figurarsi metterlo alla prova.

L'AI Act europeo avrebbe dovuto costruire un unico codice di regole per il continente. Il rinvio inserito nell'Omnibus ha dato tempo agli Stati membri, ma ha anche aperto uno spazio che i governi nazionali hanno riempito secondo priorità proprie. Quando gli obblighi più severi entreranno davvero in vigore, l'Europa potrebbe ritrovarsi con 27 versioni diverse della stessa legge. Per un'azienda che sviluppa IA nel 2026, il quadro è questo: la Spagna vieta i deepfake, l'Italia manda in carcere chi li diffonde, la Germania rende gli operatori dei chatbot responsabili delle allucinazioni e l'Irlanda non ha ancora assunto il capo del regolatore. Difficile chiamarlo codice unico.