Il quadro normativo e le autorità competenti

Il 23 ottobre 2026 entra in vigore il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre. Il provvedimento traduce in diritto interno l’AI Act europeo (regolamento 2024/1689) e l’attuazione della legge 23 settembre 2025, n. 132. L’obiettivo è dotare l’Italia di un assetto di vigilanza capace di controllare l’applicazione delle regole sull’intelligenza artificiale, coordinare le attività di monitoraggio e intervenire in caso di violazioni.

Il decreto conferma l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionali per l’IA, secondo quanto previsto dalla legge 132/2025. AgID diventa l’autorità nazionale di notifica, responsabile delle procedure relative agli organismi incaricati di valutare la conformità dei sistemi di intelligenza artificiale. L’ACN, invece, esercita le funzioni generali di vigilanza del mercato, comprese le attività ispettive e sanzionatorie, e funge da punto di contatto unico con le istituzioni europee.

Le due agenzie devono collaborare strettamente con le altre amministrazioni e autorità indipendenti, evitando sovrapposizioni di competenza. La distinzione è chiara: AgID si occupa della verifica della conformità pre‑mercato, mentre ACN vigila sui sistemi già immessi o in uso.

Competenze settoriali: finanza, assicurazioni e protezione dei dati

L’articolo 5 del decreto attribuisce alla Banca d’Italia la vigilanza sui sistemi di IA ad alto rischio utilizzati nei servizi bancari e finanziari di sua competenza. La Consob mantiene la responsabilità sui sistemi ad alto rischio impiegati nei servizi di investimento, mentre l’IVASS conserva le funzioni relative all’attività assicurativa, riassicurativa e alla distribuzione dei prodotti assicurativi.

Il Garante per la protezione dei dati personali conserva le proprie competenze nei casi previsti dal regolamento europeo, garantendo che le attività di trattamento dei dati siano conformi al GDPR anche quando supportate da algoritmi di IA.

Per gli operatori regolamentati, l’applicazione dell’AI Act si inserisce nei sistemi di controllo già esistenti. Banche, intermediari e assicurazioni dovranno tenere conto sia delle prescrizioni europee sull’IA sia delle disposizioni settoriali specifiche, integrando i requisiti di conformità nei propri quadri di risk management.

Strumenti di verifica e sanzioni

Il decreto organizza i poteri di vigilanza, le procedure sanzionatorie e le forme di collaborazione fra le amministrazioni. Le autorità competenti possono intervenire secondo le rispettive attribuzioni e le condizioni stabilite dall’AI Act. Sono previste:

Le modalità di applicazione delle sanzioni sono disciplinate sia dal decreto che dal regolamento europeo, garantendo coerenza e trasparenza nei procedimenti.

Spazio di sperimentazione e innovazione

L’articolo 26 istituisce lo Spazio di sperimentazione italiano per l’intelligenza artificiale, gestito congiuntamente da AgID e ACN. Le imprese potranno sviluppare e verificare sistemi innovativi in un ambiente controllato, confrontandosi direttamente con le autorità competenti.

La disciplina pone particolare attenzione alle piccole e medie imprese (PMI) e alle startup, prevedendo criteri di ammissione favorevoli e priorità di accesso per progetti ad alto impatto sociale o ambientale. Le modalità operative, i criteri di ammissione e le priorità di accesso saranno definiti da successivi provvedimenti, perciò lo spazio non sarà immediatamente aperto a tutte le richieste.

Formazione e competenze

L’articolo 36 consente alle scuole di promuovere attività didattiche sull’intelligenza artificiale, mentre l’articolo 38 disciplina la formazione di insegnanti e studenti. Il Ministero dell’Istruzione e del Merito dovrà, entro novanta giorni, emanare un proprio decreto per definire criteri e modalità della formazione dei docenti.

Le disposizioni coinvolgono inoltre università, istituzioni di alta formazione e centri per l’istruzione degli adulti, con un focus su:

L’articolo 40 affida al ministro competente il coordinamento delle politiche formative per la Pubblica Amministrazione, stabilendo competenze minime sull’IA per i dipendenti pubblici.

Garanzie per i lavoratori

L’articolo 41 introduce garanzie specifiche per i lavoratori. Le decisioni definitive su assunzioni, licenziamenti, provvedimenti disciplinari e valutazioni delle prestazioni non possono essere affidate esclusivamente a trattamenti automatizzati. La decisione finale deve essere riservata a una persona fisica dotata di effettiva autonomia, che deve fornire una motivazione intelligibile al dipendente, indicando l’incidenza dell’IA e i parametri considerati.

L’articolo 42, invece, regola la sicurezza sul lavoro, prevedendo obblighi specifici per l’uso di IA in ambienti a rischio, con particolare riferimento alla tutela della salute e della sicurezza dei lavoratori.

Impatto sulle imprese: governance, compliance e responsabilità

L’entrata in vigore del decreto 179/2026 richiede alle imprese di:

Il percorso di adeguamento non si limita a una semplice checklist documentale: è necessario ripensare policy interne, modelli di governance e percorsi formativi, garantendo che le decisioni critiche rimangano sotto il controllo di soggetti umani con autonomia effettiva.

Commento di un esperto

A delineare i principali aspetti del decreto, l’avv. Ugo Ettore Di Stefano, senior partner presso Lexellent, sottolinea gli adempimenti concreti per le imprese. “Il decreto chiede alle imprese, in più punti, interventi di governance e compliance che non siano solo documentali. Per esempio, l’art. 41 riserva a una persona fisica con potere effettivo e autonomo le decisioni finali su costituzione, modifica e cessazione del rapporto, inclusi i provvedimenti disciplinari e le valutazioni delle prestazioni. Il consenso del lavoratore non opera come esimente e la violazione rende nulla la decisione, licenziamento compreso. Operativamente occorre quindi mappare i processi HR in cui interviene l’IA e formalizzare ruolo e tracciabilità del decisore umano. Prima dell’avvio devono essere rese le informative obbligatorie ai sensi di legge e, su richiesta, il lavoratore ha diritto a una motivazione intelligibile che indichi l’incidenza dell’IA e i principali parametri considerati. È un obbligo da trasferire quindi anche nei contratti con i fornitori, per non rischiare poi di non essere in grado di gestire correttamente le predette richieste.”

Di Stefano aggiunge che per la compliance in ambito sicurezza sul lavoro, l’art. 42 impone alle imprese di effettuare valutazioni di impatto specifiche per i sistemi di IA utilizzati in contesti a rischio, integrando le risultanze nei piani di prevenzione aziendali.

Prospettive future e prossimi passi

Con l’entrata in vigore del decreto 179/2026, l’Italia dispone di una disciplina nazionale per l’esercizio delle funzioni di controllo previste dall’AI Act. Tuttavia, l’applicazione operativa richiederà ulteriori atti, tra cui:

Le autorità dovranno rendere operative le procedure di vigilanza e coordinamento, mentre le imprese dovranno avviare un lavoro di ricognizione dei sistemi utilizzati, individuare le responsabilità e verificare gli obblighi applicabili.

In sintesi, la sfida per le imprese non si esaurisce nell’adeguamento formale alle disposizioni di legge: è necessario un vero e proprio rinnovamento della governance, con policy interne, modelli di gestione del rischio e percorsi di formazione che tengano conto dei rischi specifici dell’IA e delle caratteristiche delle diverse attività. Solo così sarà possibile sfruttare le potenzialità dell’intelligenza artificiale in modo responsabile, sicuro e conforme al nuovo quadro normativo europeo.