Il decreto legislativo 7 ottobre 2026, n. 179 adegua l’Italia all’AI Act, il regolamento europeo sull’intelligenza artificiale, e entra in vigore il 23 ottobre 2026. Indica le autorità di vigilanza (ACN, Banca d’Italia, CONSOB, IVASS e Garante privacy, ciascuna per la sua parte). Per le pratiche vietate dall’articolo 5 del regolamento le sanzioni arrivano a 35.000.000 di euro o, se superiore, al 7% del fatturato mondiale annuo. Le decisioni finali sul rapporto di lavoro non possono essere prese unicamente da un sistema automatico.
Il decreto è pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, e il testo si legge su Normattiva. Quello che segue viene da lì. È una lettura tecnica per chi fa sviluppare un software con funzioni di intelligenza artificiale: sul caso concreto risponde un legale.
Quando entra in vigore il D.Lgs. 179/2026?
Il 23 ottobre 2026. La data sta nelle note della scheda della Gazzetta Ufficiale, perché il testo del decreto non ha un articolo sull’entrata in vigore. Alla data di questo articolo non è ancora arrivata. Le scadenze degli obblighi del regolamento europeo sono un’altra cosa e qui non le trattiamo.
Nel seguito, «del decreto» indica il D.Lgs. 179/2026 e «del regolamento» indica l’AI Act: i numeri degli articoli dei due testi coincidono in parte, e il testo sotto li distingue sempre.
Chi controlla l’intelligenza artificiale in Italia?
Il decreto distribuisce i compiti fra più autorità.
- AgID è l’autorità nazionale di notifica (art. 4 del decreto). Prepara e attua le procedure per valutare, designare e notificare gli organismi di valutazione della conformità, e li monitora.
- ACN è autorità di vigilanza del mercato per i sistemi di IA (art. 5, lettera a, del decreto).
- Banca d’Italia, CONSOB e IVASS sono competenti sui sistemi di IA ad alto rischio usati, rispettivamente, nei finanziamenti e negli altri servizi finanziari del testo unico bancario, nei servizi finanziari del testo unico sull’intermediazione e nell’attività assicurativa.
- Il Garante per la protezione dei dati personali vigila nei limiti di quanto previsto dall’articolo 74, paragrafo 8, del regolamento.
L’ACN è dunque una delle autorità. Per i sistemi ad alto rischio usati in ambito finanziario o assicurativo, la competenza è di quelle di settore.
Quanto sono alte le sanzioni dell’AI Act in Italia?
L’articolo 23 del decreto fissa importi massimi: ogni riga della tabella vale «fino a» la cifra indicata o, se superiore, fino alla percentuale del fatturato mondiale totale annuo dell’esercizio precedente. Valgono salvo che il fatto costituisca reato.
| Che cosa si viola | Fino a (o, se superiore, fino a) |
|---|---|
| Il divieto delle pratiche dell’articolo 5 del regolamento | 35.000.000 di euro, o 7% del fatturato |
| Gli obblighi degli articoli 16, 22, 23, 24, 25, 26, 31, 33 (paragrafi 1, 3 e 4), 34, 50, 73 e 80 del regolamento | 15.000.000 di euro, o 3% |
| Gli obblighi degli articoli 27 e 86 del regolamento | 1.000.000 di euro, o 0,5% |
La tabella riporta tre fasce. L’articolo 23 ne ha altre, per violazioni diverse, che qui non riportiamo.
Per decidere l’importo, l’autorità considera i criteri dell’articolo 99, paragrafo 7, del regolamento, e anche se l’obbligo violato è di natura sostanziale o formale.
Come si calcolano le sanzioni per PMI e start-up?
Per le piccole e medie imprese, microimprese comprese, e per le start-up innovative, l’articolo 23, comma 7, del decreto rinvia al criterio dell’articolo 99, paragrafo 6, del regolamento, che qui non riportiamo. Il decreto non fissa cifre proprie.
Si può evitare la sanzione pecuniaria?
In certi casi l’autorità può scegliere un’altra strada. Per le violazioni di scarsa offensività o pericolosità, l’articolo 22 del decreto permette alle autorità, in alternativa alla sanzione pecuniaria, due misure:
- ordinare di eliminare l’infrazione e di non ripeterla, anche indicando le misure da adottare e il termine;
- se l’infrazione è cessata, applicare una sanzione consistente nella dichiarazione pubblica della violazione commessa e del soggetto responsabile.
La scelta è delle autorità, e riguarda solo le violazioni di scarsa offensività. Il testo ha anche un secondo comma, che non abbiamo riportato: chi legge il decreto per il proprio caso lo deve leggere.
Che cosa dice il decreto sulle decisioni nel rapporto di lavoro?
L’articolo 41 del decreto riguarda il datore di lavoro che usa sistemi di intelligenza artificiale. Le decisioni finali sulla costituzione, la modifica o la fine del rapporto di lavoro, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non possono essere prese unicamente sulla base di un trattamento automatizzato. La norma lo dice «fermo restando» l’articolo 22 del regolamento (UE) 2016/679, quello sul GDPR.
Dal testo risulta anche che:
- la decisione definitiva è sempre riservata a una persona fisica che eserciti un potere effettivo e autonomo;
- il lavoratore ha diritto di ottenere, a richiesta e con l’intervento di una persona, una motivazione intelligibile, con l’indicazione dell’eventuale incidenza dei sistemi di IA sul processo decisionale e dei principali parametri considerati;
- il consenso del lavoratore non costituisce un’eccezione al divieto;
- il licenziamento e le decisioni prese in violazione sono nulli.
L’articolo 41 vieta i software di selezione dei candidati?
Non li vieta. Il testo dice che la ricerca e selezione delle candidature non rientra fra le decisioni finali sulla costituzione del rapporto di lavoro, anche quando comporta la mancata ammissione alle fasi successive. Questo non basta a dire che uno strumento di selezione sia in regola: restano l’articolo 22 del GDPR citato dalla norma e gli altri obblighi, che vanno verificati con un legale.
Per l’articolo 41 l’obbligo è del datore di lavoro. Per chi commissiona un software di gestione del personale la domanda si sposta sul progetto. Una nostra lettura: «potere effettivo e autonomo» vuol dire che la persona vede le informazioni su cui il sistema ha ragionato e può scegliere di non seguirlo. Il decreto non dice come si realizza: è una scelta di progetto da scrivere nei requisiti.
Che cos’è lo Spazio di sperimentazione italiano per l’IA?
È un ambiente controllato che l’articolo 26 del decreto istituisce sotto la vigilanza delle autorità nazionali. Lo gestiscono insieme AgID e ACN, e vi possono accedere fornitori e potenziali fornitori di sistemi di IA. Serve a condividere le migliori pratiche con le autorità, a facilitare l’accesso al mercato europeo e a sviluppare un approccio regolatorio basato sulle evidenze della sperimentazione.
Per le piccole e medie imprese e le start-up il testo prevede una priorità, secondo criteri che dovrà indicare un decreto. Anche le modalità di accesso e di funzionamento sono rinviate a un decreto adottato insieme dai direttori generali di AgID e ACN. Quel decreto non l’abbiamo trovato, quindi non possiamo dire che lo spazio sia già operativo.
Che cosa chiedere a chi sviluppa un software con funzioni di IA?
Una nostra lettura degli articoli 23 e 41 del decreto, e non un elenco di legge. Prima della firma conviene avere per iscritto:
- quali funzioni del software usano un sistema di IA e che cosa decidono da sole;
- dove una persona può intervenire, e con quali informazioni davanti;
- come il software produce la motivazione sui parametri considerati, se riguarda decisioni su persone;
- chi tiene la documentazione e che cosa resta all’azienda se si cambia fornitore.
Nelle nostre garanzie c’è scritto: «Il codice sorgente è vostro, con la documentazione e gli ambienti, e lo resta anche se un giorno scegliete un altro fornitore.» E ancora: «Su ogni progetto lavorano almeno due persone e c’è documentazione scritta: se qualcuno non c’è, il lavoro continua.» Descrivono come lavoriamo noi. Non rendono un sistema conforme all’AI Act, e la valutazione degli obblighi dell’azienda spetta al suo legale.
Da dove si comincia con l’AI Act?
Da un elenco delle funzioni di IA che l’azienda usa o vuole far costruire, con a fianco, per ognuna, chi decide, chi può correggere e quali dati vede. Con quell’elenco si capisce quali articoli del regolamento possono riguardare il progetto, e che cosa portare al legale.
Se il software è da costruire, sulla pagina dello sviluppo software su misura c’è come lavoriamo e di chi restano codice e ambienti. Da lì si può chiedere una prima chiamata, gratuita.