La compliance AI diventa un prodotto mentre le norme restano frammentate e le scadenze slittano

La compliance ora si vende a moduli. Quick Heal ha lanciato Seqrite NOVA Data Privacy, un'offerta basata sull'AI per piccoli uffici, PMI e medie imprese che devono adeguarsi al DPDP Act indiano.

Per chi compra, la proposta sposta la domanda. Il test utile non è più se uno strumento sia conforme. Conta a quale requisito specifico si aggancia, statale o nazionale, e chi paga il conto quando lo manca. Nessuna delle due aziende ha indicato quanto costano i nuovi moduli.

NOVA esce in tre livelli: Lite, Essentials e Professional. Il motore di traduzione rende le informative sul consenso e i menu dei cookie in 22 lingue indiane ufficialmente riconosciute. Quick Heal dice che la piattaforma individua e classifica i dati personali su endpoint, applicazioni cloud, database e file non strutturati, compreso il testo dentro immagini scansionate. L'azienda sostiene che i clienti più piccoli non possono coprire quel lavoro con personale interno. "Navigating India's DPDP compliance shouldn't be a complex, resource-heavy ordeal for growing businesses", ha detto Harish Kumar GS, amministratore delegato di Quick Heal.

Fusemachines ha fatto una scommessa simile quattro giorni prima. Il 29 ottobre 2026 ha introdotto un modulo per il consenso all'uso dell'AI in HireFoundry.ai, pensato per i datori di lavoro che assumono in tutti i 50 stati degli Stati Uniti. I candidati che rifiutano vengono comunque intervistati. L'Interview Agent però non si unisce alla chiamata, non ascolta, non trascrive e non analizza. "Enterprises should be able to focus on finding the right talent without having to build a separate AI consent process for every state where they hire", ha detto Giovanni Lemus, vicepresidente prodotto di Fusemachines.

La previsione si regge sul volume normativo, non su una singola legge. ResearchAndMarkets attribuisce all'adozione di AI e cloud il calo dei costi e la possibilità di monitorare in tempo reale più giurisdizioni. Indica il GDPR, la CSRD e il DORA come motori della domanda.

La scadenza del DPDP indiano spinge l'urgenza

Il calendario indiano è il più stretto. L'India ha notificato le DPDP Rules nel novembre 2025. Le disposizioni principali entrano in vigore per tappe fino a maggio 2027.

La preparazione è scarsa. Un sondaggio EY pubblicato a gennaio ha rilevato che oltre l'83% delle organizzazioni non aveva iniziato ad attuare i requisiti nei processi e nei sistemi interessati. È quel divario l'apertura commerciale a cui punta Quick Heal. Resta da verificare se una piccola impresa possa soddisfare un'autorità di controllo per quella via. L'entrata in vigore a tappe fa arrivare gli obblighi un pezzo alla volta.

L'Europa allunga i tempi dei sandbox

L'Europa si è mossa nella direzione opposta, tenendo la legge e comprando tempo. L'AI Omnibus Regulation è entrata in vigore in tutta l'UE il 27 luglio 2026.

Il cambiamento più concreto è un rinvio. Gli Stati membri hanno ora tempo fino al 2 agosto 2027 per avere almeno un sandbox normativo nazionale per l'AI in funzione, un anno dopo la scadenza originale. Il regolamento introduce anche un sandbox a livello UE che l'AI Office può istituire con le autorità competenti.

Un sandbox non è un lasciapassare per la deregulation. Le aziende provano i sistemi sotto supervisione e scoprono cosa si aspettano le autorità prima del lancio.

Le norme USA restano divise e i tribunali colmano i vuoti

Washington non ha uno statuto federale sull'AI. La California ha emanato la SB 53 a settembre 2025, e a luglio 2026 è stato presentato un disegno di legge federale FRONTIER, secondo un'analisi di note.com che cita Newsweek Japan. L'AI Act stesso è entrato in vigore il 1 agosto 2024 e applica gli obblighi per fasi.

Dove i legislatori restano indietro, si muovono i tribunali. A ottobre 2026 i querelanti hanno depositato presunte class action nel Northern District of Illinois contro Grok di xAI. I ricorsi sostengono che la piattaforma ha trattato fotografie caricate dagli utenti senza le informative richieste o le liberatorie scritte. Il BIPA, emanato nel 2008, considera una scansione della geometria del volto un identificatore biometrico ma esclude espressamente le fotografie. I querelanti dicono che il trattamento ha superato quel confine. Le accuse non sono provate e i casi sono in una fase iniziale.

La supervisione resta ai datori di lavoro

In ogni caso il fornitore vende il flusso di lavoro e l'acquirente si tiene la responsabilità. Fusemachines dice che i selezionatori scelgono cosa chiedere e restano responsabili delle valutazioni dei candidati e delle decisioni di assunzione.

Le scadenze restano aperte. I querelanti non hanno ancora dimostrato le pretese fondate sul BIPA.