La convinzione diffusa nei consigli di amministrazione americani secondo cui il NIST AI Risk Management Framework sia soltanto una buona pratica opzionale contiene un errore di valutazione strategica. Il documento pubblicato dal National Institute of Standards and Technology non è una legge, non prevede multe e non dispone di un’autorità regolatoria autonoma; tuttavia, nella storia della governance tecnologica americana, gli standard tecnici raramente rimangono confinati nel territorio innocuo delle raccomandazioni. (vedi NIST)

Il meccanismo è conosciuto nel mondo industriale. Un criterio inizialmente volontario viene incorporato nei contratti di fornitura, nei processi di qualifica dei vendor, nei requisiti assicurativi e nelle procedure interne di gestione del rischio. Quando questo accade, lo standard non diventa formalmente una legge, ma acquisisce una funzione molto simile: definisce cosa un’organizzazione avrebbe dovuto fare secondo una ragionevole pratica professionale.

L’intelligenza artificiale sta entrando esattamente in questa zona grigia. Gli Stati Uniti non hanno approvato un equivalente federale dell’AI Act europeo e hanno scelto un modello frammentato, costruito attraverso agenzie, tribunali, procurement pubblico e iniziative statali. In questo ecosistema il NIST AI RMF rappresenta il principale linguaggio comune utilizzato per descrivere come un’impresa dovrebbe identificare, misurare e mitigare i rischi dei sistemi AI.

Il punto più delicato riguarda la responsabilità civile. Negli Stati Uniti il concetto di “standard of care” non nasce necessariamente da una legge scritta. Nei settori ad alta intensità tecnologica, dai dispositivi medici alla cybersecurity, i tribunali hanno spesso utilizzato standard tecnici e pratiche consolidate per valutare se un’organizzazione abbia adottato precauzioni adeguate. Questo non significa che ogni mancata applicazione del NIST genererà automaticamente una responsabilità, ma significa che un’azienda che utilizza sistemi AI senza alcuna metodologia documentata di gestione del rischio potrebbe trovarsi in una posizione debole quando dovrà spiegare le proprie decisioni davanti a un giudice.

Il valore del framework deriva anche dal processo con cui è stato costruito. NIST ha sviluppato l’AI RMF attraverso consultazioni pubbliche e il contributo di centinaia di organizzazioni provenienti da industria, università, settore pubblico e società civile. È questa natura consensuale, più che un potere coercitivo, a renderlo interessante per aziende e autorità. Gli standard tecnici acquistano influenza proprio perché vengono percepiti come neutrali, anche quando finiscono per orientare decisioni economiche e legali. (vedi NIST AI Resource Center)

La politica americana sull’intelligenza artificiale sta però attraversando una fase di forte riallineamento. L’amministrazione Biden aveva impostato il tema AI principalmente attraverso la lente della sicurezza, della trasparenza e della protezione degli utenti con l’Executive Order 14110 del 2023. Quel provvedimento aveva assegnato un ruolo centrale alle agenzie federali nello sviluppo di strumenti di valutazione e gestione del rischio. L’ordine è stato successivamente revocato nel 2025, segnando un cambio di priorità verso competitività industriale e sviluppo tecnologico.

La conseguenza più interessante non è necessariamente una deregolamentazione completa. Il sistema americano tende storicamente a sostituire la regolazione diretta con una combinazione di mercato, contratti, contenzioso e standard tecnici. Silicon Valley conosce bene questo modello: meno regole preventive, più responsabilità distribuita dopo che il prodotto entra nel mondo reale. È un approccio che può accelerare l’innovazione, ma che trasferisce una parte crescente del rischio sui dirigenti aziendali.

Il problema per le imprese globali nasce dalla frammentazione. Un’organizzazione che opera negli Stati Uniti deve oggi considerare non soltanto il quadro federale, ma anche le iniziative dei singoli Stati. Il Texas, per esempio, ha introdotto il Texas Responsible Artificial Intelligence Governance Act con entrata in vigore dal primo gennaio 2026, mentre altri Stati hanno sviluppato proprie regole sull’utilizzo dell’AI in ambiti sensibili. (vedi texasattorneygeneral.gov)

Il risultato è un modello regolatorio curioso: Washington punta sulla velocità tecnologica, gli Stati costruiscono obblighi locali e i tribunali diventano il luogo dove gli standard volontari possono trasformarsi in argomenti di responsabilità. La governance AI americana non assomiglia quindi a un grande codice normativo europeo, ma a una rete di pressioni economiche, legali e contrattuali.

Per i board aziendali il messaggio operativo è semplice: trattare il NIST AI RMF come un documento opzionale può essere una scelta possibile oggi, ma potrebbe diventare una scelta difficile da difendere domani. Nel mondo dell’intelligenza artificiale, dove i modelli cambiano più rapidamente delle procedure aziendali, la capacità di dimostrare perché una decisione è stata presa sta diventando quasi importante quanto la decisione stessa. Il futuro della compliance AI americana probabilmente non arriverà con una firma presidenziale o con un singolo atto legislativo; arriverà attraverso contratti, audit, assicurazioni e aule di tribunale.