La risposta breve
Dal 23 ottobre 2026 è in vigore il D.Lgs. 179/2026, che adatta l’ordinamento italiano al regolamento europeo sull’intelligenza artificiale (UE 2024/1689). L’ACN diventa autorità di vigilanza del mercato con poteri di ispezione, anche senza preavviso; AgID è autorità di notifica; Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio nei rispettivi settori. Le sanzioni arrivano a 35 milioni di euro o al 7% del fatturato mondiale.
Per un’impresa che sviluppa o semplicemente usa sistemi di IA la conseguenza è pratica: da domani un controllo può chiedere documentazione, registri e prove di supervisione umana. Chi non ha ancora un inventario dei propri sistemi e una classificazione del rischio può partire da un percorso di conformità all’EU AI Act, prima che la prima richiesta di informazioni arrivi davvero.
Chi controlla l’IA in Italia dal 23 ottobre?
Il decreto, pubblicato in Gazzetta Ufficiale l’8 ottobre, è il secondo tassello dell’attuazione nazionale dell’AI Act dopo il D.Lgs. 160/2026, in vigore dal 30 settembre, che riguarda l’uso dell’IA in ambito di polizia e la responsabilità penale. Il 179 si occupa invece di governance, controlli e sanzioni, e completa il disegno avviato con la legge 132/2025.
La divisione dei ruoli è netta. L’Agenzia per l’Italia Digitale (AgID) è l’autorità di notifica: valuta e designa gli organismi che certificano la conformità dei sistemi ad alto rischio. L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità di vigilanza del mercato e il punto di contatto unico con le istituzioni europee. Nei settori già regolati la competenza sui sistemi ad alto rischio resta alle autorità di settore: Banca d’Italia per credito e servizi bancari, CONSOB per i mercati finanziari, IVASS per le assicurazioni. Il Garante privacy conserva le proprie funzioni sui dati personali.
Il punto che cambia la vita delle imprese sono i poteri dell’ACN: può chiedere informazioni ai fornitori e svolgere ispezioni a distanza o in loco, anche senza preavviso. Oltre alle multe, le autorità possono ordinare di eliminare l’infrazione, vietarne la ripetizione e pubblicare una dichiarazione di violazione. Il decreto istituisce anche uno spazio di sperimentazione normativa italiano, gestito da AgID e ACN, le cui regole operative arriveranno con provvedimenti successivi.
Quanto costano le violazioni?
Le soglie seguono lo schema dell’articolo 99 dell’AI Act. Per ogni fascia si applica l’importo fisso o la percentuale del fatturato mondiale annuo, se superiore; per PMI e startup vale invece il più basso dei due.
| Violazione | Sanzione massima |
|---|---|
| Pratiche di IA vietate | 35 milioni di euro o 7% del fatturato |
| Obblighi di fornitori, importatori, distributori e deployer | 15 milioni di euro o 3% del fatturato |
| Informazioni inesatte o fuorvianti alle autorità | 7,5 milioni di euro o 1% del fatturato |
La parola da sottolineare è «deployer»: non solo chi sviluppa un modello, ma anche l’azienda che usa un sistema di IA ad alto rischio nei propri processi, per esempio per selezionare candidati o valutare il merito creditizio, ha obblighi propri e risponde in proprio.
Cosa cambia per l’IA nelle decisioni sul personale?
È la parte del decreto che tocca più aziende, anche quelle che non sviluppano software. Le decisioni finali su assunzione, modifica e cessazione del rapporto di lavoro non possono basarsi esclusivamente su un trattamento automatizzato: serve una persona che eserciti un potere effettivo e autonomo sulla decisione. Secondo l’analisi pubblicata da Agenda Digitale, le decisioni prese in violazione di questa regola sono nulle.
Il decreto chiede inoltre di includere i sistemi di IA nella valutazione dei rischi prevista dal D.Lgs. 81/2008 sulla sicurezza sul lavoro e introduce obblighi di formazione sull’IA per professionisti, pubblica amministrazione, scuole e università. Per le aziende che hanno integrato strumenti di screening dei CV, scoring delle performance o pianificazione automatica dei turni, la verifica da fare è concreta: dove decide l’algoritmo e dove decide una persona, e se questo passaggio è documentato.
Cosa fare adesso: checklist per le imprese
- Fare l’inventario. Elencare ogni sistema di IA in uso, compresi i servizi SaaS con funzioni di IA integrate e gli strumenti adottati dai singoli reparti.
- Classificare il rischio. Separare pratiche vietate, sistemi ad alto rischio (selezione del personale, credito, assicurazioni) e usi a rischio limitato con soli obblighi di trasparenza.
- Chiarire il ruolo. Per ogni sistema stabilire se l’azienda è fornitore, deployer o entrambi: gli obblighi cambiano.
- Rendere dimostrabile la supervisione umana. Nei flussi HR il passaggio umano deve essere reale e tracciato, non un clic di conferma.
- Tenere i log. Registri, versioni dei modelli e documentazione tecnica devono essere pronti per una richiesta dell’ACN.
- Aggiornare il DVR. Inserire i sistemi di IA nella valutazione dei rischi aziendale.
Nei progetti che seguiamo la difficoltà raramente è giuridica: è tecnica. La supervisione umana e la tracciabilità vanno progettate nell’architettura, con log immutabili, punti di approvazione espliciti e dati di addestramento documentati. Aggiungerle a posteriori a un sistema già in produzione costa molto di più.
Domande frequenti
Quando entra in vigore il D.Lgs. 179/2026?
Il 23 ottobre 2026. Il decreto legislativo 7 ottobre 2026, n. 179, è stato pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 e conta 54 articoli.
Chi controlla l’intelligenza artificiale in Italia?
L’ACN è l’autorità di vigilanza del mercato e punto di contatto unico con l’UE; AgID è l’autorità di notifica. Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati nei settori di loro competenza.
Quali sono le sanzioni previste?
Fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o il 3% per gli obblighi di fornitori e deployer, fino a 7,5 milioni o l’1% per informazioni inesatte. Per PMI e startup si applica l’importo più basso.
Un’azienda può usare l’IA per selezionare il personale?
Sì, ma la decisione finale su assunzione, modifica o cessazione del rapporto non può basarsi solo su un trattamento automatizzato: serve una persona con un potere effettivo e autonomo di decidere.
Fonti
Agenda Digitale — AI Act in vigore in Italia, ecco i controlli: cosa rischiano le imprese, 15 ottobre 2026
Agenda Digitale — AI Act, come funzionano le nuove sanzioni previste in Italia
Sistema Penale — Intelligenza artificiale: pubblicati in Gazzetta Ufficiale i decreti attuativi (D.Lgs. 160/2026 e 179/2026), 20 ottobre 2026
Ingenio — Decreto Legislativo 179/2026: cosa cambia per l’intelligenza artificiale