11 Nov Legge italiana sull’intelligenza artificiale: le novità dei decreti attuativi 2026 e gli obblighi per le imprese

La Legge 132/2025 e i nuovi decreti legislativi 160/2026 e 179/2026 rafforzano il quadro normativo italiano sull’intelligenza artificiale. Dalla vigilanza delle autorità alle responsabilità nell’utilizzo dei sistemi di IA, fino alla tutela dei lavoratori e dei dati personali: ecco le principali novità e gli impatti per aziende e professionisti.

L’Italia ha compiuto un passo significativo nella regolamentazione dell’intelligenza artificiale con l’approvazione della Legge 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025. La normativa introduce principi e disposizioni nazionali per promuovere un utilizzo responsabile, trasparente e sicuro dell’IA, nel rispetto dei diritti fondamentali delle persone. 
Il quadro legislativo si è ulteriormente sviluppato nel 2026 con l’entrata in vigore di due importanti decreti attuativi: il D.Lgs. 160/2026 e il D.Lgs. 179/2026, che disciplinano, tra l’altro, le responsabilità connesse all’utilizzo dell’intelligenza artificiale, i poteri delle autorità di vigilanza e specifiche applicazioni nei settori del lavoro, della formazione e della pubblica amministrazione.

Questi provvedimenti si affiancano al Regolamento (UE) 2024/1689, noto come AI Act, contribuendo a definire un sistema di governance nazionale dell’intelligenza artificiale. Per imprese e professionisti, la sfida non consiste soltanto nell’adottare nuove tecnologie, ma nel comprenderne i rischi, rispettare gli obblighi normativi e garantire un utilizzo dell’IA coerente con i principi di responsabilità e protezione dei dati personali.

Intelligenza artificiale: un quadro normativo in continua evoluzione

Negli ultimi anni, l’intelligenza artificiale è entrata progressivamente nei processi aziendali e nelle attività professionali. Dalla sanità alla finanza, dal marketing alla gestione delle risorse umane, i sistemi di IA vengono utilizzati per analizzare informazioni, generare contenuti, supportare decisioni e automatizzare attività.

Queste tecnologie offrono importanti opportunità di innovazione, ma introducono anche nuovi rischi, tra cui discriminazione algoritmica, errori nei risultati, scarsa trasparenza dei processi decisionali e compromissione della riservatezza delle informazioni.
Per affrontare tali criticità, l’Unione europea ha adottato l’AI Act, che introduce un sistema regolatorio basato sul rischio e distingue gli obblighi applicabili in funzione delle caratteristiche dei sistemi, del loro utilizzo e del ruolo degli operatori coinvolti.
La Legge 132/2025 integra questo quadro con disposizioni specifiche per l’ordinamento italiano. I decreti legislativi del 2026 rappresentano un ulteriore sviluppo, rendendo più articolato il sistema nazionale di vigilanza e introducendo regole operative in specifici ambiti. È importante precisare che l’AI Act, essendo un regolamento europeo, è direttamente applicabile e non richiede un recepimento nazionale.

I principi fondamentali della Legge 132/2025

La legge italiana sull’intelligenza artificiale si fonda su alcuni principi destinati a orientare lo sviluppo e l’utilizzo dei sistemi di IA:

• Centralità della persona: l’IA deve rispettare l’autonomia decisionale umana e i diritti fondamentali.
• Trasparenza: lo sviluppo e l’utilizzo dei sistemi devono rispettare gli obblighi di informazione applicabili.
• Sicurezza e affidabilità: occorre considerare l’accuratezza, la qualità, la robustezza e la sicurezza dei sistemi.
• Non discriminazione: devono essere prevenuti e contrastati gli effetti discriminatori derivanti dall’utilizzo degli algoritmi.
• Responsabilità e supervisione umana: i sistemi devono essere sviluppati e utilizzati nel rispetto delle responsabilità previste dalla normativa e delle garanzie di controllo umano applicabili.

Questi principi assumono particolare importanza quando l’intelligenza artificiale viene impiegata in processi capaci di incidere sui diritti delle persone, come la selezione del personale, la valutazione dei lavoratori, l’erogazione di servizi o l’assunzione di decisioni amministrative.

Decreto Legislativo 160/2026: IA, attività di polizia e responsabilità civile e penale

Il D.Lgs. 9 settembre 2026, n. 160, entrato in vigore il 30 settembre 2026, interviene su due ambiti principali.

Il primo riguarda l’impiego dell’intelligenza artificiale nelle attività di polizia. Il decreto disciplina l’utilizzo dei sistemi di IA da parte delle Forze di polizia, con particolare attenzione alla tutela dei diritti fondamentali, alla proporzionalità, alla non discriminazione e alla supervisione umana. Sono previste disposizioni specifiche anche per determinati trattamenti biometrici e per i sistemi di identificazione e riconoscimento facciale, nel rispetto dei limiti stabiliti dalla normativa europea.

Il secondo ambito riguarda le conseguenze giuridiche dell’impiego illecito dei sistemi di intelligenza artificiale. Il provvedimento introduce disposizioni penali e processuali e disciplina alcuni strumenti per agevolare la tutela delle persone che abbiano subito danni connessi all’utilizzo dell’IA. 
Particolarmente rilevante è l’articolo 17, che regola l’accesso agli elementi di prova nei procedimenti civili di risarcimento. In presenza delle condizioni previste dalla norma, il giudice può ordinare l’esibizione della documentazione pertinente al funzionamento del sistema di IA, inclusi i registri, le informazioni sulla gestione del rischio e le modalità di supervisione umana, adottando le necessarie garanzie di riservatezza.

Per le organizzazioni che sviluppano o utilizzano sistemi di intelligenza artificiale, questo rafforza l’importanza di una documentazione adeguata, della tracciabilità e di processi strutturati di gestione del rischio.

Decreto Legislativo 179/2026: autorità, vigilanza e nuovi obblighi

Il D.Lgs. 7 ottobre 2026, n. 179, entrato in vigore il 23 ottobre 2026, rappresenta un ulteriore passaggio nell’attuazione nazionale dell’AI Act.
Il decreto definisce i poteri e le funzioni delle autorità competenti e disciplina le procedure di vigilanza, il sistema sanzionatorio e gli spazi di sperimentazione normativa. Contiene inoltre disposizioni sull’utilizzo dell’intelligenza artificiale nel lavoro, nella formazione, nelle professioni e in altri settori.

Le autorità nazionali per l’intelligenza artificiale

La Legge 132/2025 individua AgID e ACN quali autorità nazionali per l’intelligenza artificiale. Il D.Lgs. 179/2026 ne disciplina più precisamente le funzioni:

• AgID – Agenzia per l’Italia Digitale: svolge il ruolo di autorità nazionale di notifica, con competenze relative alla valutazione, designazione e notifica degli organismi di valutazione della conformità.
• ACN – Agenzia per la Cybersicurezza Nazionale: è l’autorità generale di vigilanza del mercato sui sistemi di IA e il punto di contatto unico con le istituzioni europee, secondo le competenze previste dalla normativa.
• Banca d’Italia, CONSOB e IVASS: esercitano specifiche funzioni di vigilanza sui sistemi di IA ad alto rischio utilizzati nei rispettivi ambiti finanziari e assicurativi.
• Garante per la protezione dei dati personali: mantiene le proprie competenze in materia di protezione dei dati e svolge le specifiche funzioni di vigilanza previste dall’AI Act nei casi contemplati dalla normativa.

Il nuovo assetto definisce una governance articolata, nella quale il controllo sull’intelligenza artificiale coinvolge autorità con competenze differenti e complementari.

Vigilanza e sanzioni

Il D.Lgs. 179/2026 disciplina anche l’esercizio dei poteri ispettivi e sanzionatori delle autorità nazionali. Le violazioni possono comportare le sanzioni amministrative previste dall’AI Act, secondo le condizioni e i criteri stabiliti dal regolamento europeo e dalle disposizioni nazionali.
Il decreto contempla inoltre, per determinate violazioni di limitata gravità, misure non pecuniarie, comprese prescrizioni correttive e dichiarazioni pubbliche relative alle infrazioni accertate. Per le imprese diventa quindi ancora più importante poter dimostrare il rispetto degli obblighi applicabili attraverso procedure, controlli e documentazione adeguata.

Intelligenza artificiale e lavoro: nuove garanzie per i dipendenti

Una delle novità di maggiore interesse per le imprese è contenuta nell’articolo 41 del D.Lgs. 179/2026, dedicato alla tutela dei lavoratori nei processi decisionali assistiti da sistemi di intelligenza artificiale. La disposizione stabilisce che determinate decisioni finali relative alla costituzione, modifica o risoluzione del rapporto di lavoro, comprese quelle disciplinari e le valutazioni delle prestazioni, non possano essere adottate unicamente sulla base di un trattamento automatizzato. La decisione definitiva deve essere riservata a una persona fisica, dotata di un effettivo e autonomo potere decisionale. La norma contiene specifiche precisazioni sulle attività di ricerca e selezione delle candidature, alle quali non si estende automaticamente il medesimo divieto; restano comunque applicabili gli altri obblighi e limiti previsti dal quadro normativo.

Il lavoratore deve inoltre ricevere le informazioni previste dalla disciplina applicabile e può richiedere una motivazione comprensibile della decisione che lo riguarda, compresa l’indicazione dell’incidenza del sistema di IA e dei principali parametri considerati.

L’articolo 42 introduce inoltre un collegamento con la sicurezza sul lavoro. Quando i sistemi di IA incidono sull’organizzazione, sui ritmi produttivi o sulle modalità di svolgimento delle attività, i relativi rischi devono essere considerati nell’ambito della valutazione prevista dal D.Lgs. 81/2008.

L’introduzione dell’IA nei processi lavorativi richiede quindi una valutazione integrata degli impatti organizzativi, dei rischi per i lavoratori e delle implicazioni sulla protezione dei dati personali.

Formazione e professioni: un utilizzo consapevole dell’IA

Il D.Lgs. 179/2026 dedica particolare attenzione anche alla formazione, prevedendo disposizioni per l’alfabetizzazione sull’intelligenza artificiale nelle scuole, nelle università e nei percorsi di formazione professionale. 
L’articolo 47 riguarda specificamente la formazione all’utilizzo dei sistemi di IA nell’ambito delle professioni. I percorsi formativi devono considerare gli aspetti tecnici, giuridici e deontologici, comprese le responsabilità del professionista e gli obblighi informativi nei confronti dei clienti.
La disposizione prevede inoltre l’adeguamento dei regolamenti e degli atti organizzativi sulla formazione professionale da parte degli organismi competenti entro sei mesi dall’entrata in vigore del decreto, secondo le modalità stabilite dalla normativa.
Per i professionisti, l’utilizzo dell’intelligenza artificiale non rappresenta dunque soltanto un’opportunità di miglioramento dell’efficienza, ma richiede competenze adeguate e un controllo consapevole dei risultati prodotti. Resta inoltre rilevante l’articolo 13 della Legge 132/2025, relativo all’utilizzo dell’IA nelle professioni intellettuali e agli obblighi informativi verso il cliente.

Privacy e intelligenza artificiale: il rapporto tra AI Act e GDPR

L’utilizzo dell’intelligenza artificiale pone questioni particolarmente rilevanti in materia di protezione dei dati personali. Sistemi di IA impiegati nel marketing, nella gestione dei dipendenti, nella relazione con i clienti o nell’analisi delle informazioni possono comportare trattamenti complessi, anche su larga scala.

Il Regolamento (UE) 2016/679 (GDPR) continua ad applicarsi ogni volta che l’utilizzo dell’intelligenza artificiale comporta un trattamento di dati personali. Le organizzazioni devono pertanto verificare, tra gli altri, i seguenti aspetti:

• Base giuridica e finalità: ogni trattamento di dati personali deve fondarsi su un’idonea condizione di liceità e perseguire finalità determinate.
• Trasparenza: gli interessati devono ricevere informazioni adeguate sulle modalità di trattamento e sull’eventuale utilizzo di processi decisionali automatizzati nei casi previsti.
• Minimizzazione dei dati: le informazioni utilizzate devono essere adeguate, pertinenti e limitate a quanto necessario.
• Sicurezza e riservatezza: occorre valutare le misure tecniche e organizzative applicabili, compresi i rischi legati ai fornitori e ai trasferimenti dei dati.
• Decisioni automatizzate: devono essere rispettate le condizioni e le garanzie previste dall’articolo 22 del GDPR, quando applicabile.
• Valutazione d’impatto: la DPIA è obbligatoria quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone, secondo l’articolo 35 del GDPR.

È importante distinguere la DPIA prevista dal GDPR dalle valutazioni richieste dall’AI Act. L’utilizzo di un sistema di IA classificato ad alto rischio non determina automaticamente l’obbligo di effettuare una DPIA. Quest’ultima dipende dai presupposti previsti dalla normativa sulla protezione dei dati personali.

Allo stesso modo, la valutazione d’impatto sui diritti fondamentali prevista dall’articolo 27 dell’AI Act riguarda specifiche categorie di utilizzatori e sistemi ad alto rischio, secondo le condizioni stabilite dal regolamento. Le due valutazioni possono essere coordinate, ma non coincidono necessariamente.

Opportunità e sfide per le imprese italiane

L’evoluzione della normativa sull’intelligenza artificiale non deve essere interpretata esclusivamente come un aumento degli adempimenti. Un’adozione corretta e consapevole dell’IA può rappresentare un fattore di innovazione, efficienza e competitività.

L’impiego di sistemi affidabili e adeguatamente governati può favorire l’automazione dei processi, migliorare la qualità dei servizi e rafforzare la fiducia di clienti e stakeholder.Le principali sfide riguardano tuttavia la capacità di integrare queste tecnologie nei processi aziendali senza introdurre rischi non adeguatamente valutati. Diventa quindi necessario sviluppare un modello di AI Governance che definisca ruoli, responsabilità, criteri di selezione dei sistemi e modalità di monitoraggio.

Particolare attenzione deve essere riservata ai fornitori esterni, alle piattaforme cloud e ai servizi di intelligenza artificiale generativa utilizzati dai dipendenti. L’adozione di strumenti di IA senza un’adeguata valutazione delle condizioni contrattuali, delle modalità di trattamento dei dati e delle misure di sicurezza può infatti esporre l’organizzazione a rischi legali, operativi e reputazionali.

Cosa devono fare oggi aziende e professionisti

Per affrontare il nuovo quadro normativo, imprese e professionisti dovrebbero adottare un percorso strutturato e proporzionato alle caratteristiche dei sistemi utilizzati.

Le principali attività comprendono:

1. Mappare i sistemi di intelligenza artificiale, identificando strumenti, finalità, processi coinvolti e fornitori.
2. Individuare il ruolo dell’organizzazione ai sensi dell’AI Act, distinguendo, quando applicabile, tra fornitore (provider) e utilizzatore (deployer).
3. Classificare i sistemi in funzione del rischio, verificando i divieti e gli obblighi previsti dalla normativa europea.
4. Valutare i rischi per i diritti fondamentali e per la protezione dei dati personali, effettuando le valutazioni d’impatto quando richieste.
5. Aggiornare policy, informative e procedure interne, includendo regole sull’utilizzo degli strumenti di IA da parte del personale.
6. Verificare i rapporti con i fornitori, con particolare riferimento a sicurezza, riservatezza, utilizzo dei dati e responsabilità contrattuali.
7. Formare il personale e il management, promuovendo un utilizzo consapevole e adeguato alle attività svolte.
8. Predisporre controlli e verifiche periodiche, documentando le decisioni e le misure adottate.

Non tutti questi adempimenti si applicano indistintamente a ogni organizzazione. È quindi essenziale identificare gli obblighi concretamente pertinenti sulla base delle caratteristiche del sistema, del suo utilizzo e del ruolo dell’impresa.

Il ruolo strategico del DPO nell’era dell’AI Act

L’evoluzione normativa rende sempre più importante il coordinamento tra governance dell’intelligenza artificiale, sicurezza informatica e protezione dei dati personali.

In questo contesto, il Data Protection Officer (DPO) assume un ruolo particolarmente rilevante quando i sistemi di IA comportano trattamenti di dati personali.

Nell’ambito dei compiti attribuiti dagli articoli 38 e 39 del GDPR, il DPO informa e fornisce consulenza al titolare o al responsabile del trattamento, sorveglia l’osservanza della normativa sulla protezione dei dati e offre supporto nello svolgimento delle valutazioni d’impatto. Può inoltre contribuire a individuare le criticità connesse alla trasparenza degli algoritmi, alla minimizzazione dei dati, alla sicurezza dei trattamenti e all’esercizio dei diritti degli interessati. Il suo contributo è particolarmente importante nella valutazione delle soluzioni di IA utilizzate nei processi HR, nel marketing, nella profilazione e nella gestione di informazioni riservate.

È tuttavia necessario distinguere le responsabilità: il DPO non diventa automaticamente il responsabile della conformità complessiva all’AI Act, né deve assumere compiti operativi incompatibili con la propria indipendenza o tali da determinare conflitti di interesse.

Il suo valore consiste nel supportare l’organizzazione nella corretta integrazione dei principi di protezione dei dati all’interno del più ampio sistema di AI Governance. La conformità all’AI Act richiede infatti una collaborazione tra direzione aziendale, funzioni legali, compliance, IT, sicurezza informatica, responsabili dei processi e DPO, ciascuno secondo le proprie competenze.

Per informazioni e approfondimenti

Per ulteriori approfondimenti sulla normativa italiana ed europea in materia di intelligenza artificiale, o per ricevere supporto specialistico nell’adeguamento all’AI Act e al GDPR, è possibile contattare il nostro team di consulenti scrivendo all’indirizzo e-mail info@tutelaprivacy.com o chiamandoci al numero (+39) 011 5534737