AI Act in Italia: cosa cambia per le aziende con il D.Lgs. 179/2026

Dal 23 ottobre 2026 entra in vigore il Decreto legislativo 7 ottobre 2026, n. 179, il provvedimento che adegua le regole italiane all'AI Act, il regolamento europeo sull'intelligenza artificiale.

Il decreto stabilisce chi controlla l'uso dell'IA in Italia, quali sanzioni rischia chi non rispetta le regole e introduce novità concrete per i datori di lavoro: dalle decisioni sul personale che devono restare in mano a una persona, fino alla formazione dei dipendenti.

In questo articolo spieghiamo in modo semplice cos'è l'AI Act, quali sono le scadenze da segnare in calendario e cosa deve fare oggi un'azienda, anche piccola, che usa strumenti di intelligenza artificiale.

‍

Cos'è l'AI Act, in parole semplici

L'AI Act (in inglese Artificial Intelligence Act, spesso cercato come "AI Act EU") è il Regolamento (UE) 2024/1689: la prima legge al mondo che disciplina in modo organico l'intelligenza artificiale. Essendo un regolamento europeo, vale direttamente in tutti gli Stati membri, Italia compresa.

Il principio di fondo è semplice: più un sistema di IA è rischioso per le persone, più regole deve rispettare. L'AI Act distingue quattro livelli:

1. Rischio inaccettabile – pratiche vietate. Ad esempio i sistemi di "punteggio sociale" o quelli che manipolano le persone sfruttandone le vulnerabilità.
2. Alto rischio. Sistemi usati in ambiti delicati come selezione del personale, istruzione, accesso al credito o infrastrutture critiche: dovranno rispettare requisiti stringenti (controllo umano, documentazione, registrazione delle attività).
3. Rischio limitato – obblighi di trasparenza. Chi parla con un chatbot deve sapere che sta parlando con una macchina; i contenuti generati o manipolati dall'IA (come i deepfake) vanno segnalati.
4. Rischio minimo. La maggior parte degli strumenti di uso quotidiano, per i quali non ci sono obblighi specifici.

Attenzione: l'AI Act non riguarda solo chi sviluppa l'intelligenza artificiale. Si applica anche a chi la utilizza in ambito professionale (il cosiddetto deployer). Quindi riguarda anche la PMI che usa un assistente come ChatGPT o Claude per scrivere testi, un chatbot sul sito o un software gestionale che assegna turni e valuta le prestazioni.

‍

AI Act: entrata in vigore e scadenze da segnare

Quando si parla di AI Act entrata in vigore si fa spesso confusione, perché le regole scattano a tappe. Il regolamento è entrato in vigore il 1° agosto 2024, ma i singoli obblighi si applicano in momenti diversi. Nel 2026 il calendario è stato rivisto dal Digital Omnibus, il regolamento UE che ha rinviato gli obblighi per i sistemi ad alto rischio.

‍

Il rinvio riguarda solo l'alto rischio: divieti, alfabetizzazione e trasparenza sono già applicabili.

‍

Cosa prevede il Decreto legislativo 179/2026

Il D.Lgs. 179/2026 attua la delega contenuta nella Legge 23 settembre 2025, n. 132, la legge italiana sull'intelligenza artificiale. Il decreto non riscrive l'AI Act e non introduce un'autorizzazione preventiva per usare l'IA: organizza il sistema italiano dei controlli e aggiunge regole nazionali su lavoro, formazione e professioni.

Chi controlla l'intelligenza artificiale in Italia

• AgID (Agenzia per l'Italia digitale) è l'autorità di notifica: valuta e controlla gli organismi che certificano la conformità dei sistemi di IA.
• ACN (Agenzia per la cybersicurezza nazionale) è l'autorità di vigilanza del mercato e il punto di contatto unico con l'Unione europea: può svolgere ispezioni e applicare sanzioni.
• Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati rispettivamente nel credito, nei servizi finanziari e nelle assicurazioni.
• Garante per la protezione dei dati personali mantiene le sue competenze dove l'IA tratta dati personali.

Un comitato di coordinamento presso la Presidenza del Consiglio assicura il raccordo tra le autorità.

AI Act sanzioni: quanto si rischia

L'articolo 23 del decreto fissa gli importi massimi, in linea con l'AI Act:

• fino a 35 milioni di euro o al 7% del fatturato mondiale annuo (se superiore) per l'uso di pratiche vietate;
• fino a 15 milioni di euro o al 3% per la violazione degli obblighi di fornitori, importatori, distributori e utilizzatori, compresi quelli di trasparenza;
• fino a 7,5 milioni di euro o all'1% per informazioni inesatte, incomplete o fuorvianti fornite alle autorità;
• fino a 1 milione di euro o allo 0,5% per specifici obblighi previsti dagli articoli 27 e 86 del regolamento.

Per PMI, microimprese e start-up l'importo si calcola con i criteri più favorevoli previsti dal regolamento europeo (per le PMI si applica il minore tra la cifra fissa e la percentuale di fatturato). Per le violazioni di scarsa gravità le autorità possono imporre prima misure correttive non economiche; chi non rispetta l'ordine correttivo rischia una sanzione aumentata fino a un terzo. I provvedimenti sanzionatori vengono pubblicati sui siti delle autorità.

Una "sandbox" per sperimentare l'IA

Il decreto istituisce lo Spazio di sperimentazione italiano per l'IA (art. 26): un ambiente controllato, sotto la supervisione delle autorità, in cui testare sistemi innovativi prima di immetterli sul mercato. Tra gli obiettivi dichiarati c'è proprio quello di facilitare l'accesso al mercato europeo di PMI e start-up.

Dati e algoritmi protetti come segreti commerciali

Con l'articolo 52 i dati, gli algoritmi e i metodi matematici usati per addestrare i sistemi di IA possono essere tutelati come segreti commerciali dal Codice della proprietà industriale, se ne ricorrono le condizioni. Una tutela importante per le aziende che sviluppano soluzioni proprie.

‍

Intelligenza artificiale e lavoro: le novità per ogni datore di lavoro

È la parte del decreto con gli effetti più diretti sulle imprese, perché riguarda chiunque abbia dipendenti, studi professionali compresi.

Le decisioni sul personale restano a una persona (art. 41)

Se l'azienda usa sistemi di IA nella gestione del personale:

• le decisioni finali su assunzione, modifica e cessazione del rapporto di lavoro, compresi provvedimenti disciplinari e valutazioni delle prestazioni, non possono basarsi solo su un trattamento automatizzato;
• la decisione spetta a una persona fisica con un potere reale e autonomo, che può anche discostarsi da quanto suggerito dal sistema;
• il consenso del lavoratore non basta a lasciare la decisione alla macchina;
• prima di usare il sistema il datore deve fornire l'informativa prevista dal D.Lgs. 152/1997;
• il lavoratore può chiedere una motivazione comprensibile, che indichi quanto ha pesato l'IA e quali parametri sono stati considerati;
• licenziamenti e decisioni presi violando queste regole sono nulli.

La sola ricerca e selezione dei curriculum non è considerata decisione finale, anche quando esclude un candidato. Ma dal 2 dicembre 2027 i software di selezione del personale dovranno rispettare le regole dell'AI Act sui sistemi ad alto rischio.

L'IA entra nella valutazione dei rischi (art. 42)

I sistemi di IA che incidono sull'organizzazione del lavoro, sui ritmi produttivi o sulle modalità della prestazione (pensiamo a un software che pianifica i turni, a un sistema che misura la produttività in magazzino o a un assistente digitale che cambia il modo di lavorare in ufficio) vanno considerati nella valutazione dei rischi prevista dal D.Lgs. 81/2008 e quindi nel DVR. Il datore di lavoro deve inoltre garantire ai lavoratori informazione e formazione sui rischi specifici legati a questi strumenti e sulle misure di prevenzione adottate.

‍

Formazione sull'intelligenza artificiale: cosa è obbligatorio

Oggi un'azienda che usa l'IA ha due obblighi di formazione, con basi diverse:

1. Alfabetizzazione sull'IA (art. 4 dell'AI Act), in vigore dal 2 febbraio 2025 e riformulato dal Digital Omnibus: l'azienda deve adottare misure per sostenere la competenza di chi usa i sistemi di IA per suo conto. Non serve un attestato specifico, ma è utile poter dimostrare cosa si è fatto.
2. Formazione sui rischi specifici (art. 42 del D.Lgs. 179/2026), legata alla sicurezza sul lavoro.

Il decreto prevede poi novità per scuola, università, pubblica amministrazione e professioni: gli ordini professionali dovranno inserire l'IA nella formazione continua con un monte ore minimo (art. 47) e per i professionisti sanitari è prevista una quota di crediti ECM dedicata all'intelligenza artificiale.

Il consiglio pratico è progettare un unico percorso che risponda a entrambi gli obblighi e annotare tutto in un registro della formazione. Una buona notizia: la formazione sull'IA per i dipendenti può essere finanziata attraverso i fondi interprofessionali, come Fondimpresa, e altri strumenti di formazione finanziata.

‍

AI Act e aziende: 7 cose da fare adesso

1. Mappare gli strumenti di IA in uso, compresi quelli gratuiti usati dai dipendenti di propria iniziativa.
2. Classificarli per livello di rischio secondo l'AI Act.
3. Rivedere i processi HR: chi decide, su quali elementi e dove si conserva la motivazione.
4. Aggiornare il DVR insieme all'RSPP per i sistemi che incidono su ritmi e organizzazione del lavoro.
5. Adottare una policy interna sull'uso dell'IA, coordinata con il GDPR: quali strumenti usare e quali dati non inserire mai.
6. Verificare la trasparenza verso clienti e utenti: chatbot dichiarati e contenuti generati dall'IA segnalati.
7. Formare il personale e tenere traccia di corsi, partecipanti e contenuti.

‍

Adeguarsi all'AI Act con e-cons

L'AI Act e il D.Lgs. 179/2026 toccano insieme privacy, sicurezza sul lavoro, gestione del personale e formazione: proprio gli ambiti in cui e-cons affianca ogni giorno le imprese.

Possiamo aiutarti a mappare gli strumenti di IA che usi, impostare una policy interna conforme anche al GDPR, aggiornare la valutazione dei rischi e organizzare la formazione sull'intelligenza artificiale per i tuoi dipendenti, anche finanziata tramite fondi interprofessionali.

Contattaci per un check-up AI Act della tua azienda