Dal 23 ottobre 2026 il decreto legislativo 7 ottobre 2026, n. 179, rende operative in Italia le autorità e le procedure di vigilanza sull’AI Act. Per le violazioni più gravi le sanzioni possono arrivare a 35 milioni di euro o al 7% del fatturato mondiale annuo. Pubblicato in Gazzetta Ufficiale l’8 ottobre, il provvedimento interessa anche le imprese che acquistano software già pronto: una piccola azienda può avere obblighi in qualità di utilizzatrice professionale.
Il decreto attua la legge 132/2025 e completa sul piano nazionale il regolamento europeo 2024/1689, che fissa i requisiti per i sistemi di IA. La norma italiana disciplina controlli, competenze e sanzioni. Le date di applicazione variano in base alla categoria del sistema e all’obbligo previsto.
AI Act: chi controlla e quali scadenze valgono
La vigilanza coinvolge più autorità, con compiti distinti. L’Agenzia per l’Italia digitale (AgID) gestisce la notifica degli organismi di valutazione della conformità e verifica che mantengano i requisiti richiesti. All’Agenzia per la cybersicurezza nazionale (ACN) spettano la vigilanza generale del mercato e il ruolo di punto di contatto nazionale con le istituzioni europee. Nei rispettivi ambiti finanziari intervengono Banca d’Italia, CONSOB e IVASS; per la protezione dei dati personali resta competente il Garante.
Le autorità possono chiedere informazioni, svolgere verifiche e imporre misure correttive. L’ACN ha facoltà di effettuare controlli e ispezioni; durante le prove in condizioni reali, queste possono avvenire anche senza preavviso. Persone e imprese possono presentare reclami per presunte violazioni. In pratica, la vigilanza è ripartita per funzione e settore: un’organizzazione può quindi trovarsi a dialogare con più di un’autorità.
Le scadenze europee seguono un calendario distinto dall’entrata in vigore del decreto italiano. I divieti previsti dall’articolo 5 dell’AI Act si applicano dal 2 febbraio 2025, mentre gli obblighi di trasparenza dell’articolo 50 decorrono dal 2 agosto 2026. Per i sistemi ad alto rischio, il termine è il 2 dicembre 2027 per quelli dell’allegato III e il 2 agosto 2028 per quelli collegati all’allegato I, secondo il calendario modificato dal regolamento UE 2026/1744. Dal 23 ottobre 2026 parte il quadro nazionale di vigilanza e diventano applicabili le disposizioni italiane previste dal decreto.
Fornitori, PMI e utenti: obblighi e tutele
Chi sviluppa o immette sul mercato un sistema ad alto rischio deve rispettare gli obblighi europei pertinenti. Tra questi rientrano la gestione dei rischi e la qualità dei dati, la documentazione tecnica, la registrazione degli eventi e la supervisione umana. Nei casi previsti dall’articolo 49 del regolamento, il fornitore deve registrare il sistema nella banca dati europea dell’AI Act prima di immetterlo sul mercato o metterlo in servizio. Per alcuni sistemi dell’allegato III, anche gli utilizzatori pubblici e chi agisce per loro conto devono registrarsi prima dell’uso.
Per le imprese che utilizzano questi strumenti, comprese le PMI, gli adempimenti comprendono il rispetto delle istruzioni del fornitore, l’affidamento della supervisione a persone competenti e la conservazione dei log sotto il proprio controllo. Anche un’impresa di piccole dimensioni deve quindi considerare gli obblighi legati al ruolo di utilizzatore. Se modifica sostanzialmente il sistema, ne cambia la finalità prevista o lo vende con il proprio nome, può assumere anche responsabilità proprie del fornitore.
Per gli utenti, le tutele passano dagli obblighi di trasparenza, dalla protezione dei dati e dal controllo umano. L’AI Act vieta, in determinate condizioni, il social scoring, il riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole e la raccolta indiscriminata di immagini facciali per creare banche dati di riconoscimento. Sono previste eccezioni circoscritte.
Nel rapporto di lavoro, le decisioni finali sull’assunzione, sulla modifica o sulla cessazione del rapporto, così come quelle disciplinari, non possono fondarsi esclusivamente su un trattamento automatizzato. La decisione deve spettare a una persona dotata di potere effettivo e autonomo. Il decreto stabilisce la nullità degli atti adottati in violazione di questa regola.
Sanzioni e mappa pratica per organizzazioni e persone
Per le pratiche vietate si rischiano sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale annuo. Per molti altri obblighi, il limite massimo è di 15 milioni o del 3%; la comunicazione di informazioni inesatte o fuorvianti può comportare una sanzione fino a 7,5 milioni o all’1%. Il decreto fissa un massimo di un milione di euro o dello 0,5% per gli obblighi relativi alla valutazione d’impatto sui diritti fondamentali e al diritto alla spiegazione. Per PMI, microimprese e start-up innovative si applicano i massimali proporzionati previsti dall’AI Act. Nei casi meno gravi le autorità possono ordinare la rimozione della violazione o disporre una dichiarazione pubblica; se l’ordine non viene eseguito, la sanzione può aumentare.
Per organizzare il lavoro, imprese e fornitori possono partire da tre verifiche operative:
- Fornitori: classificare il sistema, predisporre la documentazione e la registrazione quando richiesta, gestire gli incidenti e curare la conformità.
- Imprese utilizzatrici: fare l’inventario degli strumenti, chiarire il proprio ruolo, verificare i contratti e assegnare responsabilità interne e supervisione umana.
- Utenti e lavoratori: ricevere le informazioni previste, chiedere spiegazioni nei casi contemplati e non essere sottoposti a decisioni sul lavoro basate esclusivamente su processi automatizzati.
Durante un controllo, le organizzazioni dovranno poter documentare la propria conformità. Per le persone, le garanzie si traducono in trasparenza, intervento umano e rispetto dei divieti europei. Dal 23 ottobre il decreto affida queste regole a un sistema italiano di vigilanza e responsabilità che riguarda anche l’uso quotidiano di software commerciali.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
