Un anno fa, il 25 settembre 2025, la Legge 23 settembre 2025, n. 132 è stata pubblicata in Gazzetta Ufficiale: la prima legge italiana sull'intelligenza artificiale, in vigore dal 10 ottobre 2025. La domanda che ci fanno più spesso le PMI è semplice: devo fare qualcosa in più rispetto all'AI Act? La risposta breve è: per i sistemi di IA in sé no, ma per come li usi con dipendenti, clienti, minori e contenuti sì, e alcune di queste regole valgono già oggi.
Il principio: nessun obbligo in più sull'IA, regole nuove sul contesto
La legge si interpreta e si applica in conformità al Regolamento UE 2024/1689 (art. 1) e dichiara espressamente di non produrre nuovi obblighi rispetto all'AI Act per i sistemi e i modelli di IA (art. 3, comma 5). Chi cerca una seconda lista di requisiti tecnici non la troverà.
Ciò che la legge fa è disciplinare gli ambiti che il regolamento europeo lascia agli Stati membri: il rapporto di lavoro, le professioni, la sanità, la pubblica amministrazione, il diritto d'autore e il diritto penale. È qui che si trovano gli obblighi concreti per un'impresa italiana.
Cosa vale già oggi per le imprese
| Ambito | Cosa prevede | Norma |
|---|---|---|
| Lavoro | Il datore di lavoro o il committente deve informare il lavoratore sull'uso dell'IA, nei casi e con le modalità dell'art. 1-bis del D.Lgs. 152/1997; l'IA non può violare dignità e riservatezza né discriminare | Art. 11 |
| Professioni intellettuali | L'IA solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale; il cliente va informato sui sistemi usati con linguaggio chiaro, semplice ed esaustivo | Art. 13 |
| Minori | Sotto i 14 anni l'accesso all'IA e il relativo trattamento dei dati richiedono il consenso dei genitori; dai 14 ai 18 anni il minore può consentire se le informazioni sono facilmente comprensibili | Art. 4, comma 4 |
| Informazioni sui dati | Le informative sui trattamenti connessi all'IA vanno scritte con linguaggio chiaro e semplice, rendendo conoscibili rischi e diritto di opposizione | Art. 4, comma 3 |
| Sanità | Il paziente ha diritto di essere informato sull'impiego dell'IA; la decisione resta sempre al medico | Art. 7 |
| Diritto d'autore | Sono protette le opere dell'ingegno umano, anche create con l'ausilio dell'IA, purché siano frutto del lavoro intellettuale dell'autore; il text and data mining è ammesso solo nei limiti degli artt. 70-ter e 70-quater | Art. 25 |
| Contenzioso | Le cause sul funzionamento di un sistema di IA sono di competenza del tribunale | Art. 17 |
Due osservazioni pratiche. Sul lavoro, l'obbligo informativo rinvia a una norma che esiste dal 2022: la novità è che ora la legge la collega espressamente all'IA. Le Linee guida del Ministero del Lavoro adottate con il DM 180/2025 vanno nella stessa direzione. Sui professionisti, l'informativa al cliente non è un dettaglio di cortesia: è la condizione che la legge pone per preservare il rapporto fiduciario.
I nuovi reati: deepfake, aggravante e mercati
L'art. 26 modifica il codice penale e alcune leggi speciali:
- art. 612-quater c.p. — chi cagiona un danno ingiusto diffondendo senza consenso immagini, video o voci falsificati o alterati con l'IA e idonei a ingannare sulla loro genuinità è punito con la reclusione da uno a cinque anni (a querela, salvo i casi procedibili d'ufficio);
- aggravante comune (art. 61, n. 11-decies c.p.) quando l'IA è stata un mezzo insidioso, ha ostacolato la difesa o ha aggravato le conseguenze del reato;
- aggiotaggio (art. 2637 c.c.) e manipolazione del mercato (art. 185 TUF) commessi con l'IA: reclusione da due a sette anni (per il TUF anche multa da 25.000 a 6 milioni di euro);
- diritto d'autore: diventa reato riprodurre o estrarre testi e dati in violazione delle regole sul text and data mining, anche tramite IA (art. 171, lett. a-ter, L. 633/1941).
Per le imprese il punto rilevante è la catena con il D.Lgs. 231/2001: il D.Lgs. 160/2026 ha inserito il reato di deepfake tra i reati presupposto della responsabilità dell'ente (nuovo art. 25-vicies). Chi produce contenuti di marketing o comunicazione con l'IA deve quindi avere regole su consenso, verifica e uso di volti e voci.
Autorità e decreti attuativi: dove siamo
L'art. 20 designa le autorità nazionali per l'IA: l'AgID come autorità di notifica e l'ACN come autorità di vigilanza del mercato e punto di contatto unico con l'UE, ferme le competenze di Banca d'Italia, CONSOB e IVASS per il settore finanziario e quelle del Garante privacy.
L'art. 24 delega il Governo ad adeguare l'ordinamento all'AI Act entro dodici mesi. Lo stato, al 24 settembre 2026:
- D.Lgs. 9 settembre 2026, n. 160 — responsabilità civile e penale e IA per le Forze di polizia; Gazzetta Ufficiale n. 214 del 15 settembre 2026, si applica dal 30 settembre 2026. Introduce tra l'altro il reato di omessa adozione di misure di sicurezza nei sistemi ad alto rischio (art. 437-bis c.p.) e la presunzione del nesso causale nelle cause di risarcimento.
- Decreto su autorità, vigilanza, formazione, lavoro e professioni — approvato in via definitiva dal Consiglio dei ministri il 4 agosto 2026, non ancora pubblicato in Gazzetta Ufficiale alla data di questo articolo. Secondo quanto reso noto all'approvazione, vieta che le decisioni su costituzione, modifica e cessazione del rapporto di lavoro siano adottate esclusivamente con trattamento automatizzato.
Resta aperta anche la delega dell'art. 16 sui dati e gli algoritmi usati per addestrare i sistemi di IA.
Cosa fare adesso: checklist in sei punti
- Inventario dei sistemi IA con, per ciascuno, chi è coinvolto: dipendenti, clienti, pazienti, minori.
- Informativa ai lavoratori per ogni sistema che decide o monitora (art. 11 e art. 1-bis D.Lgs. 152/1997), prima della messa in uso.
- Clausola IA negli incarichi professionali e regola interna su cosa si può delegare allo strumento (art. 13).
- Verifica dell'età e consenso dei genitori se i servizi basati su IA possono raggiungere under 14 (art. 4).
- Policy sui contenuti generati: consenso per volti e voci, controllo prima della pubblicazione, attenzione ai diritti sui dati usati (artt. 25 e 26).
- Aggiornamento del modello 231 con i nuovi reati presupposto legati all'IA.
Da dove partire
La Legge 132/2025 non chiede nuovi requisiti tecnici, ma sposta l'attenzione su come l'IA entra nei rapporti con le persone: chi va informato, chi decide, chi risponde. Un gap assessment indipendente mette a confronto l'uso reale dell'IA in azienda con l'AI Act, la legge italiana e i decreti attuativi, e restituisce un piano ordinato per priorità. Con il D.Lgs. 160/2026 già applicabile e il secondo decreto in arrivo, è il momento giusto per farlo.