Sommario: 1. Il decreto e l’AI Act: due livelli da tenere distinti. — 2. Chi controlla: AgID, ACN e autorità specializzate. — 3. Il settore finanziario: una vigilanza articolata per attività e sistemi. — 4. Coordinamento, ispezioni e misure correttive. — 5. Reclami e controversie con la clientela finanziaria. — 6. Sanzioni: i massimali europei e la previsione nazionale aggiuntiva. — 7. Misure non pecuniarie e garanzie procedimentali. — 8. Sperimentazione: un ambiente controllato per sviluppare l’IA. — 9. Scuola, università e pubblica amministrazione: competenze differenziate. — 10. Lavoro: decisione umana effettiva e nullità. — 11. Giustizia, professioni e sanità: la formazione entra nei percorsi ordinari. — 12. Equo compenso: parametri da integrare. — 13. Dati e algoritmi come segreti commerciali. — 14. L’attuazione concreta del decreto.

La disciplina italiana di adeguamento all’AI Act distribuisce le competenze tra le autorità, regola vigilanza e sperimentazione e introduce disposizioni per lavoro, professioni, istruzione e tutela dei segreti commerciali.

Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale dell’8 ottobre 2026 ed entrato in vigore il 23 ottobre, interviene su due versanti strettamente collegati: l’organizzazione dei controlli sull’intelligenza artificiale e lo sviluppo delle competenze necessarie per utilizzarla.

Adottato in attuazione della delega contenuta nell’art. 24 della legge 23 settembre 2025, n. 132, il provvedimento comprende 54 articoli. Accanto alla disciplina delle autorità, delle sanzioni e degli spazi di sperimentazione, contiene norme che incidono direttamente sul lavoro e sull’attività professionale. Per comprenderne la portata occorre, anzitutto, distinguere le regole nazionali da quelle europee.

***

1. Il decreto e l’AI Act: due livelli da tenere distinti

L’AI Act è il regolamento (UE) 2024/1689: una fonte europea direttamente applicabile, dalla quale derivano la classificazione dei sistemi in base al rischio, i divieti di determinate pratiche e gli obblighi degli operatori.

Il decreto n. 179/2026 adegua l’ordinamento italiano a tale disciplina, individuando autorità, poteri, procedimenti e strumenti di coordinamento. A questi interventi affianca disposizioni nazionali in materia di formazione, lavoro e professioni.

Gli artt. 1 e 2 rinviano alle definizioni e all’ambito soggettivo del regolamento europeo; l’art. 3 richiama una prospettiva antropocentrica, fondata sull’uso corretto, trasparente e responsabile dell’IA e sulla tutela dei diritti e delle libertà.

Ne consegue una distinzione essenziale: non ogni sistema di IA è ad alto rischio e non ogni obbligo nasce dal decreto italiano. La qualificazione del sistema e la posizione dell’operatore devono essere ricostruite anzitutto sulla base dell’AI Act. Anche l’applicazione nel tempo delle disposizioni europee segue il calendario e i regimi transitori del regolamento, da verificare separatamente rispetto all’entrata in vigore del decreto nazionale. Il riferimento è agli artt. 111 e 113 dell’AI Act.

2. Chi controlla: AgID, ACN e autorità specializzate

Il decreto distingue la funzione di notifica degli organismi di valutazione della conformità dalla vigilanza sul mercato.

L’AgID è l’autorità nazionale di notifica: predispone e attua le procedure per valutare, designare e notificare gli organismi di valutazione della conformità e ne controlla il mantenimento dei requisiti (artt. 4 e 13).

La notifica riguarda dunque gli organismi chiamati a svolgere determinate valutazioni di conformità. Non introduce un’autorizzazione generalizzata di AgID per qualsiasi applicazione di intelligenza artificiale.

L’art. 13 prevede audit periodici e straordinari e, in presenza di carenze o inadempimenti, procedimenti di limitazione, sospensione o revoca della designazione, previo contraddittorio. Gli oneri dei controlli sul mantenimento dei requisiti sono posti a carico degli organismi notificati.

L’ACN esercita la funzione generale di vigilanza del mercato sui sistemi di IA ed è il punto di contatto unico nazionale (artt. 5 e 6). Restano salve le competenze europee dell’Ufficio per l’IA e le attribuzioni specialistiche individuate dal decreto.

Tra queste figurano quelle della Banca d’Italia, della CONSOB e dell’IVASS per il settore finanziario e quelle del Garante per la protezione dei dati personali, limitatamente alle ipotesi richiamate dall’art. 74, paragrafo 8, dell’AI Act.

La funzione del Garante quale autorità di vigilanza del mercato sull’IA deve essere distinta dai suoi ordinari compiti in materia di dati personali, che restano fermi.

3. Il settore finanziario: una vigilanza articolata per attività e sistemi

Il settore finanziario riceve una disciplina particolarmente dettagliata.

L’art. 5 attribuisce la vigilanza sui sistemi di IA ad alto rischio:

· alla Banca d’Italia, per quelli utilizzati nell’erogazione di finanziamenti o di altri servizi finanziari disciplinati dal testo unico bancario;

· alla CONSOB, per quelli utilizzati nell’erogazione dei servizi finanziari disciplinati dal testo unico della finanza;

· all’IVASS, per quelli impiegati nell’attività assicurativa, riassicurativa e nella distribuzione di prodotti assicurativi disciplinate dal codice delle assicurazioni private.

L’art. 17 riconosce a queste autorità, nei confronti degli istituti finanziari vigilati, i poteri previsti dal regolamento IA e dalla disciplina europea sulla vigilanza del mercato. Comprende controlli sulle prove in condizioni reali e ispezioni a distanza o sul posto, anche senza preavviso.

La definizione di «istituti finanziari» dell’art. 1, comma 2, lettera g), è ampia: comprende, tra gli altri, banche, imprese di investimento, gestori, intermediari finanziari, istituti di pagamento e di moneta elettronica, operatori assicurativi e diversi soggetti attivi nelle cripto-attività e nelle infrastrutture di mercato.

La sola appartenenza al settore finanziario non determina però l’assoggettamento di ogni applicazione alla vigilanza speciale prevista per l’IA ad alto rischio. Per i sistemi diversi da quelli contemplati dall’art. 74, paragrafo 6, del regolamento, l’art. 9 disciplina la collaborazione tra ACN e autorità finanziarie.

L’individuazione dell’autorità competente richiede quindi di considerare il sistema concretamente impiegato, la sua qualificazione e l’attività nella quale viene utilizzato.

4. Coordinamento, ispezioni e misure correttive

La pluralità delle autorità rende centrale il coordinamento.

Gli artt. 7-12 prevedono accordi, protocolli, condivisione delle informazioni e meccanismi di cooperazione, anche per rispondere agli incidenti gravi. Quando un prodotto è soggetto sia all’AI Act sia alla normativa europea di armonizzazione, ACN e autorità settoriali svolgono congiuntamente le attività di vigilanza secondo l’art. 8.

Il Comitato di coordinamento può fornire indirizzi unitari; le autorità finanziarie vi partecipano quando vengono trattate questioni di loro competenza. Restano ferme le attribuzioni del Garante e dell’AGCOM quale Coordinatore dei servizi digitali (art. 12).

Gli artt. 15 e 16 disciplinano i poteri dell’ACN. La vigilanza può condurre alle misure previste dalla normativa europea per sistemi rischiosi, non conformi o caratterizzati da irregolarità formali, comprese, quando ne ricorrano i presupposti, limitazioni alla commercializzazione o all’uso e misure di ritiro o richiamo.

Il procedimento può iniziare d’ufficio, a seguito della segnalazione di incidenti gravi, su segnalazione di altre autorità o in presenza di reclami non manifestamente infondati (art. 16, comma 2).

L’art. 14 attribuisce inoltre all’ACN la registrazione nazionale dei sistemi ad alto rischio indicati nell’allegato III, punto 2, del regolamento, relativo alle infrastrutture critiche. La disposizione riguarda questa specifica categoria e non istituisce un registro nazionale indistinto di tutti i sistemi di IA.

Gli scambi informativi tra autorità possono avvenire anche in deroga al segreto d’ufficio, ma devono rispettare la normativa sui dati personali e i principi di necessità, proporzionalità e minimizzazione (art. 34).

5. Reclami e controversie con la clientela finanziaria

L’art. 18 disciplina la ricezione dei reclami previsti dall’art. 85 dell’AI Act. Ciascuna autorità li tratta secondo le proprie procedure, assicurando il pieno contraddittorio.

Se il reclamo è presentato all’autorità sbagliata, questa lo trasmette d’ufficio a quella competente e ne informa il reclamante.

Per il settore finanziario, il comma 3 attribuisce rilievo anche ai sistemi di risoluzione stragiudiziale delle controversie con la clientela previsti dal testo unico bancario, dal testo unico della finanza e dal codice delle assicurazioni private.

La competenza riguarda le violazioni del regolamento IA commesse dagli istituti aderenti, quando siano realizzate nello svolgimento di attività già comprese nelle attribuzioni di tali organismi. Il decreto mantiene quindi il collegamento con il perimetro e le procedure di ciascun sistema di tutela.

6. Sanzioni: i massimali europei e la previsione nazionale aggiuntiva

Gli artt. 19-25 organizzano il sistema sanzionatorio. Le competenze seguono la ripartizione delle funzioni: AgID per le violazioni connesse alla propria attività di notifica; autorità di vigilanza del mercato per gli ambiti rispettivamente attribuiti.

L’art. 23 prevede quattro fasce principali:

Le prime tre fasce riprendono l’impianto dell’art. 99 del regolamento europeo. La quarta costituisce una specifica previsione nazionale per l’inosservanza degli obblighi relativi alla valutazione d’impatto sui diritti fondamentali e al diritto alla spiegazione dei singoli processi decisionali, nei rispettivi ambiti di applicazione.

Non si tratta di importi fissi. Sono massimali: la determinazione concreta deve considerare i criteri dell’art. 99, paragrafo 7, dell’AI Act e la natura sostanziale o formale dell’obbligo violato (art. 23, comma 6).

Per PMI, microimprese e start-up innovative, il comma 7 richiama il criterio dell’art. 99, paragrafo 6, fondato sul minore tra il massimale in cifra assoluta e quello percentuale applicabile.

Tutte e quattro le fattispecie sono accompagnate dalla clausola «salvo che il fatto costituisca reato»: il rapporto con eventuali illeciti penali deve quindi essere valutato nella singola vicenda.

7. Misure non pecuniarie e garanzie procedimentali

Per violazioni caratterizzate da scarsa offensività o pericolosità, l’art. 22 consente, in alternativa alla sanzione pecuniaria, di ordinare la cessazione dell’infrazione e l’astensione dalla sua ripetizione, indicando eventualmente misure e termini.

Quando l’infrazione sia già cessata, può essere adottata una dichiarazione pubblica sulla violazione e sul responsabile.

L’inosservanza dell’ordine entro il termine stabilito comporta l’applicazione delle sanzioni pecuniarie, con aumento fino a un terzo rispetto all’importo previsto per la violazione originaria, sempre nel rispetto dei massimali.

L’art. 24 richiede contestazione degli addebiti e provvedimento motivato entro un termine ragionevole. Prevede inoltre la pubblicazione per estratto della sanzione e l’indicazione dell’eventuale impugnazione e del relativo esito. La pubblicazione avviene in forma anonima nelle ipotesi espressamente individuate, tra le quali la sproporzione nella divulgazione di dati personali e determinati rischi per la cybersicurezza o per indagini penali.

Per Banca d’Italia, CONSOB, IVASS e Garante sono richiamate le rispettive procedure di settore. In via residuale si applica, in quanto compatibile, la legge n. 689/1981, con esclusione dell’art. 16 sul pagamento in misura ridotta.

8. Sperimentazione: un ambiente controllato per sviluppare l’IA

Gli artt. 26-31 istituiscono e disciplinano lo Spazio di sperimentazione italiano per l’IA, gestito congiuntamente da AgID e ACN.

L’obiettivo è consentire a fornitori e potenziali fornitori di sviluppare, provare e validare soluzioni in un ambiente controllato, agevolando l’accesso al mercato e raccogliendo indicazioni utili anche per l’evoluzione della regolazione.

L’ammissione deve seguire criteri oggettivi e trasparenti, con priorità per PMI e start-up secondo le modalità attuative. Un Gruppo operativo paritetico cura selezione dei progetti, approvazione dei piani e monitoraggio della sperimentazione, anche attraverso strumenti di registrazione, verifica e tracciabilità (art. 28).

L’art. 30 prevede ulteriori spazi per sistemi utilizzabili in chiave duale e per applicazioni all’attività giudiziaria, oltre alla possibilità di iniziative regionali, locali o congiunte con autorità di altri Stati membri.

Nel settore finanziario resta ferma la disciplina della sperimentazione FinTech. I sistemi destinati agli istituti finanziari possono essere sperimentati anche nello spazio nazionale IA, con la partecipazione delle autorità finanziarie per i profili di competenza e con appositi meccanismi di raccordo.

La partecipazione alla sperimentazione deve dunque essere letta all’interno delle regole europee e nazionali applicabili: l’ammissione al progetto non equivale, da sola, alla piena conformità del sistema per ogni successivo utilizzo.

9. Scuola, università e pubblica amministrazione: competenze differenziate

Il Capo III dedica alla formazione un insieme articolato di disposizioni.

L’art. 36 consente alle scuole di promuovere attività sull’IA nell’ambito dell’educazione civica e moduli coerenti con le discipline scientifiche, tecnologiche e artistiche. Il testo valorizza l’autonomia scolastica e la capacità critica degli studenti.

L’art. 37 prevede, entro novanta giorni dall’entrata in vigore, l’avvio di un piano di formazione dei docenti per affrontare l’uso eccessivo e inconsapevole dei social media e degli ambienti relazionali basati sull’IA, anche attraverso interventi rivolti agli studenti e alle famiglie. Le risorse provengono dal Programma nazionale “Scuola e competenze 2021-2027”, nel limite di 100 milioni di euro e secondo i relativi vincoli.

L’art. 38 rinvia a un decreto ministeriale, da adottare entro novanta giorni, per criteri e modalità della formazione dei docenti e interventi rivolti agli studenti. Prevede inoltre possibili comitati tecnico-etici territoriali. L’art. 39 riguarda l’alfabetizzazione degli adulti attraverso i CPIA.

Per università, enti di ricerca, istituzioni AFAM e ITS Academy, gli artt. 43-45 promuovono formazione interdisciplinare, divulgazione, ricerca applicata e trasferimento tecnologico. La preparazione deve integrare comprensione tecnica, valutazione dei limiti e degli errori, responsabilità, diritti fondamentali, sorveglianza umana e cybersicurezza.

Nella pubblica amministrazione, l’art. 40 affida al Ministro competente il coordinamento delle politiche formative e la definizione, mediante linee guida, di un quadro minimo di competenze, con il coinvolgimento di AgID, ACN e delle autonomie territoriali.

10. Lavoro: decisione umana effettiva e nullità

L’art. 41 introduce una disposizione di particolare rilievo pratico.

Quando il datore utilizza sistemi di IA nei processi decisionali relativi al rapporto di lavoro, le decisioni finali sulla costituzione, modificazione o risoluzione del rapporto, comprese quelle disciplinari e le valutazioni delle prestazioni, non possono fondarsi unicamente su un trattamento automatizzato.

La decisione definitiva è riservata a una persona fisica dotata di un potere effettivo e autonomo. Un intervento umano soltanto formale non soddisfa il requisito espresso dalla norma. Il consenso del lavoratore non costituisce un’eccezione al divieto.

Il testo delimita però questa garanzia: le attività di ricerca e selezione delle candidature non rientrano nelle decisioni finali sulla costituzione del rapporto, anche quando determinino la mancata ammissione alle fasi successive. Restano ferme le altre tutele applicabili, comprese quelle sui dati personali e sulla non discriminazione.

Il lavoratore può ottenere, su richiesta e attraverso l’intervento di una persona fisica, una motivazione intelligibile, che indichi l’eventuale incidenza dell’IA e i principali parametri considerati. Il comma 4 stabilisce espressamente la nullità del licenziamento e delle decisioni assunte in violazione del comma 1.

L’art. 42 collega inoltre l’IA alla sicurezza sul lavoro: quando i sistemi incidono sull’organizzazione, sui ritmi, sulle modalità della prestazione o sui processi decisionali rilevanti per la sicurezza, devono essere considerati nella valutazione dei rischi. Il datore deve assicurare informazione e formazione adeguate.

L’art. 48 consente l’impiego dell’IA nei servizi per il lavoro, subordinandolo a supervisione umana, trasparenza e tutela dei diritti.

11. Giustizia, professioni e sanità: la formazione entra nei percorsi ordinari

L’art. 46 disciplina la formazione del personale dell’amministrazione della giustizia, differenziandola per funzioni, contesti e rischi. Essa comprende aspetti tecnici, giuridici, organizzativi e di cybersicurezza, oltre alle competenze necessarie alla sorveglianza umana. Per i magistrati provvede la Scuola superiore della magistratura.

L’art. 47 stabilisce che i corsi iniziali e di formazione continua svolti dagli ordini professionali includano percorsi di alfabetizzazione e formazione sull’IA.

I contenuti comprendono funzionamento, tecniche di interrogazione, potenzialità e limiti dei sistemi; disciplina europea e nazionale; responsabilità professionale, deontologia e obblighi informativi verso il cliente.

È previsto un monte ore minimo per ciascun periodo di valutazione della formazione continua, ma il decreto non fissa un numero uniforme per tutte le professioni. Gli organismi competenti devono adeguare regolamenti e atti organizzativi entro sei mesi dall’entrata in vigore. Il comma 4 estende la disciplina, alle condizioni indicate, ai percorsi promossi dalle forme aggregative delle associazioni delle professioni non regolamentate.

Per la sanità, l’art. 51 inserisce la formazione sull’IA nei percorsi ECM e rinvia alla Commissione nazionale per la formazione continua la definizione, entro sei mesi, della percentuale dell’obbligo individuale triennale da dedicarvi. Sono previsti anche programmi per la formazione manageriale sanitaria.

L’art. 50 affida invece al Comitato per l’educazione finanziaria iniziative di sensibilizzazione del pubblico sulle opportunità e sui rischi dell’IA nel settore finanziario.

12. Equo compenso: parametri da integrare

L’art. 49 prevede che l’uso dell’IA da parte del professionista possa comportare una modulazione dell’equo compenso secondo parametri che tengano conto della classificazione di rischio del sistema utilizzato.

Entro dodici mesi devono essere integrati i decreti sui parametri professionali richiamati dalla disposizione, compresi quelli relativi alla professione forense.

La norma non stabilisce una riduzione automatica del compenso per il solo fatto di avere utilizzato l’IA. Prevede una possibile modulazione, da concretizzare attraverso parametri ulteriori. La sua portata applicativa dipenderà quindi anche dal contenuto di tali interventi.

13. Dati e algoritmi come segreti commerciali

L’art. 52 modifica l’art. 98 del codice della proprietà industriale, precisando che tra le informazioni protette possono rientrare dati, algoritmi e metodi matematici per l’addestramento dei sistemi di IA.

Il testo comprende architetture dei modelli, funzioni di ottimizzazione, procedure e configurazioni di addestramento e altri elementi tecnico-computazionali funzionali allo sviluppo.

La tutela richiede comunque le condizioni ordinarie del segreto commerciale: segretezza, valore economico derivante dalla segretezza e misure ragionevolmente adeguate a mantenerla. Il semplice collegamento con l’intelligenza artificiale non rende quindi automaticamente riservata un’informazione.

L’art. 53 conferma la competenza delle sezioni specializzate in materia di impresa per le relative controversie.

14. L’attuazione concreta del decreto

Il decreto definisce un quadro ampio, la cui operatività richiede numerosi atti successivi: regolamenti procedimentali, decreti sulla sperimentazione, accordi tra autorità, provvedimenti formativi e integrazione dei parametri professionali.

L’art. 54 prevede che, salvo quanto disposto per il piano educativo dell’art. 37, le amministrazioni provvedano con le risorse disponibili a legislazione vigente.

Per imprese, intermediari e professionisti, la prima esigenza operativa è ricostruire quali sistemi siano effettivamente utilizzati, per quali finalità e con quale livello di rischio. Da questa analisi discendono l’individuazione degli obblighi, dell’autorità competente, delle garanzie da assicurare alle persone e della formazione necessaria.

Il decreto rende così concreta una parte decisiva dell’adeguamento italiano all’AI Act: accanto ai controlli sui sistemi, pone al centro la competenza di chi li impiega e, in ambiti particolarmente delicati come il lavoro, l’effettività della decisione umana.

Fonti normative

Decreto legislativo 7 ottobre 2026 n. 179 — Gazzetta Ufficiale n. 234 dell’8 ottobre 2026

https://www.gazzettaufficiale.it/eli/id/2026/10/08/26G00200/SG

Regolamento UE 2024/1689 — AI Act

https://eur-lex.europa.eu/eli/reg/2024/1689/oj/ita