D.Lgs. 179/2026: l'AI Act passa dalla norma alla vigilanza

Dalla norma europea alla vigilanza nazionale

Il Regolamento (UE) 2024/1689 è direttamente applicabile, ma lascia agli Stati membri il compito di designare le autorità di controllo e di stabilire le sanzioni (artt. 70 e 99). A questo serve il D.Lgs. 7 ottobre 2026, n. 179, che adegua la normativa nazionale e, nel capo III, disciplina anche l'uso dell'IA nei percorsi formativi, nelle professioni, nel lavoro, nella sanità e nella pubblica amministrazione. L'individuazione delle autorità era già prevista dalla legge 23 settembre 2025, n. 132 (art. 20), che il decreto richiama.

Per un'impresa il cambiamento è pratico: dal 23 ottobre 2026 ci sono autorità con poteri definiti, un quadro di sanzioni e, per il lavoro, un obbligo che vale per qualunque sistema di IA.

Il regolamento europeo dice che cosa è vietato o richiesto. Il decreto dice chi controlla e quanto costa violarlo.

Chi vigila e su che cosa

Le competenze sono distribuite per settore e per tipo di sistema, quindi l'interlocutore dipende da dove il sistema è usato.

Quando il sistema di IA è incorporato in un prodotto regolato dalla normativa di armonizzazione dell'Unione, come i dispositivi medici, i giocattoli, gli ascensori o le apparecchiature radio, l'ACN e le autorità settoriali svolgono la vigilanza in forma congiunta, e le autorità di settore che rilevano un sistema di IA ne informano l'ACN (art. 8, commi 2 e 4). Un reclamo presentato a un'autorità non competente è trasmesso d'ufficio a quella competente (art. 18, comma 1).

Sanzioni: quattro fasce

L'art. 23 distingue quattro livelli di sanzione amministrativa pecuniaria. Per ciascuno vale l'importo più alto tra la cifra fissa e la percentuale del fatturato mondiale totale annuo dell'esercizio precedente, salvo che il fatto costituisca reato.

Per le piccole e medie imprese, comprese le microimprese, e per le start-up innovative la sanzione è determinata secondo il criterio dell'art. 99, par. 6, del Regolamento, cioè l'importo più basso tra i due (art. 23, c. 7).

Il decreto fissa la cornice, ma non anticipa gli obblighi: una sanzione presuppone che l'obbligo violato sia già applicabile. Lo sono il divieto delle pratiche vietate (dal 2 febbraio 2025) e la trasparenza dell'art. 50 (dal 2 agosto 2026), mentre per i sistemi ad alto rischio le scadenze sono state spostate dall'AI Omnibus al 2 dicembre 2027 e al 2 agosto 2028.

La multa non è l'unico strumento

Le autorità contestano gli addebiti e applicano le sanzioni con provvedimento motivato, adottato entro un termine ragionevole (art. 24, c. 1). Per le violazioni di scarsa offensività o pericolosità l'art. 22 permette, in alternativa alla sanzione pecuniaria, di:

• ordinare di eliminare l'infrazione e di astenersi dal ripeterla, indicando le misure da adottare e il termine per attuarle;
• se l'infrazione è cessata, applicare una dichiarazione pubblica della violazione e del responsabile.

Se l'ordine non viene rispettato entro il termine, si applica la sanzione pecuniaria dell'art. 23, aumentata fino a un terzo e nei limiti dei massimali (art. 22, c. 2).

Lavoro: l'ultima parola spetta a una persona

L'art. 41 riguarda i processi decisionali del rapporto di lavoro. Il datore di lavoro che si avvale di sistemi di IA, nel senso dell'art. 3, punto 1, del Regolamento, deve assicurare che le decisioni finali sulla costituzione, sulla modificazione o sulla risoluzione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non siano adottate unicamente sulla base di un trattamento automatizzato. La decisione definitiva è riservata a una persona fisica che eserciti un potere effettivo e autonomo, e il consenso del lavoratore non costituisce un'eccezione. La norma richiama la definizione di sistema di IA e non distingue per classe di rischio: vale quindi anche per strumenti che non sarebbero ad alto rischio.

La selezione dei candidati ha un trattamento a parte. La ricerca e la selezione delle candidature non rientrano tra le decisioni finali sulla costituzione del rapporto, anche quando comportino la mancata ammissione alle fasi successive. Restano ferme le tutele del GDPR, che l'art. 41 fa salve (art. 22 del Regolamento (UE) 2016/679), e le regole dell'AI Act sui sistemi di selezione del personale, ad alto rischio dall'Allegato III, punto 4.

Gli altri obblighi del datore di lavoro sono tre:

• Informare prima. Prima dell'avvio del trattamento, assolve gli obblighi di informativa dell'art. 1-bis del D.Lgs. 26 maggio 1997, n. 152 (art. 41, c. 3).
• Motivare su richiesta. Il lavoratore può ottenere, con l'intervento di una persona fisica, una motivazione intelligibile della decisione, con l'indicazione dell'eventuale incidenza dei sistemi di IA e dei principali parametri considerati (art. 41, c. 3).
• Valutare i rischi. Se il sistema incide sull'organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti per la sicurezza, entra nella valutazione dei rischi dell'art. 28 del D.Lgs. 81/2008, e i lavoratori vanno informati e formati sui rischi specifici (art. 42, cc. 2 e 3).

Altre novità per chi sviluppa IA e per i professionisti

• Spazio di sperimentazione (art. 26). Istituito ai sensi dell'art. 57 del Regolamento, offre a fornitori e potenziali fornitori un ambiente controllato gestito congiuntamente da AgID e ACN. Le PMI e le start-up avranno una priorità di accesso, secondo i criteri che un decreto dei direttori generali delle due agenzie deve ancora definire.
• Segreti commerciali (art. 52). Un nuovo comma 1-bis dell'art. 98 del Codice della proprietà industriale include tra le informazioni tutelabili i dati, gli algoritmi e i metodi matematici per l'addestramento dei sistemi di IA (architetture dei modelli, funzioni di ottimizzazione, procedure e configurazioni di addestramento), se ricorrono le condizioni del comma 1: riservatezza, valore economico e misure adeguate di protezione.
• Formazione dei professionisti (artt. 47 e 51). Gli ordini includono nei corsi di formazione iniziale e continua percorsi di alfabetizzazione sull'IA, con profili tecnici, giuridici e deontologici e un monte ore minimo. Per le professioni sanitarie l'inclusione nell'ECM segue un accordo in Conferenza Stato-Regioni, e la Commissione nazionale per la formazione continua definisce la quota dell'obbligo formativo triennale da destinare all'IA.
• Equo compenso (art. 49). L'uso dell'IA da parte del professionista può modulare l'equo compenso (legge 21 aprile 2023, n. 49) secondo parametri legati alla classe di rischio del sistema, che saranno fissati con decreti successivi.

Il calendario

Le scadenze successive all'entrata in vigore riguardano soprattutto le amministrazioni, ma indicano quando arriveranno i dettagli applicativi.

Che cosa fare adesso

Action items

1. Mappare gli strumenti di gestione del personale che usano IA, anche quelli dentro software di terzi, e verificare chi prende le decisioni sui lavoratori (art. 41). Il metodo è quello dell'inventario dei sistemi di IA.
2. Aggiornare l'informativa ai lavoratori (art. 1-bis, D.Lgs. 152/1997) e predisporre la procedura per motivare le decisioni a richiesta.
3. Verificare le pratiche vietate e gli obblighi di trasparenza già applicabili, perché per queste violazioni il quadro sanzionatorio è ora operativo.
4. Individuare l'autorità competente per il proprio settore e per i propri prodotti e, se si sviluppano sistemi di IA, documentare le misure che proteggono dati e metodi di addestramento come segreti commerciali.