Legge italiana sull’intelligenza artificiale: in vigore il secondo decreto attuativo

Il d.lgs. 179/2026 affianca il d.lgs. 160/2026 nell’attuazione della legge italiana sull’intelligenza artificiale: i nuovi criteri in merito ad autorità, sanzioni, lavoro e formazione

Dal 23 ottobre 2026 è in vigore il secondo decreto attuativo della legge italiana sull’intelligenza artificiale: il d. lgs 7 ottobre 2026 n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre, adegua l’ordinamento nazionale al Regolamento (UE) 2024/1689 (AI Act) in materia di poteri delle autorità nazionali e di formazione.

Come nasce la legge italiana sull’intelligenza artificiale

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, fissava principi generali e incaricava il Governo di adottare la normativa di dettaglio entro dodici mesi (art. 24).

Il preambolo del decreto 179 richiama l’articolo 24 della legge; non richiama invece l’articolo 16, che delegava la disciplina di dati, algoritmi e metodi matematici per l’addestramento dei sistemi.

D.lgs. 160/2026: AI nelle indagini, reati e responsabilità

Il d.lgs. 9 settembre n. 160 del 2026, in vigore dallo scorso 30 settembre, regola l’uso dell’IA nelle attività di polizia e i profili di responsabilità civile e penale.

Intelligenza artificiale nelle indagini: biometria e riconoscimento facciale

L’articolo 3 impone un “approccio antropocentrico”, affidando all’IA una funzione di supporto. I risultati vanno sottoposti a “revisione umana qualificata” e documentata, prima di adottare atti che incidono sui diritti delle persone; per i sistemi ad alto rischio, la sorveglianza umana deve essere effettiva.

L’identificazione biometrica in tempo reale (artt. 8 e 9) richiede l’autorizzazione del procuratore della Repubblica, con il divieto di banche dati alimentate con “scraping non mirato” o costituite in violazione delle norme sui dati personali; il divieto compare anche nel nuovo articolo 359-ter del codice di procedura penale.

Il riconoscimento facciale a posteriori (art. 10) richiede invece l’autorizzazione del giudice per le indagini preliminari per la ricerca mirata di un indiziato, mentre per l’identificazione iniziale di una persona potenzialmente indiziata è sufficiente la responsabilità di un ufficiale designato .

Sebbene sia stabilito che i dati biometrici si elaborano solo dopo la commissione di un reato, volti e dati anagrafici di chi accede a luoghi o eventi con “particolari esigenze di sicurezza” restano memorizzati fino a sette giorni.

Articolo 437-bis: reati e sicurezza dei sistemi AI ad alto rischio

L’art. 12 inserisce nel codice penale l’articolo 437-bis, rubricato «Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi».
La norma punisce:

• chi omette le misure tecniche di sicurezza o di sorveglianza umana sui sistemi ad alto rischio, con la reclusione da uno a cinque anni se ne deriva pericolo per la vita o l’incolumità e da due a otto se il pericolo riguarda la sicurezza dello Stato;
• chi altera un sistema ad alto rischio, con la reclusione da due a sei anni o da tre a dieci se il pericolo riguarda la sicurezza dello Stato;
• l’utilizzatore professionale che omette intenzionalmente la sorveglianza umana.

L’articolo 15 estende il d.lgs. 231/2001 sulla responsabilità degli enti societari: per questi ultimi, nei casi previsti dall’art. 437-bis, sono previste sanzioni economiche e interdittive.

Responsabilità civile per i danni causati dall’intelligenza artificiale

Il decreto introduce l’esibizione delle prove sul funzionamento del sistema (art. 17) e presume il nesso causale quando il danno deriva dalla violazione dell’AI Act (art. 18).

La conformità al regolamento non esclude di per sé la responsabilità (art. 19); il danneggiato può agire direttamente contro l’assicuratore (art. 20).

Riconoscimento facciale e AI: le osservazioni del Garante Privacy

Il Garante per la protezione dei dati personali aveva espresso parere favorevole con condizioni sullo schema di decreto, ritenendolo “complessivamente coerente” con l’AI Act.

Il testo definitivo ha accolto alcune di tali condizioni, come il divieto di banche dati da scraping anche nell’articolo 359-ter, il set di confronto non incrementale e l’elaborazione biometrica solo dopo la commissione di un reato; ma non ha sostituito “revisione umana qualificata” con “sorveglianza umana” all’articolo 3, comma 4, come aveva suggerito l’Autorità.

Dal canto suo l’Unione delle Camere Penali Italiane ha criticato il rischio di «attribuire rilevanza processuale a risultati non pienamente controllabili dalle parti e dal giudice», ribadendo che “il risultato algoritmico non dovrebbe mai trasformarsi, per il solo fatto di essere prodotto da un sistema tecnologico, in un’identificazione processualmente certa”.

D.lgs. 179/2026: le novità del secondo decreto attuativo sull’AI

Ai sensi del decreto, l’Agenzia per l’Italia Digitale è designata indicata come autorità nazionale di notifica: valuta, designa e monitora gli organismi di valutazione della conformità (art. 4), mentre l’Autorità per la cybersicurezza nazionale è incaricata della vigilanza del mercato (art. 5) e funge da punto di contatto unico con l’Unione Europea (art. 6).

AgID e ACN gestiscono congiuntamente, con un Gruppo operativo paritetico, lo Spazio di sperimentazione italiano per l’IA (artt. 26-28), mirato a favorire l’innovazione e l’accesso al mercato di nuove imprese.

Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati nei servizi bancari, finanziari e assicurativi; il Garante resta competente per quanto riguarda la protezione dei dati personali, nei limiti dell’art. 74, paragrafo 8, dell’AI Act.

Sanzioni AI Act: multe fino a 35 milioni di euro

L’articolo 23 del decreto prevede sanzioni che possono arrivare fino a:

• 35 milioni di euro o 7% del fatturato mondiale annuo per le pratiche vietate;
• 15 milioni o 3% per gli obblighi di fornitori, utilizzatori professionali e altri operatori;
• 7,5 milioni o 1% per informazioni inesatte, incomplete o fuorvianti;
• 1 milione o 0,5% per gli obblighi degli articoli 27 e 86 dell’AI Act.

Intelligenza artificiale nel lavoro: limiti alle decisioni automatizzate

La normativa stabilisce che il datore di lavoro non può adottare le decisioni finali sul rapporto, compresi provvedimenti disciplinari e valutazioni, unicamente sulla base di un trattamento automatizzato (art. 41), pena la nullità del licenziamento e delle decisioni assunte in violazione del divieto.

La decisione definitiva spetta a una persona fisica con potere effettivo e autonomo; la proibizione non può essere superata dal consenso del lavoratore, che può sempre chiedere una motivazione intelligibile.

Tuttavia la ricerca e la selezione del personale non vengono inserite tra le “decisioni finali”, lasciando aperta la possibilità di impiegare sistemi automatizzati in fase di candidatura.

Formazione sull’intelligenza artificiale: obblighi e scadenze

Il decreto prevede percorsi formativi sull’intelligenza artificiale per studenti e docenti (artt. 36 e 38), adulti (art. 39), pubbliche amministrazioni (art. 40), università (artt. 43-45), personale della giustizia e magistrati (art. 46), professioni (art. 47) e settore finanziario (art. 50).

Gli ordini professionali sono chiamati a includere percorsi sull’IA nella formazione iniziale e continua dei propri iscritti; i consigli nazionali dovranno adeguare i regolamenti entro sei mesi dall’entrata in vigore (art. 47, comma 5). Per le professioni sanitarie, l’accordo in Conferenza Stato-Regioni sull’educazione continua in medicina segue lo stesso termine (art. 47, comma 6).

Per i docenti, si prevede che entro novanta giorni il Ministro dell’istruzione e del merito adotti un decreto per stabilire criteri e modalità della formazione (art. 38). Nello stesso termine dovrà partire il piano di formazione sull’uso dei social e dell’IA, con risorse fino a 100 milioni di euro (art. 37).

L’articolo 49 precisa che l’uso dell’IA “può comportare una modulazione” dell’equo compenso, secondo parametri legati alla classificazione di rischio del sistema.

Legge italiana sull’intelligenza artificiale: prossimi adempimenti

I decreti n. 160 e 179 non sono un punto d’arrivo: mancano ancora le determinazioni del Ministro dell’Interno sui requisiti tecnici della biometria, il decreto sulla formazione dei docenti, gli adeguamenti richiesti agli ordini professionali e gli accordi tra le varie autorità di settore (art. 7).

La piena applicazione della legge italiana sull’AI dipenderà da questi atti, nonché dagli sviluppi europei attesi nel 2027 e 2028. Ma il reale banco di prova sarà la sua applicazione in concreto, quando dovrà dimostrarsi capace di tutelare i diritti fondamentali dei cittadini dai possibili abusi derivanti da un uso sempre più pervasivo dell’intelligenza artificiale.