Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre ed applicabile dal prossimo 23 ottobre 2026, aggiunge – dopo le regole del decreto legislativo 160/2026 – nuove norme all’assetto normativo italiano in materia di AI (L. 132/2025 e decreti delegati).

Chi vigila e come. Il decreto assegna ad AgID il compito di valutare, designare e monitorare gli organismi che, nei casi previsti dall’AI Act, verificano la conformità dei sistemi di IA. Ad ACN affida invece la vigilanza sul mercato: controllare il rispetto delle regole applicabili ai sistemi di IA e intervenire in caso di violazioni. Per i sistemi ad alto rischio impiegati nei rispettivi ambiti finanziari, la vigilanza spetta a Banca d’Italia, CONSOB e IVASS; restano ferme le attribuzioni del Garante privacy su AI e biometria nei sistemi ad alto rischio. Il testo disciplina poteri di controllo, misure correttive e reclami: un’impresa che sviluppa o utilizza IA dovrà quindi identificare l’autorità competente in base al sistema e al settore, predisporre documentazione verificabile e sapere chi gestirà un’eventuale contestazione. I reclami presentati all’autorità sbagliata saranno trasmessi d’ufficio a quella competente. In determinati casi del settore finanziario, le controversie con la clientela relative a violazioni dell’AI Act potranno essere trattate dagli organismi di risoluzione stragiudiziale già esistenti, entro i confini delle loro competenze.

Decisioni sul personale: controllo umano effettivo. L’articolo 41 è fra le disposizioni di maggiore impatto immediato per i datori di lavoro. Se un sistema di IA interviene nei processi relativi alla costituzione, modifica o cessazione del rapporto, comprese valutazioni delle prestazioni e decisioni disciplinari, la decisione finale non può basarsi unicamente su un trattamento automatizzato: deve essere assunta da una persona che eserciti un potere effettivo e autonomo. Il consenso del lavoratore non elimina questo vincolo. Il decreto esclude da questa specifica previsione le attività di ricerca e selezione delle candidature, anche quando una persona non accede alla fase successiva; rimangono però applicabili le altre regole pertinenti, fra cui quelle del GDPR. Prima del trattamento il datore deve assolvere gli obblighi informativi richiamati dall’articolo 41. Su richiesta, il lavoratore può ottenere, con l’intervento di una persona, una motivazione comprensibile della decisione, che indichi l’eventuale peso dell’IA e i principali parametri considerati. Le decisioni adottate in violazione del divieto del comma 1 sono nulle, incluso il licenziamento. In pratica, una mera approvazione formale dell’output del sistema non offre la garanzia di un giudizio umano autonomo: occorre organizzare e poter ricostruire il processo decisionale.

Salute e sicurezza. L’articolo 42 richiede di valutare, nell’ambito della valutazione dei rischi prevista dal d.lgs. 81/2008, l’uso di IA che incida sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o su decisioni rilevanti per la sicurezza. I datori devono inoltre informare e formare i lavoratori sui rischi specifici e sulle misure di prevenzione e protezione. Per esempio, prima di introdurre strumenti che assegnano compiti, modificano i ritmi o assistono decisioni operative, sarà opportuno coinvolgere le funzioni HR e sicurezza nella valutazione degli effetti concreti sul lavoro.

Sanzioni e gestione delle contestazioni. L’articolo 23 prevede massimali differenziati: fino a 35 milioni di euro o, se superiore, al 7% del fatturato mondiale annuo per le pratiche vietate dall’AI Act; fino a 15 milioni o al 3% per le violazioni degli obblighi europei elencati dalla disposizione; fino a 7,5 milioni o all’1% per informazioni inesatte, incomplete o fuorvianti rese alle autorità o agli organismi notificati. È prevista una fascia specifica, fino a 1 milione o allo 0,5%, per le violazioni degli articoli 27 e 86 dell’AI Act. Per PMI, microimprese e start-up innovative si applica il criterio di determinazione richiamato dall’articolo 99, paragrafo 6, del regolamento. Questi importi sono massimali, non sanzioni automatiche: la verifica va compiuta sulla disposizione violata, sulla sua data di applicazione e sulle circostanze del caso.

Sperimentazione e tutela del patrimonio tecnologico. Il decreto istituisce uno spazio italiano di sperimentazione regolamentare per l’IA (cosiddetta sandbox normativa), gestito congiuntamente da AgID e ACN, con attenzione all’accesso di PMI e start-up. Le modalità operative e i criteri di ammissione richiedono però ulteriori provvedimenti: l’istituzione dello spazio non equivale ancora all’apertura delle candidature. Sul fronte della proprietà industriale, l’articolo 52 chiarisce che dati, algoritmi, architetture dei modelli e metodi di addestramento possono rientrare nella tutela dei segreti commerciali solo se soddisfano i requisiti ordinari di segretezza, valore economico derivante dalla segretezza e misure ragionevoli di protezione. Per chi sviluppa IA, ciò rende particolarmente importante documentare accessi, accordi di riservatezza e misure tecniche di protezione.

Le imprese possono partire da una ricognizione dei sistemi di IA usati nei processi HR, nelle attività che incidono sulla sicurezza e nei servizi regolati; per ciascuno, conviene registrare finalità, ruolo dell’impresa, fornitore, autorità potenzialmente competente, intervento umano previsto e documentazione disponibile. È una base concreta per adeguare procedure e contratti senza presumere che tutti i sistemi ricadano negli stessi obblighi o nelle stesse scadenze.