Il Decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 e in vigore dal 23 ottobre 2026, è il secondo decreto attuativo della Legge 132/2025 sull'intelligenza artificiale. Dopo il D.Lgs. 160/2026 sulla responsabilità, questo risponde a tre domande pratiche: chi controlla l'applicazione dell'AI Act (Regolamento UE 2024/1689) in Italia, quanto costa violarlo e cosa cambia per chi usa l'IA nelle decisioni sul personale.
Cosa fa il decreto, in breve
Il testo ha 54 articoli divisi in tre blocchi utili a un'impresa:
- Autorità e poteri (artt. 4–18): chi vigila, chi riceve i reclami, chi fa ispezioni.
- Sanzioni (artt. 19–25): importi, criteri, regola per le PMI, pubblicazione.
- Lavoro, formazione e professioni (artt. 36–51), più la sandbox nazionale (artt. 26–31) e la tutela come segreto commerciale di dati e algoritmi di addestramento (art. 52).
Per la maggior parte delle imprese non nascono obblighi nuovi rispetto all'AI Act: diventa però chiaro chi li farà rispettare. Le eccezioni sono il lavoro e la valutazione dei rischi, che vediamo sotto.
Chi vigila: le autorità italiane
| Autorità | Ruolo (D.Lgs. 179/2026) |
|---|---|
| ACN – Agenzia per la cybersicurezza nazionale | Autorità di vigilanza del mercato e punto di contatto unico (artt. 5–6); registrazione nazionale dei sistemi ad alto rischio per le infrastrutture critiche (art. 14) |
| AgID – Agenzia per l'Italia digitale | Autorità di notifica: designa e controlla gli organismi di valutazione della conformità (artt. 4 e 13) |
| Banca d'Italia, CONSOB, IVASS | Vigilanza sui sistemi ad alto rischio usati nel credito, nei servizi finanziari e assicurativi (art. 5) |
| Garante privacy | Autorità di vigilanza limitatamente ai casi dell'art. 74, par. 8, dell'AI Act (art. 5) |
L'ACN può svolgere ispezioni anche senza preavviso, a distanza o in loco, sulle prove in condizioni reali (art. 15). I reclami previsti dall'art. 85 dell'AI Act vanno all'autorità competente; se arrivano a quella sbagliata, li trasmette lei d'ufficio (art. 18).
Sanzioni: gli importi e la regola per le PMI
L'art. 23 riprende i massimali dell'AI Act, «salvo che il fatto costituisca reato»:
| Violazione | Massimo |
|---|---|
| Pratiche vietate (art. 5 AI Act) | 35 milioni di euro o 7% del fatturato mondiale annuo |
| Obblighi di fornitori, rappresentanti, importatori, distributori, deployer (art. 26), trasparenza (art. 50), segnalazione degli incidenti gravi (art. 73) | 15 milioni o 3% |
| Informazioni inesatte, incomplete o fuorvianti ad autorità e organismi notificati | 7,5 milioni o 1% |
| Valutazione d'impatto sui diritti fondamentali (art. 27) e diritto alla spiegazione (art. 86) | 1 milione o 0,5% |
Per le grandi imprese vale l'importo più alto tra fisso e percentuale. Per PMI, microimprese e start-up innovative l'art. 23, comma 7, rinvia all'art. 99, par. 6, dell'AI Act: vale il più basso.
Due dettagli pesano quanto gli importi:
- Misure non pecuniarie (art. 22): per violazioni di scarsa offensività l'autorità può ordinare di eliminare l'infrazione entro un termine o, se è cessata, pubblicare una dichiarazione sulla violazione e sul responsabile. Chi non rispetta l'ordine paga la sanzione aumentata fino a un terzo.
- Pubblicità (art. 24, comma 4): il provvedimento sanzionatorio è pubblicato per estratto sul sito dell'autorità. Al costo della multa si somma quello reputazionale.
Lavoro: la decisione finale resta a una persona
È la parte che tocca più imprese. L'art. 41 stabilisce che, quando il datore di lavoro usa sistemi di IA, le decisioni finali su costituzione, modifica o risoluzione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non possono basarsi unicamente su un trattamento automatizzato. La decisione definitiva spetta a una persona fisica «che eserciti un potere effettivo e autonomo».
- Il consenso del lavoratore non rende lecita la decisione automatizzata.
- Prima di iniziare, il datore deve dare l'informativa dell'art. 1-bis del D.Lgs. 152/1997.
- Il lavoratore può chiedere una motivazione intelligibile, fornita da una persona, che indichi il peso dell'IA e i principali parametri considerati.
- Il licenziamento intimato in violazione è nullo; nulle anche le altre decisioni.
La ricerca e selezione delle candidature è esclusa da questa regola, anche quando scarta qualcuno; restano però l'art. 22 GDPR e l'AI Act, per cui i sistemi di selezione sono ad alto rischio.
L'art. 42 aggiunge un obbligo operativo: l'IA che incide su organizzazione del lavoro, ritmi produttivi, modalità della prestazione o decisioni rilevanti per la sicurezza va valutata nel documento di valutazione dei rischi (art. 28 del D.Lgs. 81/2008), e i lavoratori vanno informati e formati su quei rischi specifici.
Sandbox, formazione e segreti industriali
- Sandbox (artt. 26–28): nasce lo Spazio di sperimentazione italiano per l'IA, gestito da AgID e ACN, con priorità per PMI e start-up. Modalità di accesso e criteri di ammissione arrivano con decreti congiunti dei direttori generali delle due agenzie: prima di pianificare una domanda, verifica sui loro siti se sono stati adottati.
- Professioni (art. 47): entro sei mesi dall'entrata in vigore gli ordini professionali devono inserire nella formazione continua percorsi di alfabetizzazione sull'IA, con profili tecnici, giuridici e deontologici.
- Segreti commerciali (art. 52): il Codice della proprietà industriale ora include espressamente dati, algoritmi e metodi matematici per l'addestramento, comprese architetture dei modelli e procedure di addestramento, se segreti, con valore economico e protetti da misure ragionevoli.
Cosa fare adesso: checklist in cinque punti
- Mappa l'IA usata sul personale: turni, valutazioni, controllo della produttività, disciplina. Per ogni uso, indica chi prende la decisione finale e con quale potere reale.
- Aggiorna il DVR con i sistemi che incidono su ritmi e modalità di lavoro, e pianifica la formazione su quei rischi.
- Rivedi l'informativa ai lavoratori (art. 1-bis D.Lgs. 152/1997) e prepara una procedura per dare la motivazione su richiesta.
- Individua la tua autorità: ACN per la maggior parte dei casi, Banca d'Italia, CONSOB o IVASS se sei un intermediario finanziario.
- Proteggi i tuoi dati di addestramento con misure documentate di riservatezza, se vuoi poterli difendere come segreto commerciale.
Da dove partire
Con il D.Lgs. 179/2026 l'AI Act ha in Italia autorità con poteri d'ispezione e sanzioni pubblicate. Un gap assessment indipendente ti dice dove sei rispetto a questi obblighi, a partire dal lavoro e dal DVR, e quali interventi fare prima che sia un'autorità a chiederli.