Entra in vigore il 23 ottobre 2026 il decreto legislativo 7 ottobre 2026, n. 179, che adegua l'ordinamento italiano all'AI Act europeo in materia di autorità nazionali, vigilanza, sanzioni e utilizzo dell'intelligenza artificiale nella formazione e nel lavoro. Il provvedimento, pubblicato nella Gazzetta Ufficiale dell'8 ottobre, completa una parte essenziale dell'assetto nazionale necessario per applicare il regolamento europeo.

Il decreto assegna all'Agenzia per l'Italia Digitale il ruolo di autorità nazionale di notifica, competente per gli organismi incaricati della valutazione di conformità. L'Agenzia per la cybersicurezza nazionale diventa invece autorità di vigilanza del mercato e punto di contatto unico con le istituzioni europee. Per i sistemi ad alto rischio impiegati nei servizi finanziari sono previste competenze specifiche per Banca d'Italia, Consob e Ivass, mentre il Garante per la protezione dei dati personali interviene entro il perimetro stabilito dal regolamento europeo.

Controlli e sanzioni

Il nuovo quadro attribuisce alle autorità poteri di ispezione, richiesta di informazioni, accesso a documentazione e dati e adozione di misure correttive. Le modalità operative dovranno essere precisate da ulteriori atti, ma la ripartizione delle competenze è ora formalmente efficace.

Il sistema sanzionatorio riprende le soglie previste dall'AI Act. Per le pratiche vietate le sanzioni possono arrivare a 35 milioni di euro o, per le imprese, al 7 per cento del fatturato mondiale annuo se superiore. Per la violazione degli obblighi applicabili a fornitori, importatori, distributori e utilizzatori professionali le soglie massime scendono a 15 milioni o al 3 per cento. Informazioni inesatte o fuorvianti fornite alle autorità possono comportare sanzioni fino a 7,5 milioni o all'1 per cento del fatturato.

Sandbox e sistemi ad alto rischio

Il decreto istituisce lo Spazio di sperimentazione italiano per l'intelligenza artificiale, un ambiente controllato gestito congiuntamente da AgID e ACN. La sandbox dovrà consentire a fornitori e potenziali fornitori di sviluppare e verificare sistemi in un contesto supervisionato, secondo criteri di accesso e funzionamento che saranno definiti con provvedimenti successivi.

Per le imprese diventa prioritario ricostruire l'inventario dei sistemi di IA, classificare ruolo e livello di rischio, conservare documentazione e tracciabilità e predisporre procedure per rispondere alle richieste delle autorità. La sicurezza informatica entra direttamente nel percorso di conformità, soprattutto per i sistemi ad alto rischio e per quelli utilizzati in infrastrutture critiche.

Lavoro, sicurezza e supervisione umana

Il provvedimento contiene anche disposizioni di immediato interesse per i datori di lavoro. Le decisioni finali relative ad assunzione, modifica o cessazione del rapporto, provvedimenti disciplinari e valutazione delle prestazioni non possono essere affidate esclusivamente a un trattamento automatizzato. Deve intervenire una persona fisica dotata di potere effettivo e autonomo, e il lavoratore può ottenere una spiegazione comprensibile dell'incidenza del sistema.

I sistemi di IA che incidono su organizzazione, ritmi, modalità della prestazione o sicurezza devono inoltre essere considerati nella valutazione dei rischi sul lavoro, con adeguati obblighi di informazione e formazione. La conformità non si limita quindi alla documentazione tecnica: coinvolge governance, risorse umane, sicurezza, protezione dei dati e processi decisionali.

Una fase applicativa ancora in evoluzione

L'entrata in vigore non esaurisce il percorso di attuazione. Diversi aspetti richiedono decreti, linee guida e procedure delle autorità, mentre le scadenze del regolamento europeo continuano a seguire il proprio calendario. Le organizzazioni dovrebbero però iniziare subito a definire responsabilità interne, flussi di escalation e controlli documentali, evitando di attendere la piena maturazione della prassi ispettiva.