cosa cambia dal 23 ottobre 2026

Dal 23 ottobre 2026 chi usa l’intelligenza artificiale per assumere, valutare o licenziare in Italia deve lasciare l’ultima parola a una persona in carne e ossa. La regola arriva dal nuovo decreto italiano sull’intelligenza artificiale, che La Stampa ha raccontato il 25 ottobre 2026 sotto il titolo “Controlli, formazione, lavoro”. Il testo pesa soprattutto su aziende, uffici del personale e fornitori di software gestionale.

Il provvedimento è il Decreto Legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale, Serie Generale n. 234, dell’8 ottobre 2026. Serve ad adeguare la normativa nazionale al Regolamento (UE) 2024/1689, cioè l’AI Act europeo, sui poteri delle autorità nazionali e sull’uso dell’IA nella formazione. Oggi, 26 ottobre 2026, il decreto è in vigore da tre giorni e le imprese stanno ancora capendo da dove cominciare.

Abbiamo già raccontato l’impianto generale del testo, con il ruolo di ACN e AgID, nell’articolo su AI Act Italia e il D.Lgs. 179. Questa analisi cambia angolo e guarda a tre temi concreti: chi decide nei rapporti di lavoro, che cosa devono fare i datori di lavoro sulla sicurezza e come cambia il capitolo formazione. Dove i dati ufficiali non bastano, lo diciamo e non inventiamo cifre.

Decreto IA e lavoro in sintesi: le date e i numeri che contano

Partiamo dai fatti verificati. Il decreto porta il numero 179 e la data del 7 ottobre 2026. Un giorno dopo ha raggiunto la Gazzetta Ufficiale, e il 23 ottobre è scattata l’entrata in vigore, come riporta anche il documento di sintesi dell’ANCE. Il testo consolidato è consultabile sul portale Normattiva, dove si trova il titolo completo dell’atto.

Il titolo ufficiale non cita aziende, prodotti o portavoce. Parla di adeguamento al regolamento europeo, di poteri delle autorità nazionali e di uso dell’IA in ambito formativo. Questo dettaglio conta per chi cerca titoli sensazionalistici: il titolo non nomina strumenti né fornitori, e le fonti consultate descrivono regole che valgono per i sistemi di IA in generale, a prescindere da chi li vende.

La tabella mostra una struttura a tre livelli. C’è una regola sulle decisioni (chi firma), c’è un obbligo di prevenzione (che rischi crea l’IA in azienda) e c’è un impegno di sistema (formare le persone). Ciascun livello ha tempi e destinatari diversi, e le aziende dovranno trattarli come tre cantieri distinti.

La decisione finale spetta a una persona fisica

Il cuore del capitolo lavoro è una frase semplice. Quando un datore di lavoro usa sistemi di IA nei processi decisionali, la decisione finale deve restare a una persona con “potere effettivo e autonomo”, secondo il testo riportato da La Stampa. Anche pmi.it conferma che l’obbligo vale dal 23 ottobre 2026 e lo collega a tre momenti del rapporto: assunzione, modifica e cessazione.

L’aggettivo “effettivo” fa la differenza. Una firma di facciata non basta, perché la persona incaricata deve avere gli strumenti per capire la proposta del sistema e la libertà di discostarsene. In pratica, un responsabile del personale che clicca “approva” su una graduatoria generata da un software, senza poterla mettere in discussione, non soddisfa il requisito.

Assunzione, modifica e cessazione del rapporto

Le tre fasi coprono l’intero ciclo di vita di un contratto. Nella selezione rientrano gli strumenti che ordinano i curriculum o assegnano punteggi ai candidati. Nella modifica del rapporto ricadono cambi di mansione, turni e inquadramento. Nella cessazione finiscono i licenziamenti e le altre forme di interruzione. Le fonti consultate non citano marchi di software, quindi la regola sembra seguire la funzione svolta e non il prodotto.

Sul fronte dei candidati, l’effetto più visibile riguarda le piattaforme di recruiting automatico. Chi le usa dovrà dimostrare che un recruiter ha riesaminato l’esito prima di scartare o assumere. Ne abbiamo parlato nel caso di Envision e delle due assunzioni umane che sfidano l’IA, un esempio di come il mercato stia già cercando un equilibrio tra automazione e giudizio umano.

Provvedimenti disciplinari e valutazioni delle performance

Il perimetro include espressamente i provvedimenti disciplinari e le valutazioni delle performance. Secondo La Stampa, queste decisioni non possono basarsi solo su un trattamento automatizzato. È il punto che interessa di più i lavoratori dei call center, della logistica e delle piattaforme digitali, dove i cruscotti di produttività producono punteggi quotidiani.

Un punteggio automatico può restare come indicatore. Non può più chiudere da solo la pratica. Il datore di lavoro dovrà aggiungere una valutazione umana, documentarla e saperla spiegare. Molte direzioni HR scopriranno in questi giorni quanti dei loro processi dipendano da soglie numeriche applicate senza passaggio intermedio.

Consenso irrilevante e diritto a una spiegazione comprensibile

Una scorciatoia tentante, per le aziende, sarebbe chiedere al dipendente di accettare la decisione automatica con una clausola nel contratto o in un modulo. Il decreto la chiude. Il consenso del lavoratore non supera l’obbligo di decisione umana, come riportano le fonti consultate. La tutela vale anche se la persona interessata dice di essere d’accordo.

La scelta ha una logica evidente nei rapporti di lavoro. Chi dipende da uno stipendio raramente può rifiutare una clausola proposta dal datore. Un consenso così ottenuto vale poco, e il legislatore lo ha considerato irrilevante. Lo stesso approccio si vede in altre normative europee sulla protezione dei dati, dove il consenso nel contesto lavorativo viene guardato con sospetto.

Accanto al divieto di decidere in automatico c’è un diritto di trasparenza. I lavoratori possono ricevere una spiegazione intelligibile della decisione assistita dall’IA che li riguarda, comprensiva del ruolo degli algoritmi e dei principali parametri considerati. Il testo, quindi, non pretende la pubblicazione del codice. Chiede una descrizione chiara di come il sistema ha pesato i dati.

Per i fornitori di software la richiesta diventa un requisito di prodotto. Un sistema che restituisce solo un punteggio, senza indicare i fattori che lo hanno prodotto, rende impossibile al datore di lavoro rispondere alla richiesta di spiegazione. Prevediamo che nei capitolati di acquisto compaiano presto voci come registro delle decisioni, elenco dei parametri e funzioni di esportazione dei log.

C’è anche un risvolto tecnico per chi sviluppa modelli in casa. Addestrare e ospitare un modello in azienda, magari seguendo la nostra guida al fine-tuning di un LLM in locale nel rispetto del GDPR, non esenta dagli obblighi: chi usa quel modello per decisioni sul personale dovrà comunque saper spiegare quali parametri pesano sull’esito.

Valutazione dei rischi: l’IA entra nell’articolo 28 del D.Lgs. 81/2008

Il secondo pilastro riguarda la sicurezza. Secondo pmi.it, i datori di lavoro devono includere nella valutazione dei rischi, prevista dall’articolo 28 del Decreto Legislativo n. 81/2008, i sistemi di IA che incidono sull’organizzazione del lavoro, sui ritmi produttivi o sulle modalità di esecuzione della prestazione. Il Testo unico sulla sicurezza, in vigore da anni, ottiene così un nuovo capitolo.

Il collegamento è meno ovvio di quanto sembri. Un algoritmo che assegna i turni o fissa il ritmo di una linea può generare stress, carichi eccessivi e rischi fisici. Prima di questo decreto, molte aziende trattavano questi strumenti come questioni di organizzazione o di informatica. Da ora entrano nel documento di valutazione dei rischi, accanto a macchinari e sostanze.

Per le imprese significa un lavoro di mappatura. Occorre censire quali sistemi di IA operano in reparto, quali decisioni suggeriscono e quali effetti producono su ritmi e modalità di lavoro. Il responsabile della sicurezza e il medico competente dovranno sedersi allo stesso tavolo dell’IT, un incontro che in molte realtà non è mai avvenuto.

Informazione e formazione dei lavoratori sui rischi dell’IA

Valutare i rischi non basta. I datori di lavoro devono informare e formare i lavoratori sui rischi specifici legati all’IA e sulle misure di prevenzione e protezione adottate. L’obbligo si aggancia alla formazione già prevista dalla normativa sulla sicurezza e ne amplia i contenuti. Un corso generico sull’uso di un chatbot non soddisfa la richiesta se non tocca i rischi concreti del reparto.

Qui entra in gioco anche la sicurezza informatica. Un dipendente che incolla dati riservati in uno strumento esterno o che si fida ciecamente dell’output di un modello crea un rischio per l’azienda. Le tecniche di attacco ai modelli, descritte nel nostro approfondimento sui guardrail contro la prompt injection, mostrano perché la formazione debba includere anche questi scenari.

Una buona formazione aziendale, nella lettura che ne diamo, dovrebbe toccare quattro temi. Primo, quali sistemi di IA l’azienda usa davvero. Secondo, quali errori possono commettere e come riconoscerli. Terzo, come segnalare un problema. Quarto, come funziona la supervisione umana prevista dal decreto. Il testo non detta un programma didattico, quindi i contenuti restano una scelta di ciascun datore di lavoro.

Il piano di formazione sull’IA entro tre mesi

Il decreto prevede anche un piano di formazione sull’intelligenza artificiale da avviare entro tre mesi. La Stampa riferisce che il testo lo inquadra come risposta alla “emergenza educativa relativa all’uso dei social e dell’intelligenza artificiale”. La formula è forte e dice molto sull’urgenza politica attribuita al tema, soprattutto per scuole e giovani.

Le fonti che abbiamo consultato non chiariscono da quale data decorrano i tre mesi, né quali risorse economiche accompagnino il piano. Per questo non indichiamo una scadenza precisa e non citiamo stanziamenti. Il piano è l’unico elemento del decreto con un orizzonte temporale breve e dichiarato, e sarà il primo test della capacità dello Stato di tradurre il testo in iniziative visibili.

Giustizia, professionisti e sanità

La formazione non si ferma ai luoghi di lavoro privati. Secondo La Stampa, il decreto la estende al personale dell’amministrazione della giustizia e ai professionisti, compresi quelli sanitari. Medici, avvocati e altri iscritti agli ordini si troveranno quindi dentro un percorso di alfabetizzazione sull’IA, con modalità che dipenderanno dagli atti attuativi.

La scelta ha una ragione pratica. In sanità e in tribunale l’errore di un sistema automatico pesa più che altrove, e una persona formata riconosce meglio un risultato dubbio. Le modalità operative, i crediti formativi e gli enti erogatori non emergono dalle fonti disponibili, per cui restano questioni aperte da seguire nelle prossime settimane.

Controlli e autorità: chi vigila sul rispetto delle regole

Il titolo scelto da La Stampa mette i “controlli” in testa, e il decreto riguarda in effetti i poteri delle autorità nazionali. Il quadro dettagliato di ACN, AgID e delle altre autorità di settore è nella nostra analisi già pubblicata. Qui conviene ricordare il punto che interessa i datori di lavoro: esiste una rete di soggetti pubblici con compiti di vigilanza, e il testo consolidato su Normattiva ne fissa competenze e poteri.

Sulle sanzioni serve prudenza. pmi.it dedica una sezione ai massimali e alle regole per le piccole e medie imprese, ma le cifre non risultano confermate dai dati che usiamo come base per questo articolo, quindi non le riportiamo. Chi deve valutare l’esposizione economica dovrà leggere l’articolato su Normattiva o chiedere un parere al proprio consulente.

Un altro elemento di contesto è la pressione sulla sicurezza informatica nazionale. Con l’ACN che ha registrato 3.271 eventi cyber in nove mesi, la stessa agenzia che compare nel sistema di vigilanza sull’IA si muove in un clima di carico crescente. Se le risorse non seguono i compiti, la qualità dei controlli ne risentirà.

I dati sulla formazione: cosa dicono i lavoratori europei

Il decreto arriva in un mercato in cui l’uso dell’IA corre più veloce della formazione. L’European AI Barometer 2025 di EY offre alcuni numeri utili. Riportiamo le frasi del rapporto come compaiono nella nostra raccolta di citazioni verificate.

“Il 57% dei dipendenti europei intervistati sta sviluppando competenze nell’intelligenza artificiale, professionalmente, privatamente o in entrambi i modi.”

EY, European AI Barometer 2025

“Solo il 24% dei dipendenti intervistati si dichiara soddisfatto della formazione sull’intelligenza artificiale offerta dalla propria organizzazione.”

EY, European AI Barometer 2025

“Il 23% dei dipendenti in Italia ritiene che la propria azienda offra una formazione sufficiente sull’intelligenza artificiale.”

EY, European AI Barometer 2025

I numeri raccontano un divario. La maggioranza dei lavoratori europei intervistati impara l’IA, ma meno di uno su quattro si dice contento di ciò che l’azienda offre. In Italia il dato sulla formazione sufficiente scende al 23%. Le due percentuali misurano cose leggermente diverse (soddisfazione da un lato, sufficienza dall’altro), quindi non le confrontiamo punto su punto. Il messaggio comune resta chiaro: la formazione aziendale arranca.

Va ricordato che il barometro è del 2025 e riguarda un campione di intervistati, non l’intera forza lavoro. Serve a dare un ordine di grandezza del problema che il decreto vuole affrontare. Non misura l’effetto della nuova norma, che è in vigore da pochi giorni.

Impatto sul mercato: HR tech, software e PMI

Chi sente il colpo per primo è il mercato del software per le risorse umane. I fornitori di piattaforme di selezione, valutazione e gestione dei turni dovranno mostrare ai clienti italiani come il loro prodotto supporti la decisione umana e produca spiegazioni leggibili. Le nostre stime sono qualitative, perché nessuna fonte consultata quantifica il valore del mercato interessato.

Le grandi aziende hanno già uffici legali e di compliance in grado di assorbire l’adeguamento. Le PMI partono più indietro. Un’impresa da trenta dipendenti che usa un servizio online per filtrare i candidati spesso ignora che il filtro sia un sistema di IA. Per queste realtà, il lavoro iniziale consiste in un inventario degli strumenti, seguito da una procedura scritta che indichi chi rivede le decisioni.

Esiste anche un’opportunità. La domanda di corsi sull’IA, consulenze di compliance e strumenti di audit crescerà, e i fornitori locali con competenze di diritto del lavoro avranno un vantaggio. I modelli aperti ospitati in Europa, come quelli raccontati nel pezzo su modelli AI europei aperti sotto il miliardo di parametri, permettono inoltre di tenere dati e decisioni sotto controllo diretto dell’azienda, un punto utile quando bisogna spiegare un esito.

Confronto: obblighi del decreto e cosa deve fare l’azienda

Per rendere operativo il testo abbiamo messo a confronto ciò che il decreto stabilisce con le azioni che, a nostro giudizio, un datore di lavoro dovrebbe compiere. La colonna di destra è una nostra interpretazione, non una prescrizione del legislatore.

Il confronto mostra che il decreto lascia molto spazio alle scelte organizzative. Non impone uno strumento, non vieta l’IA e non fissa un metodo unico. Fissa invece un principio di responsabilità: dietro ogni decisione che incide su una persona deve esserci un’altra persona che risponde.

Contesto storico: dall’AI Act al decreto italiano

Il decreto 179 è l’ultimo anello di una catena iniziata a livello europeo. Il Regolamento (UE) 2024/1689 è stato adottato il 13 giugno 2024 e stabilisce regole armonizzate sull’intelligenza artificiale. Poiché un regolamento si applica direttamente, agli Stati membri restava da definire chi controlla, con quali poteri e con quali raccordi alle leggi nazionali. Il decreto italiano risponde proprio a questo.

Prima di arrivare in Gazzetta, il testo è passato in Parlamento come schema di decreto legislativo. La scheda dell’Atto del Governo n. 421 sul sito della Camera documenta questo passaggio, previsto per i decreti attuativi che necessitano del parere delle commissioni. Il percorso ha richiesto quindi una fase parlamentare, poi l’emanazione del 7 ottobre e la pubblicazione dell’8.

Sul versante del lavoro, il richiamo al D.Lgs. 81/2008 ricollega la nuova disciplina a una legge di quasi due decenni fa. Il Testo unico sulla sicurezza nasceva per macchinari e ambienti fisici. Il decreto 179 lo estende a un rischio immateriale, quello degli algoritmi che organizzano il lavoro. Il GDPR, da parte sua, offriva già tutele contro le decisioni interamente automatizzate, e il nuovo testo le rafforza nel solo ambito occupazionale.

Cosa non sappiamo ancora

Un’analisi onesta deve segnalare le lacune. Le fonti consultate non confermano importi di sanzioni, stanziamenti di bilancio, aziende coinvolte o dichiarazioni di ministri. Per questo nell’articolo non compaiono cifre in euro, né nomi di prodotti, né citazioni di esponenti di governo. Ogni numero che leggete qui proviene dal testo del decreto, dai media citati o dal barometro EY.

Restano aperti almeno quattro punti. Non è chiaro come si misurerà il “potere effettivo e autonomo” di chi decide. Non si conosce il formato esatto della spiegazione dovuta ai lavoratori. Non sappiamo da quando decorrano i tre mesi del piano formativo. Infine, mancano indicazioni operative sulle verifiche ispettive. Circolari, linee guida e prime interpretazioni delle autorità riempiranno questi spazi nei prossimi mesi.

Checklist per datori di lavoro: primi passi dopo il 23 ottobre

Per chi deve muoversi subito, proponiamo una sequenza in sei mosse. Non sostituisce un parere legale, ma aiuta a evitare i ritardi più comuni.

1. Censire tutti gli strumenti di IA usati per selezione, valutazione, turni e produttività, anche quelli incorporati in servizi di terzi.
2. Indicare per ogni processo chi è la persona che decide in via definitiva e come può modificare l’esito proposto dal sistema.
3. Rimuovere dai contratti e dai moduli le clausole che chiedono al lavoratore di accettare decisioni automatiche.
4. Chiedere ai fornitori una descrizione del funzionamento, dei parametri principali e dei log disponibili.
5. Aggiornare il documento di valutazione dei rischi includendo i sistemi che incidono su ritmi e modalità di lavoro.
6. Pianificare informazione e formazione per i dipendenti, con registro delle presenze e dei contenuti.

Chi sviluppa o integra agenti AI interni dovrebbe anche ragionare sulla tracciabilità. Un agente che propone azioni sul personale deve lasciare una traccia leggibile. I principi di progettazione che abbiamo descritto nella guida al server MCP in Python per un agente AI locale aiutano a registrare strumenti chiamati, input e output, materiale utile per rispondere a una richiesta di spiegazione.

Cinque previsioni per i prossimi dodici mesi

Le previsioni che seguono sono valutazioni nostre, basate sul testo del decreto e sulle dinamiche di mercato. Nessuna è attribuita a fonti esterne.

1. Documenti di valutazione dei rischi aggiornati. Le aziende medio-grandi inseriranno l’IA nel DVR nei primi mesi del 2027, spinte dai consulenti della sicurezza e dalle verifiche interne.
2. Spiegabilità come criterio d’acquisto. I fornitori di software HR presenteranno funzioni di registro decisionale e di spiegazione per i clienti italiani, e i bandi pubblici le richiederanno come requisito.
3. Primi contenziosi sul “potere effettivo”. I tribunali del lavoro dovranno stabilire quando una revisione umana è reale e quando è di facciata. I casi arriveranno dopo i primi licenziamenti e le prime sanzioni disciplinari contestate.
4. Il piano formativo come banco di prova. L’avvio entro tre mesi sarà il primo test pubblico del decreto, e le modalità scelte indicheranno se la formazione resterà una dichiarazione o diventerà un programma.
5. Più domanda di alfabetizzazione IA. Corsi, certificazioni e strumenti di audit cresceranno, con i divari tra grandi imprese e PMI che saranno il tema da seguire.

Per seguire l’evoluzione di modelli e regole abbiamo una raccolta nella sezione AI e machine learning del sito, dove trovate confronti tra modelli, guide pratiche e aggiornamenti normativi.

Domande frequenti sul decreto IA e il lavoro

Quando è entrato in vigore il decreto sull’intelligenza artificiale?

Il D.Lgs. 7 ottobre 2026, n. 179 è in vigore dal 23 ottobre 2026. È stato pubblicato nella Gazzetta Ufficiale, Serie Generale n. 234, dell’8 ottobre 2026.

Un’azienda può licenziare un dipendente usando solo un algoritmo?

No. Le decisioni su assunzione, modifica e cessazione del rapporto, inclusi provvedimenti disciplinari e valutazioni delle performance, richiedono una decisione finale di una persona fisica con potere effettivo e autonomo.

Il dipendente può accettare una decisione automatica con il proprio consenso?

No. Il consenso del lavoratore non sostituisce l’obbligo di decisione umana, secondo le fonti consultate.

I lavoratori hanno diritto a una spiegazione?

Sì. I lavoratori hanno diritto a una spiegazione intelligibile della decisione assistita dall’IA, con il ruolo degli algoritmi e i principali parametri considerati.

Che cosa cambia per la sicurezza sul lavoro?

I sistemi di IA che incidono su organizzazione del lavoro, ritmi produttivi o modalità di esecuzione della prestazione devono rientrare nella valutazione dei rischi dell’articolo 28 del D.Lgs. 81/2008. I datori di lavoro devono anche informare e formare i dipendenti sui rischi specifici e sulle misure di protezione.

Cosa prevede il piano di formazione sull’IA?

Il decreto prevede un piano di formazione da avviare entro tre mesi, collegato all’emergenza educativa sull’uso di social e IA. La formazione riguarda anche il personale della giustizia e i professionisti, compresi quelli sanitari.

Il decreto indica sanzioni precise?

Le cifre non risultano confermate dalle fonti che abbiamo usato per questo articolo, quindi non le riportiamo. Per gli importi occorre consultare il testo su Normattiva.

Il decreto vieta l’uso dell’IA nelle aziende?

No. Non vieta l’uso dei sistemi di IA. Impone che le decisioni sul rapporto di lavoro restino umane, che i rischi siano valutati e che i lavoratori ricevano informazione e formazione.