L’8 settembre 2026 la Direzione generale Ricerca e innovazione della Commissione europea ha presentato una nuova dichiarazione dell’European Group on Ethics in Science and New Technologies (EGE): Governing Neuro-AI: Towards an Infrastructure Approach. Il documento arriva mentre neurotecnologie e intelligenza artificiale iniziano a convergere in dispositivi, servizi e modelli capaci di raccogliere segnali, elaborarli e produrre inferenze su stati cognitivi, emotivi o comportamentali.
È importante chiarire subito la natura della notizia. L’EGE è un gruppo indipendente di esperti che fornisce consulenza etica alle istituzioni europee. La comunicazione della Commissione illustra cinque raccomandazioni, ma non introduce un nuovo regolamento, una scadenza o un obbligo immediato per le imprese. Lo stesso documento integrale precisa che i contenuti non rappresentano necessariamente la posizione della Commissione.
Proprio per questo il testo è utile: offre un segnale anticipatore. Suggerisce che la governance non potrà fermarsi al singolo dispositivo o al consenso raccolto dall’utente, perché il valore e il rischio dei neurodati emergono quando dati, modelli, cloud, interfacce e pratiche organizzative diventano un’infrastruttura riutilizzabile.
Dalla neurotecnologia al “neurostack”
L’EGE definisce le infrastrutture Neuro-AI come sistemi integrati di hardware, software e pratiche attraverso cui i neurodati vengono raccolti, trattati e riutilizzati per creare e gestire applicazioni basate sull’IA. Il documento usa il termine “neurostack” per descrivere l’insieme coordinato di dispositivi, pipeline di dati, modelli fondazionali, servizi cloud, interfacce, standard, meccanismi di audit, attività commerciali e assetti istituzionali.
Questo cambio di prospettiva è decisivo. Un sensore destinato al sonno, al benessere, alla concentrazione o alla riabilitazione può apparire circoscritto se osservato da solo. Ma i segnali raccolti possono essere aggregati con dati comportamentali, biometrici e contestuali, trasferiti a servizi remoti e usati per addestrare modelli riutilizzabili. Il rischio non dipende quindi soltanto dall’invasività fisica del dispositivo: cresce anche con la capacità inferenziale, l’adattività del sistema, il contesto d’uso e l’impatto sulle decisioni.
L’EDPS aveva già dedicato un TechDispatch ai neurodati, evidenziando opportunità cliniche e di assistenza ma anche problemi di riservatezza, autonomia e uso secondario. La dichiarazione EGE amplia il campo: non chiede soltanto come proteggere il dato di una persona, ma chi controlla l’infrastruttura, quali incentivi guidano il riuso e come le inferenze possano incidere su gruppi e istituzioni.
Il punto critico non è solo il dato, ma ciò che il modello deduce
Un segnale grezzo e un’inferenza non sono la stessa cosa. Il primo può essere rumoroso o poco informativo; il secondo può attribuire alla persona stress, attenzione, impulsività, stato emotivo o propensione a un comportamento. Quando queste conclusioni vengono considerate più autorevoli del racconto e del contesto della persona, l’EGE parla di rischio di eccesso epistemico: una fiducia sproporzionata nella capacità del sistema di “conoscere” l’individuo.
Il problema diventa particolarmente serio se l’inferenza influenza occupazione, istruzione, assicurazioni, sanità, accesso a servizi o sicurezza. Anche un modello statisticamente utile può produrre un danno se viene applicato fuori contesto, presentato con certezza eccessiva o usato senza possibilità di contestazione. La verifica scientifica, la dichiarazione dell’incertezza e il controllo umano non sono quindi accessori comunicativi: devono essere parte del progetto.
Cosa dice oggi la legge e cosa propone invece l’EGE
Il GDPR non elenca oggi i neurodati come categoria autonoma nell’articolo 9. Determinati neurodati possono però rientrare nelle categorie già protette, per esempio quando rivelano informazioni sulla salute o quando costituiscono dati biometrici trattati per identificare in modo univoco una persona. La qualificazione dipende dalla natura del dato, dalle finalità e dal trattamento concreto.
La prima raccomandazione EGE va oltre il quadro attuale: propone di elencare esplicitamente neurodati e inferenze derivate come dati sensibili e di sviluppare una metodologia specifica di valutazione d’impatto Neuro-AI. È una proposta di evoluzione normativa e di guidance, non una modifica già approvata del GDPR.
Anche l’AI Act è già rilevante, ma non rende automaticamente ogni neurotecnologia vietata o ad alto rischio. Il regolamento vieta, tra l’altro, determinati usi manipolativi e l’impiego di sistemi di riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione, salvo finalità mediche o di sicurezza, nel perimetro definito dalla norma. Classificazione, ruolo dell’operatore e scopo previsto restano elementi da analizzare caso per caso.
Le altre raccomandazioni dell’EGE chiedono governance armonizzata per i Brain Foundation Models e le relative infrastrutture, protezioni contro usi sproporzionati in contesti decisionali, capacità europea di supervisione nel pubblico interesse e una verifica mirata dell’adeguatezza complessiva di GDPR, AI Act, regole sui dispositivi medici, sicurezza dei prodotti e tutela dei consumatori.
Una checklist operativa per chi sperimenta Neuro-AI
Non serve attendere una futura riforma per impostare controlli sensati. Chi sviluppa, acquista o sperimenta soluzioni Neuro-AI può partire da otto domande:
- Quali segnali vengono raccolti, con quale dispositivo e per quale finalità dichiarata?
- Quali dati grezzi, caratteristiche elaborate e inferenze vengono prodotti, conservati o trasferiti?
- Il dato viene usato solo per il servizio oppure anche per addestrare, aggiornare o valutare modelli?
- La provenienza dei dataset, la base giuridica e i passaggi di preparazione sono documentati e verificabili?
- Le affermazioni su attenzione, stress, emozioni o capacità hanno una validazione scientifica adeguata al contesto reale?
- Fornitori e subfornitori possono riutilizzare dati, modelli o inferenze in altri settori o Paesi?
- Una persona può comprendere, contestare e correggere un’inferenza prima che produca effetti importanti?
- Esistono limiti d’uso, log, revisione umana, monitoraggio degli impatti e una procedura di sospensione?
Queste domande uniscono privacy, gestione del rischio IA, sicurezza, procurement e qualità scientifica. Se restano distribuite tra uffici che non comunicano, nessuno vede l’intero ciclo di vita. È quindi opportuno assegnare un proprietario al caso d’uso e creare una mappa comune che colleghi dato, modello, fornitore, decisione e persona interessata.
Governare prima che le dipendenze diventino invisibili
La lezione più concreta della dichiarazione EGE è temporale. Quando una tecnologia è ancora emergente, è possibile progettare tracciabilità, condizioni di accesso, limiti al riuso, auditabilità e possibilità di uscita. Quando dataset, modelli e fornitori sono già incorporati nei processi, cambiare rotta diventa più costoso e le dipendenze meno visibili.
Per sanità, ricerca, formazione, ambienti di lavoro, produttori di wearable e servizi consumer, la domanda non dovrebbe essere soltanto “il dispositivo funziona?”. Bisogna chiedersi quale infrastruttura alimenta, quali inferenze rende possibili e chi potrà usarle domani. La governance Neuro-AI inizia qui: dalla capacità di vedere la filiera prima che diventi una scatola nera.
Se stai valutando una sperimentazione che combina dati sensibili, intelligenza artificiale e fornitori cloud, posso aiutarti a costruire una mappa proporzionata di finalità, flussi, rischi, responsabilità ed evidenze. Contattami o seguimi per altri approfondimenti su AI governance, privacy e innovazione digitale.
Nota di trasparenza: questo contenuto, nelle componenti testuali e visive, è stato realizzato in parte con l’ausilio di strumenti di intelligenza artificiale, con revisione umana finale.