Intelligenza artificiale, neurodati e libertà mentale: perché l’Europa deve ripensare le regole della convergenza tra algoritmi e cervello
Negli ultimi anni, il dibattito sulla governance dell’intelligenza artificiale si è concentrato su decisioni, dati, algoritmi. Cosa succede quando l’IA non si limita più a processare informazioni, ma a interagire direttamente con il nostro cervello? Quando i sistemi di machine learning convergono con le neurotecnologie — interfacce cervello-computer, neurostimolazione controllata da reti neurali, analisi di imaging cerebrale alimentate da modelli di deep learning — il quadro normativo europeo è ancora adeguato?
La risposta non è un’assenza totale di regolamentazione. L’Unione Europea ha norme su quasi tutto: l’AI Act, entrato in vigore l’1° agosto 2024, per i sistemi algoritmici; il GDPR per il trattamento dei dati personali, compresi i dati neurali quando identificano o rendono identificabile una persona; le norme sul device medico per gli impianti. Il problema è più sottile: queste normative sono state costruite per scenari in cui il confine tra tecnologia e soggetto rimaneva tracciabile. Quando quella linea si assottiglia — quando un’intelligenza artificiale decodifica specifici stati mentali, quando il feedback neurale entra in un loop di controllo algoritmico, quando i dati cerebrali vengono utilizzati per addestrare modelli di intelligenza artificiale generale — le leggi esistenti rivelano insufficienze strutturali. Non è un vuoto da colmare con una norma. È una lacuna concettuale che richiede una riscrittura del modo stesso in cui pensiamo il rapporto tra algoritmi e spazi intimi della cognizione umana.
La convergenza già reale
Nel settembre 2026, il Gruppo europeo di etica della scienza e delle nuove tecnologie (EGE) ha pubblicato una dichiarazione intitolata Governing Neuro-AI: Towards an Infrastructure Approach. Il documento non sostiene che l’Europa sia completamente priva di norme sulla Neuro-AI. Propone invece una valutazione rigorosa delle lacune dell’insieme delle normative esistenti — un’insufficienza che diventa visibile non quando le tecnologie esistono isolatamente, ma quando convergono in modo sistematico. Aziende tecnologiche sviluppano interfacce cervello-computer sempre più sofisticate per applicazioni cliniche e consumer. I laboratori di neuroscienza integrano modelli di deep learning per l’analisi funzionale del cervello. I sistemi di neurostimolazione includono sempre più loop di feedback controllati da reti neurali. Sono sviluppi reali, non speculativi, anche se alcuni rimangono in fase di ricerca o di test clinico.
Le sfide normative emergono quando questi elementi convergono. Un’interfaccia cervello-computer può trasformare specifici segnali neurali in informazioni interpretabili da un sistema computazionale. Quel sistema, controllato da machine learning, produce output che controllano un agente esterno. Il feedback sensoriale ritorna come stimolo neurale. Il ciclo si chiude, rendendo più complessa l’attribuzione delle responsabilità e l’applicazione coordinata delle normative esistenti. Quale legge prevale? Chi è responsabile se il modello di machine learning, nel suo apprendimento continuo, altera indirettamente altri aspetti della cognizione? Chi controlli la qualità dei dati neurali usati per l’addestramento dei modelli? Questi interrogativi segnalano il problema sottostante: il coordinamento tra gli strumenti normativi non è automatico quando la tecnologia rende meno netti gli stessi confini concettuali su cui le norme si fondano.
La confusione normativa
L’AI Act, entrato in vigore l’1° agosto 2024, contiene disposizioni potenzialmente applicabili ai sistemi Neuro-AI: quelle sui dispositivi medici, sui sistemi di intelligenza artificiale ad alto rischio, su determinate forme di riconoscimento delle emozioni. Ma, come possiamo interpretarlo, contiene presupposti impliciti: che i sistemi di intelligenza artificiale siano principalmente strumenti di elaborazione di dati che producono output (decisioni, raccomandazioni, classificazioni) destinati a essere utilizzati in contesti organizzativi o sociali. L’atto opera, insomma, sulla base di una separazione concettuale tra il sistema decisionale (l’IA) e il soggetto che subisce la decisione.
Quando un’interfaccia cervello-computer controllata da intelligenza artificiale decodifica specifici segnali neurali e ne produce inferenze, quella distinzione diventa più difficile da mantenere. Non stiamo più parlando di un algoritmo che raccomanda una terapia: stiamo parlando di un sistema che produce e registra rappresentazioni computazionali di aspetti della tua attività cerebrale. Il dispositivo non è semplicemente uno strumento che ti consiglia qualcosa: è uno strumento che genera dati sugli stati neurali.
La criticità non è l’assenza totale di regole sulla Neuro-AI nell’AI Act. È piuttosto l’adeguatezza e il coordinamento di quelle tutele. Il GDPR si applica ai dati neurali quando costituiscono dati personali, e a determinate inferenze neurali quando rientrano nelle categorie particolari di dati. Ma il GDPR non è stato concepito per affrontare il caso specifico in cui il trattamento di dati neurali è affidato a sistemi di machine learning con comportamenti emergenti non completamente predicibili. Le norme sulla cybersicurezza degli impianti medici (Annex I point 17 del MDR 2017/745) stabiliscono requisiti generali basati su confidenzialità, integrità e disponibilità. Tuttavia, rimane aperta la questione se tali requisiti generali siano sufficientemente specifici e adeguati per affrontare i rischi associati a scenari sofisticati di interfacce cervello-computer compromesse — come inferenze indesiderate su stati mentali, preferenze decisionali, o aspetti intimi della personalità che potrebbero derivare dall’accesso non autorizzato ai segnali neurali.
I rischi, tra il clinico e lo speculativo
L’EGE parla, in questo contesto, non solo di privacy neurale, ma di “neurorights” — un concetto ampio che include il diritto alla libertà mentale, al controllo della propria identità neurale, all’integrità dei processi decisionali personali. È importante distinguere tra tre categorie di rischi: quelli già presenti nella tecnologia clinica esistente; quelli emergenti dalle applicazioni sperimentali in corso; quelli potenziali in scenari futuri ancora in fase di ricerca.
Nella categoria clinica esistente, le interfacce cervello-computer utilizzate per il ripristino motorio rappresentano un’area in cui il controllo algoritmico si integra strettamente con i circuiti neurali umani. Il cervello non è una macchina modulare: la plasticità neurologica suggerisce che i sistemi di ottimizzazione progettati per migliorare la funzione motoria potrebbero potenzialmente influenzare indirettamente altri aspetti della cognizione. Questa non è una conseguenza accertata, ma una conseguenza plausibile della natura interconnessa dei sistemi neurali. Quando un sistema esterno, controllato da intelligenza artificiale e gestito da un’organizzazione, ha accesso continuo a questi dati e può modulare il loro feedback, il rischio non è limitato al furto di informazioni. È il rischio teorico di forme di influenza che operano al di sotto della consapevolezza cosciente — un rischio che meriterebbe ricerca e monitoraggio esplicito.
Nella categoria delle applicazioni sperimentali, si trovano scenari controversi come l’uso di interfacce cervello-computer o neuroimaging per valutare candidati in selezione del personale. La presentazione di tali sistemi come affidabili comporta rischi significativi: potrebbero riprodurre o amplificare i bias dei dati di addestramento, mentre la validità scientifica di inferenze su affidabilità o capacità lavorativa sulla base di segnali neurali non può essere semplicemente presunta. Chi decide come questi dati devono essere interpretati? Chi garantisce che l’inferenza sia scientificamente valida? Chi è responsabile se il modello sbaglia? E quale consenso informato può essere davvero “informato” quando il soggetto non ha gli strumenti tecnici per comprendere cosa significa delegare a un algoritmo l’interpretazione della propria attività cerebrale?
Nella categoria degli scenari futuri, si trovano i Brain Foundation Models — modelli addestrati su dati di neuroimmagini o di segnali neurali su larga scala, capaci di generare rappresentazioni astratte dell’attività cerebrale umana. Esistono già ricerche e prototipi in questo ambito, sebbene la loro maturità, affidabilità, capacità di generalizzazione e applicazione su larga scala rimangono questioni aperte. Se questi modelli dovessero diventare operativi su scala commerciale, solleverebbero questioni radicalmente nuove: da dove provengono i dati neurali? Sono stati raccolti con consenso informato? Possono essere riutilizzati per scopi diversi da quelli originari? Chi controlla l’infrastruttura computazionale su cui girano? E se un’azienda privata detiene un modello che codifica schemi neurali di milioni di persone, quali sono le implicazioni per la sovranità cognitiva e l’autonomia individuale?
Il vero problema: l’infrastruttura
La governance della Neuro-AI non è principalmente un problema di aggiungere articoli all’AI Act o di estendere il GDPR a nuove categorie di dati. È un problema infrastrutturale. La nostra attuale governance dell’intelligenza artificiale è costruita ancora come se i sistemi algoritmici fossero strumenti neutrali che amplificano decisioni umane già formate, quando sempre più spesso sono infrastrutture che ridisegnano gli spazi decisionali stessi. E quando quella infrastruttura tocca il cervello, non stiamo amplificando una decisione: stiamo creando le condizioni per nuove forme di potere e controllo che operano a un livello antecedente alla consapevolezza.
Il problema non è soltanto chi può leggere un segnale neurale, ma chi possiede l’infrastruttura capace di trasformarlo in conoscenza, decisione e potere.
Dalla prospettiva infrastrutturale proposta dall’EGE emergono almeno quattro questioni che meritano particolare attenzione. Primo: la proprietà e il controllo dell’infrastruttura Neuro-AI. Chi decide quali dati neurali possono essere raccolti, come possono essere trasformati in modelli di intelligenza artificiale, e chi ha accesso a quei modelli? Se la dipendenza europea da infrastrutture e fornitori tecnologici extraeuropei è già significativa nel settore dei large language models, quale speranza abbiamo nel settore dei modelli neurali, dove il vantaggio competitivo potrebbe significare accesso esclusivo a dati neurali di popolazioni intere? Secondo: la provenienza e il riutilizzo dei neurodati. I dati neurali utilizzati per addestrare i modelli sono stati raccolti eticamente? Con quale consenso? Possono essere riutilizzati per scopi nuovi, magari a scapito degli interessi delle persone da cui provengono? Terzo: la trasparenza algoritmica nei sistemi Neuro-AI. Se un algoritmo produce un’inferenza su uno stato mentale, il soggetto ha diritto di sapere come è stata formulata, su quali dati si basa, quanto è affidabile? Quarto: la concentrazione dell’infrastruttura. Se il controllo della tecnologia Neuro-AI si concentra in poche mani — pubbliche o private — quali sono le implicazioni per la democrazia?
Governare la Neuro-AI significa quindi governare non solo gli algoritmi, ma l’intera architettura di raccolta, trasformazione, e controllo dei dati neurali. Significa decidere esplicitamente quali applicazioni della tecnologia sono compatibili con il tipo di società in cui vogliamo vivere, e quali no. Non tutte le innovazioni tecnicamente fattibili devono essere fattibili anche legalmente. Non tutte le inferenze che una macchina può fare su una persona devono essere permesse.
Cosa potrebbe succedere adesso
L’EGE ha aperto la porta, ma la porta rimane aperta senza una scelta. A questo punto, le possibilità sono essenzialmente due, e rappresentano percorsi molto diversi.
La prima: i policy maker europei recepiscono l’urgenza della questione e iniziano a costruire una cornice normativa specifica per la Neuro-AI prima che la tecnologia diventi di massa e i fatti consumati rendano la governance retroattiva. Questo richiederebbe una combinazione di strumenti: emendamenti all’AI Act per coprire esplicitamente i sistemi Neuro-AI; nuove direttive sulla protezione dei neurodati e dei “neurorights”; chiarimenti sulla giurisdizione e sulla responsabilità di chi sviluppa, distribuisce, e utilizza queste tecnologie; e — crucialmente — meccanismi di coinvolgimento pubblico e scientifico che precedano e informino la regolamentazione. È la strada difficile, perché richiede decisioni normative su frontiere tecnologiche ancora incerte. Ma è anche l’unica strada che preserva spazi di scelta pubblica autentica.
La seconda: il silenzio normativo continua, mentre la tecnologia progredisce. Le aziende sviluppano sistemi Neuro-AI in zone grigie normative, invocando la libertà di ricerca quando conveniente, la privacy dei dati neurali quando contestate, il principio di proporzionalità quando criticate. Gli utilizzatori finali — pazienti in ospedali, lavoratori in aziende, utenti di consumer neurotech — scoprono progressivamente che il loro spazio mentale è stato colonizzato senza che avessero mai scelto di cederlo. Emerge una governance di fatto, gestita dagli algoritmi e dalle organizzazioni che li controllano. Alcuni danni possono essere riparati; altri no. Alcune ingiustizie possono essere corrette; altre entrano nella struttura stessa della società.
Non è una scelta tra tecnologia e no-tech. È una scelta tra governance proattiva e governance reattiva. Tra costruire le regole mentre c’è ancora tempo, e raccogliere i cocci dopo che il danno è fatto. Lo abbiamo visto con i dati personali, con il tracciamento online, con gli algoritmi di raccomandazione. Non vedo ragione per cui dovrebbe andare diversamente quando la tecnologia accede direttamente ai processi neurali che sottendono la personalità, l’autonomia, la libertà mentale.
Conclusione: una questione politica, non tecnica
La convergenza tra intelligenza artificiale e neurotecnologie non è una sfida puramente tecnologica o scientifica. È una questione politica di primo ordine. Riguarda il potere — chi lo ha, come viene distribuito, verso chi viene diretto. Riguarda la responsabilità — chi ne ha, come viene attribuita, come viene verificata. Riguarda la dignità umana e il diritto di pensare liberamente in uno spazio che rimane personale anche quando è tecnologicamente mediato. Riguarda quale tipo di società vogliamo costruire: una in cui la libertà mentale è protetta come diritto fondamentale, oppure una in cui è gradualmente erosa in nome dell’efficienza, della personalizzazione, della ricerca scientifica.
Le normative possono sembrare lontane dall’esperienza personale. Ma le infrastrutture normative sono infrastrutture di potere. Decidere come governare la Neuro-AI significa decidere in anticipo, non a posteriori, quali forme di accesso al cervello umano una società democratica può permettersi. Non tutto ciò che è tecnicamente fattibile deve essere fattibile anche legalmente. Non tutto ciò che genera valore per le aziende deve generare diritti di accesso ai nostri spazi mentali. Queste non sono forme di conservatorismo ingenuo. Sono le condizioni minime perché la governance dell’IA non diventi un eufemismo per l’assenza di governance.
Nota editoriale
Questo articolo si fonda sulla dichiarazione del Gruppo europeo di etica della scienza e delle nuove tecnologie “Governing Neuro-AI: Towards an Infrastructure Approach” (8 settembre 2026, disponibile presso community.era.gv.at; documento originale nella pubblicazione dell’Ufficio delle pubblicazioni dell’UE), sul regolamento EU 2024/1689 (AI Act) entrato in vigore l’1° agosto 2024, e sul regolamento EU 2016/679 (GDPR).
Non rappresenta una posizione ufficiale di alcuna istituzione, ma un’analisi critica della lacuna normativa tra tecnologie emergenti e quadri governativi attuali, volta a stimolare la consapevolezza sull’urgenza della questione.
