Garante privacy; parere favorevole allo schema di decreto legislativo che coordina la normativa italiana all’AI Act.

Il Garante per la protezione dei dati personali ha espresso parere favorevole, con condizioni e osservazioni, sullo schema di decreto legislativo destinato ad adeguare l’ordinamento italiano all’AI Act in materia di autorità competenti, vigilanza del mercato, sperimentazione e formazione. Il parere, n. 532 del 14 luglio 2026, riguarda l’Atto del Governo n. 421, approvato in via preliminare dal Consiglio dei ministri il 10 giugno 2026 e successivamente trasmesso alle Camere: il testo non costituisce, pertanto, ancora il decreto legislativo definitivo.

Lo schema individua nell’AgID e nell’Agenzia per la cybersicurezza nazionale – ACN le autorità nazionali per l’intelligenza artificiale. AgID svolgerà le funzioni di autorità di notifica degli organismi incaricati delle valutazioni di conformità, mentre l’ACN assumerà il ruolo generale di autorità di vigilanza del mercato.

Competenze specifiche sono attribuite alla Banca d’Italia, alla Consob e all’IVASS per i sistemi di IA impiegati nei rispettivi settori finanziari, bancari, creditizi e assicurativi. Il Garante sarà invece autorità di vigilanza per i sistemi ad alto rischio utilizzati negli ambiti particolarmente sensibili indicati dall’articolo 74, paragrafo 8, dell’AI Act, tra cui attività di contrasto, gestione delle frontiere e dell’immigrazione, amministrazione della giustizia e processi democratici.

Lo schema disciplina inoltre lo Spazio di sperimentazione italiano per l’IA, gestito congiuntamente da AgID e ACN, nel quale provider e sviluppatori potranno sperimentare sistemi di intelligenza artificiale in un ambiente controllato. Sono previste anche misure per la formazione nelle scuole, nelle università e nei percorsi professionali, con particolare attenzione all’uso consapevole dell’IA, alla tutela dei dati personali, alla sicurezza e alla non discriminazione.

Pur giudicando lo schema complessivamente coerente con l’AI Act e con la legge italiana n. 132/2025, il Garante ha richiesto alcune integrazioni. In primo luogo, l’Autorità chiede che anche al Garante, e non soltanto ad AgID, ACN e alle autorità finanziarie, sia espressamente riconosciuto il potere di adottare linee guida, raccomandazioni e buone pratiche. Tale competenza è ritenuta necessaria per assicurare un’applicazione uniforme delle regole nei settori nei quali l’utilizzo dell’IA incide direttamente sulla protezione dei dati e sugli altri diritti fondamentali.

Il decreto dovrebbe inoltre precisare che i procedimenti sanzionatori di competenza del Garante saranno regolati dall’articolo 166 del Codice privacy, chiarendo anche la destinazione dei proventi derivanti dalle sanzioni.

Un ulteriore intervento è richiesto in materia di valutazione della conformità. Poiché l’AI Act attribuisce al Garante specifiche funzioni rispetto ai sistemi ad alto rischio rientranti nella sua competenza, il legislatore dovrà chiarire se lo Stato assumerà direttamente la responsabilità delle relative attività di valutazione oppure se dovrà trovare applicazione il diverso regime assicurativo previsto dal Regolamento europeo.

Lo schema affida la gestione dello Spazio di sperimentazione italiano ad AgID e ACN, ma non prevede espressamente la partecipazione del Garante ai progetti che comportano trattamenti di dati personali. Secondo l’Autorità, questa omissione deve essere corretta: l’articolo 57, paragrafo 10, dell’AI Act richiede infatti il coinvolgimento delle autorità di protezione dei dati quando le attività svolte all’interno di una sandbox comprendono trattamenti soggetti al GDPR. Il confronto con il Garante dovrà quindi intervenire sin dalla progettazione della sperimentazione e non soltanto dopo l’emersione di eventuali criticità.

Particolare attenzione è dedicata all’impiego dell’intelligenza artificiale nei rapporti di lavoro. Lo schema stabilisce che le decisioni sulla costituzione, modifica o cessazione del rapporto non possano essere adottate esclusivamente attraverso un trattamento automatizzato e che la decisione finale debba spettare a una persona dotata di effettiva autonomia.

Il Garante propone di estendere questa garanzia anche alle decisioni valutative suscettibili di incidere significativamente sul rapporto di lavoro, come quelle relative alla misurazione delle prestazioni, all’attribuzione di premi, alla classificazione professionale e alle progressioni di carriera.

Il datore di lavoro dovrà inoltre informare preventivamente i lavoratori, rispettare dignità, riservatezza e non discriminazione e assicurare una motivazione comprensibile delle decisioni, indicando il ruolo svolto dal sistema di IA e i principali parametri utilizzati.