Mario Mariniello, senior fellow di Bruegel, firma il Policy Brief 12/2026 sull’AI Act e non lo attacca da posizioni deregolatorie: lo smonta dall’interno, elencando cinque difetti e proponendo un’architettura alternativa. Il primo difetto è la dicotomia alto/basso rischio, che classifica i sistemi per finalità dichiarata al momento del dispiegamento invece che per probabilità effettiva di danno: un sistema classificato a basso rischio diventa ad alto rischio nell’uso ordinario, senza che nessuno lo riconverta deliberatamente, e questo è un problema strutturale che nessun aggiornamento degli allegati risolve. Il secondo difetto è quello che interessa qui, ed è quantificato. La stima di Haataja e Bryson (2021) colloca il costo di conformità fra 14.623 e 29.277 euro per sistema, «roughly 9 percent to 17 percent of total development costs». Sono costi fissi, e i costi fissi gravano in modo sproporzionato sulle imprese piccole: favoriscono le grandi e consolidano le posizioni acquisite. Mariniello non lascia l’affermazione allo stato di principio e indica il precedente misurato: gli effetti di concentrazione di mercato documentati dopo il GDPR. L’avvertimento che chiude il brief è di non aspettare la valutazione formale prevista per l’agosto 2031 per accorgersene. Gli altri tre difetti completano il quadro e non sono di dettaglio. L’applicazione è frammentata e si regge sull’autovalutazione, con oltre duemila autorità nazionali di sorveglianza del mercato progettate per la sicurezza dei prodotti fisici e prive di competenza tecnica sull’AI — il che produce un’applicazione asimmetrica dentro il mercato unico. Il processo di normazione tecnica soffre di un deficit democratico: le organizzazioni europee di standardizzazione traducono in requisiti misurabili decisioni cariche di valore su cosa sia «equo», «sicuro» o «non distorto», in tavoli dominati dalle imprese maggiori e con partecipazione minima della società civile. E manca del tutto un regime di responsabilità: provare il nesso causale, individuare il soggetto responsabile e superare l’asimmetria informativa con gli strumenti ordinari della responsabilità civile è, nelle parole del brief, «daunting», e lascia la maggior parte delle vittime senza rimedio praticabile. La proposta è un baratto fra ex ante ed ex post. Tre livelli di obblighi preventivi commisurati alla scala del dispiegamento: audit leggero per PMI e startup sotto i 50 milioni di fatturato o con sistemi che toccano meno di centomila persone; audit standard fra 50 e 150 milioni con autocertificazione; audit intenso sopra i 150 milioni o oltre il milione di persone coinvolte, con valutazione obbligatoria di terza parte e niente autocertificazione. In cambio, una responsabilità ex post seria — responsabilità oggettiva per i sistemi proibiti e ad alto rischio, presunzione relativa di difettosità per gli altri — e un’infrastruttura di rilevazione a livello europeo modellata sulla Sentinel Initiative della FDA, con campionamento del traffico API. Più accesso strutturato dei ricercatori sul modello dell’articolo 40 del DSA, segnalazione non punitiva degli incidenti sul modello dell’aviazione civile, e un registro europeo pubblico dei danni basato sulla tassonomia OCSE. L’effetto netto sui costi di conformità è proiettato come negativo. Per l’archivio è la gamba empirica sotto la voce cattura regolatoria, con una cautela che va dichiarata: le cifre riguardano il regime dei sistemi ad alto rischio, non gli obblighi sui modelli di frontiera, e quindi stabiliscono il meccanismo — un costo fisso che scala male verso il basso — non la sua grandezza esatta per chi rilascia modelli a pesi aperti. Vale poi notare la convergenza con Klonick, che parte dal caso opposto, un incidente dentro un laboratorio, e arriva alle stesse tre misure: segnalazione obbligatoria, audit indipendente, responsabilità verso i terzi. Due percorsi che non si parlano e atterrano insieme sono un indizio migliore di una tesi sola.
Codice attribuito retroattivamente il 23 agosto 2026, all’introduzione della notazione: è una ricostruzione dichiarata, non una registrazione in presa diretta.