#Finsubito news – autorità, lavoro e sanzioni IA

Il D.Lgs. n. 179/2026 adegua l’ordinamento italiano all’AI Act europeo, attribuendo ad AgID e ACN le principali funzioni di controllo. Il decreto disciplina inoltre vigilanza, sanzioni, sperimentazione, formazione, impiego dell’intelligenza artificiale nel lavoro e tutela del know-how utilizzato per addestrare i sistemi.

D.Lgs. 179/2026: il quadro nazionale di attuazione dell’AI Act

Il D.Lgs. n. 179/2026, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 ed entrato in vigore il 23 ottobre 2026, si colloca nel percorso di adeguamento dell’ordinamento interno al regolamento (UE) 2024/1689 sull’intelligenza artificiale. La sua natura è prevalentemente organizzativa, attuativa e di coordinamento: il testo non riscrive le regole sostanziali dell’AI Act, ma disciplina gli aspetti che il legislatore europeo ha rimesso agli Stati membri.

Il decreto nazionale deve essere letto tenendo conto dell’applicazione progressiva del regolamento europeo. Non tutte le disposizioni dell’AI Act sono divenute operative nello stesso momento: divieti, obblighi di alfabetizzazione, regole sui modelli di IA per finalità generali e disciplina dei sistemi ad alto rischio seguono scadenze differenti.

In concreto, il decreto individua le autorità competenti, distribuisce le funzioni di notifica e di vigilanza, definisce i poteri ispettivi e sanzionatori e regola i rapporti con le normative già vigenti. Accanto a questo nucleo, il provvedimento contiene previsioni dedicate all’impiego dell’IA nei rapporti di lavoro, alla sperimentazione, alla formazione e alla protezione delle informazioni aziendali connesse ai sistemi di IA.

Sul piano interpretativo assume rilievo il richiamo a una prospettiva di garanzia antropocentrica e a un uso corretto, trasparente e responsabile dei sistemi di IA. Si tratta di una clausola che collega l’applicazione delle nuove regole alla tutela dei diritti e delle libertà e alla gestione dei rischi derivanti dall’impiego di tali tecnologie, e che farà da bussola nella lettura delle disposizioni più operative.

AgID e ACN: quali sono le autorità nazionali per l’intelligenza artificiale

Il primo nodo del provvedimento è la ripartizione delle competenze tra le due agenzie digitali.

AgID come autorità nazionale di notifica

All’Agenzia per l’Italia Digitale è attribuita la funzione di autorità nazionale di notifica. AgID gestisce le procedure di valutazione, designazione, notifica e controllo degli organismi chiamati a verificare la conformità dei sistemi di IA nei casi previsti dal regolamento europeo. Il decreto le riconosce poteri di audit e verifica, periodici e straordinari, nonché la facoltà di avviare procedimenti di limitazione, sospensione o revoca della designazione degli organismi notificati, con l’esercizio di tali poteri soggetto alle garanzie procedimentali della legge n. 241 del 1990.

ACN come autorità di vigilanza del mercato

All’Agenzia per la cybersicurezza nazionale spetta invece il ruolo di autorità nazionale di vigilanza del mercato sui sistemi di IA, insieme a quello di punto di contatto unico nazionale. Per consolidare questa scelta il decreto interviene sul D.L. 14 giugno 2021, n. 82, includendo espressamente tra le competenze dell’ACN le funzioni derivanti dal regolamento europeo.

Tabella di sintesi delle competenze

Il ruolo delle autorità di settore

Il disegno non si esaurisce nelle due agenzie. Per i sistemi di IA ad alto rischio impiegati nei settori sottoposti alla loro vigilanza, il decreto riconosce specifiche competenze a Banca d’Italia, CONSOB e IVASS. Il Garante per la protezione dei dati personali esercita a sua volta le attribuzioni previste dal regolamento IA, nei limiti delle competenze riconosciute dalla disciplina europea.

La scelta riflette un criterio di specializzazione settoriale: la disciplina dell’intelligenza artificiale si innesta sui sistemi di vigilanza già esistenti nei mercati regolamentati e negli ambiti caratterizzati da specifici poteri di controllo amministrativo. Ne deriva l’esigenza di regolare con precisione i rapporti tra le diverse autorità, soprattutto quando l’uso di un sistema di IA coinvolge allo stesso tempo profili di cybersicurezza, protezione dei dati, vigilanza prudenziale o conformità dei prodotti.

Il coordinamento tra AgID, ACN e le altre amministrazioni

Proprio per evitare sovrapposizioni e vuoti di tutela, il testo prevede accordi, protocolli d’intesa e forme di cooperazione operativa e informativa, richiamando l’art. 15 della legge n. 241 del 1990. I rapporti di collaborazione riguardano AgID e ACN, l’ACN e le autorità settoriali di vigilanza del mercato, le autorità finanziarie, il Garante per la protezione dei dati personali e la Guardia di finanza.

Controlli, ispezioni e vigilanza sui sistemi di IA

Il decreto stabilisce un collegamento espresso con il regolamento (UE) 2019/1020 sulla vigilanza del mercato e sulla conformità dei prodotti e con il D.Lgs. 12 ottobre 2022, n. 157. Le disposizioni di quest’ultimo si applicano alle attività dell’ACN nei limiti della compatibilità con il regolamento IA e salve le eccezioni previste dal nuovo decreto.

L’effetto è portare nel settore dell’intelligenza artificiale strumenti già collaudati: controlli di conformità, attività ispettive e misure correttive. L’ACN e, nei rispettivi ambiti, le autorità finanziarie esercitano poteri di vigilanza e ispezione sulla base delle disposizioni europee e nazionali applicabili. I controlli possono riguardare anche le prove svolte in condizioni reali e comprendere ispezioni senza preavviso, e l’azione amministrativa può nascere da incidenti gravi, reclami, segnalazioni di altre autorità oppure d’ufficio.

Intelligenza artificiale e rapporti di lavoro

Sul versante giuslavoristico il decreto completa e coordina l’impostazione antropocentrica già delineata dalla legge n. 132/2025, senza sostituire gli obblighi informativi, di protezione dei dati e di tutela del lavoratore previsti dalla disciplina vigente. Al centro si pone la trasparenza dei processi decisionali, con attenzione alle posizioni giuridiche del lavoratore e agli effetti che questi strumenti possono produrre sul piano organizzativo e professionale.

Il provvedimento, inoltre, ricollega l’impiego dell’IA al sistema prevenzionistico del D.Lgs. n. 81 del 2008, riconducendo queste tecnologie al quadro degli obblighi già previsti in materia di salute e sicurezza sul lavoro. Per le imprese il messaggio è che l’adozione di strumenti di IA in azienda non si colloca in uno spazio normativo autonomo, ma va letta insieme alla disciplina della valutazione dei rischi e della prevenzione. L’introduzione di un sistema di IA dovrà pertanto essere valutata anche sotto il profilo della salute e sicurezza quando incida concretamente sull’organizzazione, sui carichi di lavoro, sulla sorveglianza, sull’autonomia decisionale o sui rischi cui sono esposti i lavoratori.

Reclami, misure correttive e sanzioni

Il decreto regola il trattamento dei reclami da parte delle autorità nazionali di vigilanza del mercato. Nel settore finanziario estende la competenza dei sistemi stragiudiziali di risoluzione delle controversie già esistenti ai ricorsi relativi a violazioni del regolamento IA imputabili agli intermediari aderenti.

L’apparato sanzionatorio si raccorda con l’art. 99 del regolamento europeo e con la legge 24 novembre 1981, n. 689, nei limiti di compatibilità. AgID e le autorità nazionali di vigilanza del mercato possono irrogare sanzioni pecuniarie e adottare misure di natura non pecuniaria, tra cui ordini di cessazione o di rimozione della violazione e dichiarazioni pubbliche dell’infrazione. I massimali variano secondo la violazione contestata e riguardano, tra l’altro, le pratiche vietate, l’inosservanza degli obblighi degli operatori, gli obblighi di trasparenza, gli adempimenti degli organismi notificati e la trasmissione di informazioni inesatte o fuorvianti. Per le autorità finanziarie valgono le procedure sanzionatorie delle rispettive discipline di settore, fra cui TUB, TUF e codice delle assicurazioni private.

La sandbox italiana per i sistemi di intelligenza artificiale

Il decreto istituisce lo Spazio di sperimentazione italiano per l’IA, posto sotto la vigilanza diretta di AgID e ACN. La disciplina attua le cosiddette sandbox dell’AI Act: un ambiente controllato in cui i sistemi di intelligenza artificiale possono essere sperimentati secondo condizioni e criteri predeterminati. È previsto il coordinamento con la sperimentazione FinTech e con ulteriori spazi dedicati a specifici ambiti applicativi, tra cui quello duale, giudiziario e regionale.

Formazione e competenze sull’intelligenza artificiale

Una parte significativa del provvedimento è dedicata alla formazione. Le previsioni coinvolgono scuole, CPIA, università, istituzioni AFAM e ITS Academy, con percorsi relativi agli aspetti tecnici, etici e interdisciplinari dell’intelligenza artificiale. Altre disposizioni riguardano la pubblica amministrazione e il settore della giustizia, con attività formative sui profili tecnici, giuridici e organizzativi legati all’uso dei sistemi di IA.

Per le professioni regolamentate e per quelle prive di specifica regolamentazione, così come per la formazione continua in medicina, il decreto individua percorsi dedicati all’uso dell’IA e ai relativi profili tecnici, giuridici e deontologici. La formazione diventa così uno degli strumenti con cui l’ordinamento governa l’impiego di questi sistemi nei diversi contesti professionali e amministrativi.

Dati, algoritmi e know-how aziendale

Un ulteriore intervento incide sul codice della proprietà industriale: anche i dati, gli algoritmi e i metodi matematici utilizzati per l’addestramento dei sistemi di IA possono essere protetti come informazioni aziendali riservate quando siano segreti, abbiano valore economico proprio perché segreti e siano sottoposti a misure ragionevolmente adeguate a mantenerli tali. La previsione si collega al sistema di protezione delle informazioni riservate e del know-how aziendale e lascia ferma la competenza delle sezioni specializzate in materia di impresa per le relative controversie.

La modifica è rilevante soprattutto sul piano della qualificazione giuridica: essa chiarisce lo statuto delle componenti informative e tecnico-computazionali impiegate nello sviluppo e nell’addestramento dei sistemi di IA, offrendo agli operatori un riferimento più solido per tutelare il proprio patrimonio immateriale.

Gli adempimenti da preparare

Il D.Lgs. n. 179/2026 non introduce un unico adempimento valido per tutte le imprese. Gli obblighi dipendono dal ruolo ricoperto dall’operatore — fornitore, deployer, importatore o distributore — dalla classificazione del sistema e dal contesto in cui viene utilizzato.

Le organizzazioni dovrebbero innanzitutto censire gli strumenti di intelligenza artificiale già impiegati, compresi quelli incorporati nei software gestionali, nei processi di selezione del personale, nella valutazione delle prestazioni e nei servizi rivolti ai clienti. Occorre poi individuare il fornitore, le finalità del trattamento, i dati utilizzati e l’eventuale appartenenza del sistema a una categoria ad alto rischio.

Particolare attenzione deve essere riservata alla formazione del personale. L’alfabetizzazione in materia di IA non coincide con un corso meramente informatico, ma richiede competenze proporzionate alle responsabilità esercitate, ai rischi del sistema e alle persone interessate dai suoi risultati.

Il D.Lgs. 179/2026 costruisce…

Il D.Lgs. 179/2026 costruisce l’impalcatura istituzionale nazionale che deve accompagnare l’applicazione del regolamento europeo. Il sistema poggia su quattro pilastri: la ripartizione delle competenze tra più autorità, il coordinamento amministrativo, il richiamo alle regole della vigilanza del mercato e l’integrazione con le discipline settoriali vigenti. L’intelligenza artificiale è così ricondotta entro un assetto composto da norme europee e nazionali, competenze amministrative specializzate, procedimenti di controllo e strumenti sanzionatori.

Per imprese e professionisti la fase di attesa è quindi terminata: occorre censire i sistemi di IA utilizzati, individuarne funzioni e rischi, definire responsabilità interne e assicurare che persone adeguatamente formate conservino un controllo effettivo sulle decisioni automatizzate.

Francesco Costa

Lunedì 2 novembre 2026

Questo articolo è tratto dalla Circolare Settimanale di Commercialista telematico–> valutane il tuo interesse–>

📌 BOX OPERATIVO – Che cosa deve fare l’impresa

Il primo adempimento non consiste nell’acquisto di un nuovo software di conformità, ma nella conoscenza degli strumenti già utilizzati. L’impresa deve ricostruire dove e come interviene l’intelligenza artificiale.

• Censire software e servizi che incorporano funzionalità di IA.
• Individuare il ruolo dell’impresa rispetto a ogni sistema.
• Verificare finalità, dati trattati e persone interessate.
• Accertare l’eventuale classificazione ad alto rischio.
• Definire responsabilità e livelli di autorizzazione.
• Assicurare una supervisione umana effettiva.
• Formare dipendenti, collaboratori e responsabili.
• Proteggere dati, algoritmi e informazioni riservate.
• Conservare contratti, istruzioni e documentazione dei fornitori.
• Coordinare gli adempimenti con privacy, cybersecurity e sicurezza sul lavoro.

🔎 FOCUS TECNICO – AgID e ACN non svolgono la stessa funzione

AgID è l’autorità nazionale di notifica: opera principalmente sul versante degli organismi incaricati della valutazione di conformità. ACN è invece l’autorità nazionale di vigilanza del mercato e il punto di contatto unico.

Il sistema rimane comunque policentrico. Nei settori finanziario e assicurativo intervengono le rispettive autorità di vigilanza, mentre il Garante conserva le competenze relative alla protezione dei dati personali. La conformità all’AI Act non sostituisce quindi gli adempimenti previsti dal GDPR o dalle altre discipline settoriali.

✅ CONCLUSIONI OPERATIVE

Il D.Lgs. n. 179/2026 completa l’architettura istituzionale necessaria per applicare l’AI Act in Italia. Per imprese e professionisti il decreto segna il passaggio da una fase prevalentemente programmatica a un sistema dotato di autorità, controlli, ispezioni e sanzioni.

La risposta organizzativa deve partire dal censimento dei sistemi e dalla definizione delle responsabilità. Particolare attenzione deve essere dedicata agli strumenti utilizzati nei rapporti di lavoro, alla formazione delle persone e alla protezione del patrimonio informativo impiegato per sviluppare o addestrare i sistemi.

❓ FAQ – D.Lgs. 179/2026 e AI Act

Quali sono le principali autorità italiane per l’intelligenza artificiale?
AgID è l’autorità nazionale di notifica, mentre ACN è l’autorità di vigilanza del mercato e il punto di contatto unico nazionale.

Il D.Lgs. n. 179/2026 sostituisce l’AI Act?
No. Il decreto coordina l’ordinamento italiano con il regolamento europeo e disciplina gli aspetti rimessi agli Stati membri.

Tutte le imprese hanno gli stessi obblighi?
No. Gli obblighi dipendono dal ruolo dell’impresa, dalle caratteristiche del sistema e dal livello di rischio.

L’uso dell’IA nella gestione dei dipendenti è vietato?
Non in via generale. Deve però rispettare trasparenza, supervisione umana, protezione dei dati, non discriminazione e normativa sul lavoro.

L’impresa deve modificare il DVR quando introduce un sistema di IA?
La valutazione deve essere aggiornata quando il sistema introduce o modifica concretamente rischi per la salute e la sicurezza dei lavoratori.

Gli algoritmi sono automaticamente protetti come segreti commerciali?
No. La tutela richiede segretezza, valore economico derivante dalla segretezza e misure adeguate per preservarla.

Che cos’è lo Spazio di sperimentazione italiano?
È un ambiente controllato nel quale sviluppare e sperimentare sistemi di IA con l’assistenza e sotto la vigilanza delle autorità competenti.

Sono previste sanzioni?
Sì. L’apparato sanzionatorio comprende sanzioni pecuniarie e misure correttive o interdittive, graduate secondo la violazione e la disciplina applicabile.

Vuoi seguire l’applicazione dell’AI Act e conoscere gli adempimenti che interessano studi professionali e imprese? Abbonati a Commercialista Telematico per accedere agli approfondimenti operativi, alle analisi normative e agli strumenti dedicati all’intelligenza artificiale.