Il livello 4 di guida autonoma è il punto in cui l’auto smette di chiedere attenzione continua e inizia a gestire da sola un dominio di guida preciso, ma non l’intero mondo reale. Io lo considero il passaggio più interessante dell’automazione automobilistica perché mette insieme software, sensori, ridondanza e regole operative in un sistema unico. In queste righe spiego cosa cambia davvero, quali limiti restano e perché nel 2026 questa tecnologia è già concreta in alcuni contesti, ma non ancora universale.
Le quattro cose che contano davvero nel livello 4
- Il sistema gestisce guida e fallback dentro un ODD, cioè un perimetro operativo definito.
- L’occupante non deve sorvegliare in continuo, ma il veicolo non può essere usato ovunque.
- La differenza rispetto al livello 3 sta soprattutto nel fatto che il sistema deve portare a termine la messa in sicurezza da solo.
- La tecnologia dipende da percezione, localizzazione, pianificazione e ridondanza, non da un singolo sensore “magico”.
- In Italia, nel 2026, siamo ancora più vicini alla sperimentazione regolata che alla vendita di massa.
Cosa cambia davvero tra livello 3 e livello 4
Secondo SAE J3016, la differenza non è solo “più automazione”, ma chi gestisce il fallback. Al livello 3 il sistema può guidare, però il conducente deve restare pronto a riprendere il controllo; al livello 4, invece, il sistema deve completare anche la parte critica quando qualcosa va storto e portare il veicolo in una condizione sicura senza aspettarsi interventi umani.
| Aspetto | Livello 3 | Livello 4 |
|---|---|---|
| Ruolo dell’umano | Deve essere pronto a intervenire quando richiesto | Può essere un passeggero, senza supervisione continua |
| Fallback | Spesso è atteso dal conducente | Deve essere eseguito dal sistema se necessario |
| Campo d’uso | Rimane limitato, ma con maggiore dipendenza dal conducente | Limitato dall’ODD, però più autonomo dentro quel perimetro |
| Rischio operativo | Il sistema può chiedere supporto umano | Il sistema deve saper fermarsi o mettersi in sicurezza da solo |
| Esempio tipico | Traffico autostradale o code in scenari molto specifici | Robotaxi, shuttle o tratta predefinita in area controllata |
Io lo traduco così: al livello 3 l’auto ti aiuta, al livello 4 l’auto si prende in carico il tratto in cui è stata progettata per operare. Ed è proprio qui che entrano in scena sensori, mappe e ridondanza, perché senza una base tecnica robusta il livello 4 resta solo un’etichetta.
L’architettura tecnica che lo rende possibile
Un sistema di quarto livello non si regge su un singolo algoritmo “intelligente”, ma su una catena di funzioni che devono lavorare insieme: percezione, localizzazione, previsione, pianificazione e controllo. Quando una di queste parti è debole, l’intero progetto perde affidabilità. Per questo i programmi seri puntano su architetture ridondanti e su una validazione molto più severa di quella tipica dei sistemi di assistenza alla guida.
Sensori e percezione
La percezione serve a capire cosa c’è attorno al veicolo: corsie, pedoni, ciclisti, segnali, ostacoli temporanei e movimenti imprevedibili. In una piattaforma davvero robusta i sensori non si limitano a “vedere”, ma si compensano a vicenda: le telecamere leggono la scena, il radar misura distanza e velocità anche con meteo difficile, il lidar ricostruisce la geometria in 3D. In alcune piattaforme robotaxi si arriva a configurazioni con decine di sensori, fino a 29 telecamere oltre a lidar e radar: il punto non è fare scena, ma ridurre i punti ciechi.
Localizzazione e pianificazione
Il veicolo deve sapere con precisione dove si trova, non solo “più o meno”. Qui entrano in gioco mappe ad alta definizione, GNSS, unità inerziali e odometria delle ruote. La localizzazione serve a posizionare l’auto nella corsia giusta; la pianificazione decide la traiettoria migliore in tempo reale; il controllo trasforma quella decisione in sterzo, accelerazione e frenata. Quando questi moduli funzionano bene, il comportamento dell’auto appare fluido. Quando non funzionano bene, emergono esitazioni, frenate inutili e scelte conservative che tradiscono un sistema ancora fragile.
Leggi anche: Guida autonoma - La verità oltre il marketing.
Ridondanza e sicurezza funzionale
Nel livello 4 contano molto anche la ridondanza e il concetto di fail-operational, cioè la capacità di continuare a operare in sicurezza anche dopo un guasto rilevante. Non basta che il software sia buono: servono backup su calcolo, alimentazione, frenata, sterzo e posizionamento. Se un sottosistema cede, un altro deve prendere il posto o il veicolo deve poter passare senza esitazione a una manovra di sicurezza.
Tutto questo funziona però solo dentro un dominio ben definito; senza ODD il sistema perde il suo perimetro, ed è proprio il perimetro operativo a determinare dove il livello 4 è davvero credibile.
Perché l’ODD decide quasi tutto
L’ODD, cioè operational design domain, è il contratto implicito tra il sistema e il mondo reale: dice dove, quando e in quali condizioni il veicolo può operare. Io lo considero la vera frontiera del livello 4, perché non esiste autonomia utile senza limiti espliciti. Più l’ODD è stretto, più il sistema può essere affidabile; più lo allarghi, più aumentano complessità, costi e rischio di errore.
| Parametro ODD | Perché conta | Esempio pratico |
|---|---|---|
| Tipo di strada | Le regole cambiano tra città, tangenziale, autostrada e aree private | Solo tratte urbane geofenced o solo corsie dedicate |
| Velocità | Aumentando la velocità cresce lo spazio di arresto e il margine d’errore | Shuttle lenti o tratte extraurbane molto controllate |
| Meteo e visibilità | Pioggia forte, neve, nebbia e luce scarsa riducono l’affidabilità dei sensori | Operatività solo con condizioni meteo accettabili |
| Traffico e lavori stradali | Segnaletica temporanea e cantieri complicano la lettura della scena | Esclusione di aree con lavori o deviazioni non mappate |
| Geofencing | Delimita digitalmente l’area dove il servizio è autorizzato e testato | Centro urbano, campus, aeroporto, polo logistico |
Il punto più frainteso è questo: l’ODD non è una debolezza, è il motivo per cui il sistema resta affidabile. Quando il costruttore restringe l’uso, in realtà sta dicendo che sa controllare meglio il rischio. Da qui si passa al tema più delicato, cioè cosa accade quando il sistema esce dai suoi confini o incontra un guasto.
Cosa succede quando il sistema non può continuare
Qui entra in scena il fallback, cioè la sequenza con cui il veicolo si porta in sicurezza quando non può più proseguire normalmente. Il termine tecnico importante è minimal risk condition, in italiano condizione minima di rischio: il mezzo deve arrivare a uno stato stabile e sicuro, di solito arrestando la marcia, accostando o uscendo dalla zona di traffico attivo se il contesto lo consente.
- Il sistema prova a completare la manovra restando dentro l’ODD.
- Se la situazione peggiora o l’ODD sta per terminare, avvisa l’occupante o la flotta.
- Se non può continuare, esegue da solo la manovra di messa in sicurezza.
- Se previsto dal progetto, invia l’evento al centro operativo per l’assistenza.
Qui c’è una distinzione che tengo ferma: il supporto remoto può aiutare a coordinare un evento, ma non va confuso con la guida da remoto. La guida da remoto è un’altra cosa, e lo standard la tratta separatamente; nel livello 4, il punto non è avere qualcuno al joystick, ma avere il veicolo capace di chiudere il problema in modo autonomo. Questa logica diventa molto più chiara quando la guardiamo nei casi d’uso reali.
Dove il livello 4 è davvero realistico oggi
Nel mondo reale il quarto livello funziona meglio dove l’ambiente è più prevedibile, mappabile e controllabile. Per questo oggi vedo tre scenari molto credibili: robotaxi in aree geofenced, shuttle su tratte fisse e operazioni logistiche in spazi delimitati. Non è un caso: in questi contesti il sistema può ripetere migliaia di volte le stesse situazioni, migliorando affidabilità e costi operativi.
- Robotaxi urbani - funzionano bene se l’area è ben mappata e i percorsi sono compatibili con l’ODD. La forza è la ripetibilità, non la libertà totale.
- Shuttle per campus, aeroporti o distretti aziendali - qui il traffico è più semplice, le velocità sono contenute e il perimetro è noto. È uno degli usi più solidi.
- Logistica su aree private o semi-private - depositi, terminal, hub industriali e percorsi interni sono ideali perché riducono l’imprevedibilità esterna.
- Tratte autostradali o corsie dedicate - sono possibili solo quando il sistema è stato progettato per quel tipo di flusso e per quelle condizioni precise.
Questo spiega anche il modello economico: il livello 4 è più convincente come servizio di flotta che come dotazione generalista di un’auto privata. La ragione è semplice: la tecnologia rende meglio quando lavora tanto dentro lo stesso dominio, non quando deve promettere tutto a tutti. Il passaggio successivo, però, è capire cosa consente davvero il quadro regolatorio italiano.
Italia ed Europa tra test, omologazione e uso su strada
In Italia, il MIT autorizza la sperimentazione su strada pubblica solo con una procedura specifica e con il nulla osta dell’ente gestore della tratta. Questo dettaglio conta più di quanto sembri, perché separa nettamente il test controllato dall’uso commerciale libero. Nel 2026, quindi, parlare di livello 4 in Italia significa quasi sempre parlare di programmi pilota, tratte definite e validazione rigorosa, non di disponibilità di massa.
Il quadro europeo segue la stessa logica di fondo: omologazione, autorizzazione operativa, sicurezza informatica, registrazione dati e responsabilità in caso di incidente devono stare insieme. Ecco perché il problema non è solo costruire l’auto, ma certificare il comportamento in condizioni specifiche, dimostrando che il sistema resta stabile dentro il suo dominio e sa fermarsi in modo sicuro quando quel dominio finisce.
Se un costruttore parla in modo vago di “autonomia avanzata”, io mi fermo sempre su questa domanda: sta descrivendo una prova, un servizio geofenced o un’auto davvero pronta per operare senza supervisione umana nel suo dominio? Da qui si arriva facilmente al punto più utile per chi legge: come smascherare il marketing troppo ambizioso.
Come distinguo un vero livello 4 da un sistema che lo imita
Quando valuto una soluzione, parto da una cosa semplice: se il sistema non sa rinunciare in sicurezza al controllo quando esce dal suo dominio, non è ancora livello 4. Da lì guardo i dettagli che contano davvero, non le etichette commerciali.
- Chiedo qual è l’ODD preciso, non una descrizione generica.
- Chiedo cosa succede con pioggia, neve, lavori stradali o segnale degradato.
- Chiedo chi esegue il fallback e come il veicolo si porta in condizione minima di rischio.
- Chiedo se il supporto remoto è solo supervisione operativa o guida effettiva da remoto.
- Chiedo se il sistema è pensato per una flotta, per una tratta o per un’auto privata.
- Chiedo se la sicurezza è stata progettata in modo fail-operational, non solo fail-safe.
Se una scheda tecnica non risponde chiaramente a queste domande, il termine “autonomo” sta facendo più marketing che informazione. Il valore vero del livello 4 non è promettere assenza totale di limiti, ma dichiarare limiti precisi e saperli gestire in modo sicuro. È questo che, nel 2026, separa una demo affascinante da una tecnologia davvero pronta per la strada.
