AI Act: dal 23 ottobre in Italia si controlla e si sanziona

Entra in vigore il decreto legislativo 179/2026, che completa le regole italiane sull'AI Act. L'ACN diventa l'autorità che vigila sul mercato e applica le sanzioni, con tetti da 35 milioni o 7% del fatturato a 1 milione o 0,5%. Le decisioni su assunzione, modifica e cessazione del rapporto di lavoro, compresi richiami e valutazioni, non possono più basarsi solo sull'esito di un software, e i sistemi di IA che incidono su ritmi e organizzazione del lavoro vanno considerati nel documento di valutazione dei rischi.

No. Dal 23 ottobre 2026 l'art. 41 del d.lgs. 179/2026 riserva la decisione finale a una persona con un potere effettivo e autonomo, anche se il lavoratore ha dato il consenso. Il software può proporre, misurare e segnalare, ma qualcuno deve verificarne l'esito e motivare la decisione. Il lavoratore può chiedere una motivazione comprensibile, con quanto ha pesato l'IA e i parametri principali, e le decisioni prese solo dal software sono nulle. La sola selezione dei candidati non rientra in questa regola.

Da quella data l'AI Act è pienamente applicabile: scattano gli obblighi di trasparenza dell'art. 50 (chatbot riconoscibili come IA, contenuti generati dichiarati e marcati, deepfake etichettati) e le autorità nazionali possono vigilare e sanzionare. Gli obblighi più pesanti sui sistemi ad alto rischio sono invece stati rinviati al 2 dicembre 2027 dal Digital Omnibus.

Sì. L'AI Act non ha soglie dimensionali: si applica a chiunque sviluppi o semplicemente utilizzi sistemi di IA nell'UE. Per PMI e startup sono previste procedure semplificate e sanzioni ridotte, non un'esenzione. Se in azienda si usa un chatbot, un generatore di contenuti o un software di selezione del personale, sei dentro.

Sei un "deployer": i tuoi obblighi sono più leggeri di quelli di un fornitore, ma esistono. In particolare l'alfabetizzazione in materia di IA per chi usa gli strumenti (art. 4, già in vigore), la trasparenza verso le persone e il rispetto del GDPR sui dati che inserisci nei prompt. Attenzione però: se metti il tuo marchio su un sistema di terzi o ne modifichi in modo sostanziale la finalità, l'art. 25 ti considera fornitore.

In Italia le stabilisce l'art. 23 del d.lgs. 179/2026: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3% per gli obblighi di fornitori e utilizzatori (compresa la trasparenza), fino a 7,5 milioni o all'1% per informazioni inesatte alle autorità, fino a 1 milione o allo 0,5% per la valutazione d'impatto sui diritti fondamentali e il diritto alla spiegazione. Sono tetti: per PMI e start-up vale l'importo più basso fra cifra fissa e percentuale, e per le violazioni lievi l'autorità può limitarsi a ordinare di smettere.

Il d.lgs. 179/2026, in vigore dal 23 ottobre 2026, affida ad AgID la notifica degli organismi di certificazione e all'ACN la vigilanza sul mercato, le ispezioni e le sanzioni. Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati nei rispettivi settori. Restano competenti il Garante privacy sul trattamento dei dati personali e l'Ispettorato del lavoro sugli usi in ambito lavorativo.

No. È uno strumento di autovalutazione divulgativo: ti dice in quale fascia di rischio ricadi con ogni probabilità e quali sono le lacune più urgenti. La classificazione definitiva di un sistema, la documentazione tecnica e la valutazione di conformità richiedono un'analisi puntuale del caso concreto.

Le risposte al questionario e i dati di contatto che ci lasci, per inviarti il report e, solo se ce lo chiedi, per ricontattarti. Non sono dati condivisi con terzi per finalità di marketing. Trovi tutto nella nostra privacy policy.

L'AI Act non prevede soglie dimensionali: vale per chiunque sviluppi o utilizzi sistemi di intelligenza artificiale nell'Unione europea. Per PMI e startup ci sono procedure semplificate e sanzioni ridotte, non un'esenzione.

Chi usa strumenti di terzi senza modificarli è un deployer: restano l'alfabetizzazione in materia di IA prevista dall'articolo 4, la trasparenza verso le persone e il rispetto del GDPR sui dati inseriti nei prompt.

In Italia le fissa l'art. 23 del d.lgs. 179/2026: da 35 milioni o 7% del fatturato per le pratiche vietate fino a 1 milione o 0,5% per valutazione d'impatto e diritto alla spiegazione. Per le PMI vale sempre l'importo più basso fra cifra fissa e percentuale.