Con il decreto legislativo 7 ottobre 2026, n. 179, il legislatore italiano compie un passaggio decisivo nell’attuazione nazionale del Regolamento (UE) 2024/1689, il cosiddetto AI Act.
Il decreto, pubblicato nella Gazzetta Ufficiale dell’8 ottobre 2026, n. 234 e in vigore dal 23 ottobre 2026, dà attuazione alla delega contenuta nella legge 23 settembre 2025, n. 132 e interviene soprattutto su due grandi direttrici: da un lato costruisce l’apparato italiano di vigilanza, controllo e sanzione; dall’altro attribuisce alla formazione e all’alfabetizzazione in materia di IA un ruolo centrale nel processo di diffusione della tecnologia.
Il provvedimento è particolarmente significativo perché mostra come la disciplina dell’intelligenza artificiale stia progressivamente abbandonando il terreno dei soli principi per entrare nella quotidianità di imprese, professionisti, rapporti di lavoro, pubbliche amministrazioni, scuole, università e sanità.
La conseguenza pratica è importante: utilizzare l’intelligenza artificiale non è più soltanto una scelta tecnologica. Sta diventando una questione di governance, organizzazione, formazione, responsabilità e compliance.
1. Una governance italiana dell’intelligenza artificiale
Il primo pilastro del decreto riguarda l’individuazione delle autorità competenti.
L’AgID assume il ruolo di autorità nazionale di notifica, mentre l’ACN è individuata quale principale autorità nazionale di vigilanza del mercato e punto di contatto unico. A queste si affiancano, nei rispettivi settori, Banca d’Italia, CONSOB e IVASS, nonché il Garante per la protezione dei dati personali negli ambiti previsti dal Regolamento.
Il modello italiano è quindi caratterizzato da una governance plurale.
La scelta appare comprensibile considerando che un sistema di IA può contemporaneamente interessare cybersicurezza, protezione dei dati, servizi finanziari, diritti dei lavoratori e tutela dei consumatori.
Proprio questa articolazione, tuttavia, renderà fondamentale il coordinamento tra le diverse autorità. Il decreto tenta di affrontare il problema prevedendo accordi, protocolli d’intesa e meccanismi di cooperazione e istituendo un Comitato di coordinamento.
Per imprese e professionisti ciò significa che la compliance in materia di IA non potrà essere considerata una disciplina isolata. Dovrà necessariamente dialogare con privacy, cybersecurity, diritto del lavoro, disciplina settoriale e organizzazione aziendale.
2. ACN acquisisce importanti poteri di vigilanza e ispezione
Particolarmente rilevanti sono gli artt. 15 e 16.
L’ACN dispone dei poteri di vigilanza e ispettivi previsti dall’AI Act e dalla normativa europea sulla vigilanza del mercato.
I controlli possono riguardare anche le prove di sistemi di IA in condizioni reali e comprendere ispezioni a distanza o in loco, anche senza preavviso.
Diventa pertanto essenziale che le organizzazioni siano in grado di dimostrare non soltanto la conformità formale del sistema, ma anche il modo in cui l’intelligenza artificiale viene concretamente utilizzata.
È il passaggio da una compliance prevalentemente documentale a una vera governance dell’algoritmo.
In termini pratici ciò suggerisce alle organizzazioni che impiegano IA di predisporre almeno:
- una mappatura dei sistemi utilizzati;
- l’individuazione dei relativi fornitori;
- una classificazione dei rischi;
- procedure per la supervisione umana;
- regole sull’impiego dei dati;
- procedure di gestione degli incidenti;
- evidenze della formazione del personale;
- sistemi di logging e tracciabilità ove necessari.
3. Le sanzioni: fino a 35 milioni di euro o al 7% del fatturato mondiale
Uno dei passaggi che rende immediatamente percepibile la rilevanza economica della nuova disciplina è l’art. 23.
Per la violazione del divieto relativo alle pratiche vietate dall’art. 5 dell’AI Act il decreto prevede una sanzione fino a 35 milioni di euro oppure, se superiore, fino al 7% del fatturato mondiale totale annuo dell’esercizio precedente.
Per altre violazioni degli obblighi stabiliti dal Regolamento, la sanzione può arrivare a 15 milioni di euro o al 3% del fatturato.
La comunicazione di informazioni inesatte, incomplete o fuorvianti può comportare una sanzione fino a 7,5 milioni o all’1% del fatturato; per le violazioni degli artt. 27 e 86 dell’AI Act il limite previsto è invece di 1 milione di euro o dello 0,5% del fatturato mondiale, quando quest’ultimo importo risulti superiore. Il decreto contiene inoltre una disciplina specifica per PMI, microimprese e start-up innovative, richiamando il criterio previsto dall’art. 99, par. 6, dell’AI Act.
Il sistema non è, tuttavia, esclusivamente punitivo.
Per le violazioni caratterizzate da scarsa offensività o pericolosità l’art. 22 consente alle autorità, in alternativa alla sanzione pecuniaria, di ordinare la cessazione dell’infrazione oppure, a determinate condizioni, di disporre una dichiarazione pubblica relativa alla violazione. L’inosservanza dell’ordine può determinare un aumento della sanzione fino a un terzo.
4. Una delle maggiori novità riguarda il rapporto di lavoro
Per il diritto del lavoro, l’art. 41 costituisce probabilmente una delle norme più interessanti dell’intero decreto.
Quando il datore utilizza sistemi di IA nei processi decisionali relativi al rapporto di lavoro, le decisioni finali concernenti costituzione, modificazione o risoluzione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non possono essere adottate unicamente attraverso un trattamento automatizzato.
La decisione definitiva deve essere riservata a una persona fisica dotata di un potere effettivo e autonomo.
Il decreto precisa inoltre che il consenso del lavoratore non costituisce una deroga a tale principio.
La previsione più incisiva è però contenuta nel quarto comma: il licenziamento intimato in violazione del principio della decisione umana è nullo.
Sono inoltre nulle le altre decisioni del datore assunte in violazione della disposizione.
È una norma destinata ad assumere considerevole importanza nel contenzioso lavoristico.
5. Il lavoratore ha diritto a comprendere l’incidenza dell’algoritmo
La supervisione umana non esaurisce gli obblighi dell’impresa.
Il lavoratore può chiedere, mediante l’intervento di una persona fisica, una motivazione intelligibile della decisione che lo riguarda, comprensiva dell’eventuale incidenza dell’IA e dei principali parametri considerati.
Restano inoltre fermi gli obblighi informativi previsti dal D.Lgs. 152/1997 e i diritti riconosciuti dal GDPR.
Da un punto di vista processuale, questa disposizione potrebbe assumere particolare rilievo quando una decisione datoriale sia stata preceduta da ranking, scoring, profilazione o altre elaborazioni algoritmiche.
Non sarà sufficiente sostenere che l’algoritmo rappresentasse un mero ausilio.
Occorrerà poter ricostruire quale funzione abbia svolto il sistema, quali informazioni abbia utilizzato e quale sia stato l’effettivo intervento umano nella decisione.
6. IA e sicurezza del lavoro: entra in gioco il DVR
L’art. 42 aggiunge un ulteriore obbligo particolarmente concreto.
Quando i sistemi di IA incidono sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti per la sicurezza, il loro impiego deve essere valutato nell’ambito della valutazione dei rischi prevista dall’art. 28 del D.Lgs. 81/2008.
L’introduzione dell’IA può quindi rendere necessario intervenire sul Documento di Valutazione dei Rischi.
Parallelamente, il datore deve assicurare ai lavoratori un’adeguata informazione e formazione sui rischi specifici derivanti dai sistemi e sulle relative misure di prevenzione e protezione.
È un punto di grande rilevanza pratica: la valutazione dell’IA aziendale non può più essere affidata esclusivamente al reparto IT.
7. Una formazione obbligatoria sull’IA per le professioni
Il decreto dedica particolare attenzione anche ai professionisti.
L’art. 47 prevede che i percorsi di formazione iniziale e continua organizzati dagli ordini professionali comprendano percorsi di alfabetizzazione e formazione sull’uso dell’IA.
La formazione dovrà riguardare tre dimensioni:
- tecnica, comprendendo funzionamento, tecniche di interrogazione e istruzione, potenzialità e limiti;
- giuridica, con particolare attenzione all’AI Act e alla normativa nazionale;
- deontologica, affrontando responsabilità professionale, obblighi informativi verso il cliente e principio antropocentrico.
I consigli nazionali degli ordini e collegi hanno sei mesi dall’entrata in vigore del decreto per adeguare la disciplina della formazione professionale. Inoltre i percorsi dovranno prevedere un monte ore minimo per ogni periodo di valutazione della formazione continua.
Per la professione forense il messaggio è particolarmente chiaro: saper usare consapevolmente l’IA diventa progressivamente una componente della competenza professionale.
Non si tratta soltanto di imparare a formulare prompt. Il professionista deve comprendere limiti, rischi, riservatezza, verificabilità degli output, responsabilità e doveri verso il cliente.
8. Giustizia e IA: formazione specifica del personale
Anche l’amministrazione della giustizia è direttamente interessata.
L’art. 46 prevede percorsi formativi comprendenti aspetti tecnici, giuridici, organizzativi, di cybersecurity e di tutela dei diritti fondamentali.
La formazione dei magistrati viene affidata alla Scuola superiore della magistratura, mentre per il restante personale provvede il Ministero della giustizia.
Quando siano utilizzati sistemi classificati ad alto rischio, la formazione deve inoltre assicurare le competenze necessarie per esercitare un’autentica sorveglianza umana.
9. IA nelle pubbliche amministrazioni
L’art. 40 assegna al Ministro per la pubblica amministrazione il compito di indirizzare le politiche di formazione e riqualificazione necessarie all’introduzione dell’intelligenza artificiale nel settore pubblico.
Dovrà essere definito, sentite AgID e ACN e previa intesa in Conferenza Stato-Regioni, un quadro minimo delle competenze in materia di IA richieste ai dipendenti pubblici. Per la formazione potranno essere coinvolti SNA, Formez PA, università, enti di ricerca e istituzioni AFAM.
La logica è evidente: digitalizzare la pubblica amministrazione non significa semplicemente acquistare sistemi di IA, ma creare personale capace di comprenderne funzionamento, rischi e corretta utilizzazione.
10. La formazione diventa un pilastro della politica italiana sull’IA
Il Capo III del decreto contiene un progetto decisamente più ampio.
La formazione interessa infatti studenti, docenti, adulti, dipendenti pubblici, personale della giustizia, professionisti e personale sanitario.
Nella scuola l’obiettivo dichiarato è sviluppare un utilizzo consapevole, responsabile, critico ed eticamente orientato dell’intelligenza artificiale.
Il provvedimento prevede anche un piano contro l’utilizzo eccessivo e non consapevole di social media e ambienti basati su IA, finanziato nell’ambito del programma PN Scuola e Competenze 2021-2027, nel limite di 100 milioni di euro.
Il legislatore sembra così riconoscere un principio fondamentale: non è possibile governare l’intelligenza artificiale soltanto mediante divieti e sanzioni. È necessario creare competenze diffuse.
11. Nasce lo Spazio di sperimentazione italiano per l’IA
Il decreto istituisce inoltre lo Spazio di sperimentazione italiano per l’IA, previsto dall’art. 57 dell’AI Act.
AgID e ACN metteranno a disposizione dei fornitori e potenziali fornitori un ambiente controllato nel quale sviluppare e sperimentare sistemi di intelligenza artificiale. Il legislatore assegna particolare considerazione alle PMI e alle start-up, alle quali dovrà essere riconosciuta priorità secondo i criteri previsti dalla futura disciplina attuativa.
La sandbox potrà rappresentare un importante punto di incontro fra innovazione e compliance.
La sperimentazione normativa consentirà infatti di verificare soluzioni tecnologiche in un ambiente controllato e, nello stesso tempo, permetterà alle autorità di acquisire informazioni utili all’evoluzione della regolamentazione.
12. Dati, algoritmi e metodi di addestramento diventano espressamente know-how tutelabile
Merita infine attenzione l’art. 52, che modifica l’art. 98 del Codice della proprietà industriale.
Tra le informazioni aziendali e le esperienze tecnico-industriali suscettibili di tutela vengono espressamente inclusi, quando ricorrono i presupposti previsti dal Codice, anche dati, algoritmi e metodi matematici per l’addestramento dei sistemi di IA.
La norma comprende espressamente architetture dei modelli, funzioni di ottimizzazione, procedure e configurazioni di addestramento e altri elementi tecnico-computazionali funzionali allo sviluppo del sistema. Le relative controversie restano attribuite alle sezioni specializzate in materia di impresa.
È una previsione destinata ad avere significativa importanza nella tutela del know-how delle imprese che sviluppano soluzioni proprietarie.
Dalla AI compliance alla AI governance
Il D.Lgs. 179/2026 rende evidente una trasformazione ormai irreversibile.
L’intelligenza artificiale non è più soltanto materia affidata agli sviluppatori o agli uffici IT.
È diventata un tema che coinvolge contemporaneamente organi amministrativi, uffici legali, HR, DPO, responsabili della cybersecurity, RSPP, organismi di vigilanza e professionisti.
Per le organizzazioni italiane la risposta non dovrebbe essere attendere il primo controllo.
Il percorso più prudente consiste invece nell’avviare una vera AI governance, partendo da:
- censimento dei sistemi di IA già utilizzati;
- classificazione normativa e individuazione dei rischi;
- verifica delle informative e della protezione dei dati;
- definizione della supervisione umana;
- regolamentazione interna dell’uso dell’IA generativa;
- aggiornamento delle procedure HR;
- verifica dell’eventuale necessità di aggiornamento del DVR;
- formazione documentata del personale;
- disciplina contrattuale dei rapporti con i fornitori di sistemi IA;
- procedure per incidenti, reclami, controlli e verifiche.
Conclusioni
Con il D.Lgs. 179/2026 il diritto italiano dell’intelligenza artificiale compie un ulteriore salto di qualità.
Il punto forse più significativo del provvedimento non risiede in una singola disposizione, ma nell’impostazione complessiva: innovazione tecnologica, controllo umano, responsabilità e competenza devono procedere insieme.
Alle organizzazioni viene quindi richiesta non soltanto conformità alle norme, ma capacità di dimostrare che la tecnologia è stata integrata all’interno di processi governati, comprensibili e controllabili.
È questo, probabilmente, il terreno sul quale si svilupperà nei prossimi anni una parte significativa del contenzioso e della consulenza legale in materia di intelligenza artificiale.
Comments are closed