Che cosa cambia dal 23 ottobre
È entrato in vigore il 23 ottobre 2026 il decreto legislativo 7 ottobre 2026, n. 179, pubblicato in Gazzetta Ufficiale l'8 ottobre, che definisce l'assetto italiano di attuazione dell'AI Act europeo. Secondo la ricostruzione di AI4Business, il provvedimento dà seguito alla legge 132/2025 e al regolamento Ue 2024/1689 e assegna alle autorità nazionali i poteri per controllare l'applicazione delle regole sull'intelligenza artificiale, coordinare la vigilanza e intervenire sulle violazioni. La platea interessata è ampia: imprese tecnologiche, operatori finanziari, amministrazioni pubbliche, scuole e organizzazioni che sviluppano o usano sistemi di IA.
Il punto più rilevante per gli operatori è che il decreto non crea un'unica autorità, ma distribuisce le funzioni. L'AgID diventa autorità nazionale di notifica, con competenze sulle procedure relative agli organismi che valutano la conformità dei sistemi; l'ACN esercita le funzioni generali di vigilanza del mercato, incluse le attività ispettive e sanzionatorie, ed è punto di contatto unico con le istituzioni europee. La distinzione separa la verifica di conformità dalla sorveglianza sui sistemi immessi sul mercato o utilizzati, con l'obbligo per le due agenzie di collaborare con le altre amministrazioni evitando sovrapposizioni.
Finanza e imprese: conformità dentro i controlli esistenti
Il decreto mantiene un assetto specifico per il settore finanziario. L'articolo 5 attribuisce alla Banca d'Italia la vigilanza sui sistemi di IA ad alto rischio usati nei servizi bancari e finanziari di propria competenza; la Consob conserva la responsabilità sui sistemi ad alto rischio impiegati nei servizi di investimento sotto la sua supervisione; l'IVASS mantiene le funzioni su attività assicurativa, riassicurativa e distribuzione dei prodotti. Il testo riconosce inoltre le competenze del Garante per la protezione dei dati personali nei casi previsti dal regolamento europeo. Per banche, intermediari e assicurazioni l'applicazione dell'AI Act si inserisce quindi nei sistemi di controllo già esistenti, sommando prescrizioni europee e disposizioni settoriali.
Sul fronte sanzionatorio il decreto organizza poteri di vigilanza, procedure e collaborazione tra amministrazioni, prevedendo sanzioni amministrative, avvertimenti e misure non pecuniarie secondo modalità definite dal decreto stesso e dal regolamento europeo. AI4Business sottolinea che per le imprese diventa centrale individuare i sistemi utilizzati, verificarne la classificazione normativa, conservare la documentazione richiesta e definire responsabilità interne. L'entrata in vigore nazionale, precisa la fonte, non modifica il calendario europeo di applicazione delle diverse disposizioni dell'AI Act, che resta regolato dalle norme dell'Unione.
Sandbox, formazione e lavoro: le norme ci sono, i provvedimenti no
L'articolo 26 istituisce lo Spazio di sperimentazione italiano per l'intelligenza artificiale, gestito congiuntamente da AgID e ACN: le imprese potranno sviluppare e verificare sistemi innovativi in ambiente controllato, con attenzione particolare a PMI e startup. Tuttavia modalità operative, criteri di ammissione e priorità di accesso saranno definiti con provvedimenti successivi, quindi l'istituzione dello spazio non equivale all'apertura immediata delle candidature. Sul fronte istruzione, gli articoli 36 e 38 consentono alle scuole di promuovere attività didattiche sull'IA e disciplinano la formazione di insegnanti e studenti; il ministero dell'Istruzione e del Merito dovrà adottare entro novanta giorni un decreto su criteri e modalità della formazione dei docenti. L'articolo 40 affida al ministro competente il coordinamento delle politiche formative e la definizione delle competenze minime per i dipendenti pubblici.
Sul lavoro l'articolo 41 riserva a una persona fisica con effettiva autonomia le decisioni definitive su assunzioni, licenziamenti, provvedimenti disciplinari e valutazioni delle prestazioni, escludendo che possano essere affidate esclusivamente a trattamenti automatizzati. L'avvocato Ugo Ettore Di Stefano, senior partner presso Lexellent, citato dalla fonte, indica alcune ricadute operative: il consenso del lavoratore non funziona come esimente, la violazione rende nulla la decisione, licenziamento compreso, e occorre mappare i processi HR, formalizzare ruolo e tracciabilità del decisore umano, rendere le informative prima dell'avvio e trasferire gli obblighi nei contratti con i fornitori per poter rispondere alle richieste di motivazione. Di Stefano segnala anche che l'articolo 42 porta l'IA nel documento di valutazione dei rischi e che dati, algoritmi e configurazioni di addestramento sono tutelabili come segreti commerciali solo con misure di protezione adeguate; il decreto, aggiunge, va letto insieme al d.lgs. 160/2026, che ha inserito il nuovo articolo 437-bis del codice penale, norma il cui contenuto non è descritto nel materiale disponibile.