Nell'AI Act c'è un pezzo che non chiede niente a nessuno e offre qualcosa: le sandbox regolatorie. Il Digital Omnibus di luglio 2026 le ha rafforzate e ha fissato il termine perché siano operative entro il 2 dicembre 2027 negli Stati membri.
È l'unica parte del regolamento che parla la lingua di chi costruisce, invece della lingua di chi verifica. Vale la pena capire come funziona prima che parta, perché i posti non saranno infiniti.
Cos'è una sandbox, senza metafore
Un ambiente controllato, istituito dall'autorità nazionale competente, dentro il quale sviluppi e testi un sistema di IA sotto supervisione, per un periodo definito e con un piano concordato.
Il vantaggio non è il permesso di violare le regole: quello non esiste. Il vantaggio è che l'autorità ti dice prima come interpreta le regole nel tuo caso concreto, invece che dopo. E che al termine ricevi un documento sulle attività svolte, che vale nel dialogo successivo con chi vigila.
Per chi sviluppa, questa è la differenza fra investire due anni su un'architettura e scoprire alla fine che l'impostazione era sbagliata, oppure saperlo al terzo mese.
Perché conviene soprattutto ai piccoli
Una multinazionale si paga uno studio legale che le scrive un parere di ottanta pagine. Una società italiana da dodici persone no: al massimo chiede a un consulente, che darà un'interpretazione plausibile e nulla più.
La sandbox mette la piccola impresa nella stessa stanza dell'autorità, che è un posto in cui normalmente ci finisci solo quando c'è un problema. L'AI Act prevede espressamente un accesso prioritario per PMI e start-up, e il Digital Omnibus ha esteso le misure di proporzionalità e sostegno anche alle piccole imprese a media capitalizzazione.
Cosa ci porti dentro
Le candidature che funzionano sono quelle che arrivano con un problema regolatorio preciso. Non "vogliamo sviluppare un'IA per la sanità", ma "il nostro sistema di triage rientra nell'Allegato III alla luce di questa finalità, e vorremmo validare l'approccio alla sorveglianza umana e alla governance dei dataset".
Serve una descrizione del sistema, la finalità prevista, l'analisi dei rischi già fatta, il piano di test, le misure di mitigazione previste. In sostanza, buona parte di quello che ti servirà comunque per la conformità: la sandbox non è un modo per saltare il lavoro, è un modo per farlo con qualcuno che ti corregge.
Il pezzo delicato: i dati
L'AI Act prevede, a condizioni stringenti, la possibilità di trattare nella sandbox dati personali raccolti per altre finalità quando lo sviluppo riguarda un interesse pubblico rilevante. Non è una deroga generale al GDPR e non va letta come tale: le condizioni sono puntuali e la supervisione è del caso.
Va letta insieme al nuovo articolo 4-bis introdotto dall'Omnibus, applicabile dal 2 agosto 2026, che fornisce una base per trattare categorie particolari di dati quando serve a rilevare e correggere i bias. Due strumenti diversi, stessa logica: rendere possibile la verifica di correttezza dei modelli senza costringere a violare la privacy.
La situazione italiana
In Italia il quadro istituzionale è stato definito dalla legge 132/2025, in vigore dal 10 ottobre 2025: ACN ha la vigilanza di mercato, AgID le funzioni di notifica e accreditamento, con la promozione dello sviluppo e dell'innovazione. Sulle sandbox il completamento operativo passa dai provvedimenti attuativi.
Il consiglio pratico: se stai costruendo qualcosa che potrebbe finire nell'alto rischio, non aspettare il 2 dicembre 2027 per informarti. Prepara adesso la documentazione tecnica del progetto, così quando la finestra si apre non parti da zero.
Cosa non è una sandbox
Non è un'esenzione. Non è un bollino di conformità permanente. Non è un canale per ottenere autorizzazioni. Non ti protegge dalla responsabilità per danni causati a terzi durante la sperimentazione.
È un tavolo dove si discute prima. Che nel rapporto fra imprese e autorità in Italia, storicamente, è una rarità da non sprecare.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
L'unico pezzo dell'AI Act che ti dà qualcosa invece di chiederti carte. Almeno vale la pena leggerlo.
Domande frequenti
Entrare in una sandbox mi mette al riparo dalle sanzioni?
La partecipazione avviene sotto supervisione dell'autorità e il documento finale sulle attività svolte rileva nel dialogo successivo. Non elimina la responsabilità per eventuali danni a terzi né sostituisce la valutazione di conformità.
Chi può candidarsi?
Fornitori e potenziali fornitori di sistemi di IA, con accesso prioritario previsto per PMI e start-up. Le modalità operative sono definite a livello nazionale.
Quando saranno attive in Italia?
Il Digital Omnibus fissa il termine di operatività al 2 dicembre 2027. L'attuazione concreta dipende dai provvedimenti nazionali nel quadro delineato dalla legge 132/2025.