D.Lgs. 179/2026: Intelligenza Artificiale operativa in Italia

Nuove regole per l’Intelligenza Artificiale: cosa cambia dal 23 ottobre 2026

Dal 23 ottobre 2026 entrerà in vigore il decreto legislativo 7 ottobre 2026, n. 179, un pilastro fondamentale per l’attuazione del Regolamento (UE) 2024/1689 (AI Act).
Il testo, che conta 54 articoli, non si limita a recepire le norme europee e, come analizzeremo, definisce con precisione le scadenze, chi vigila, quali sono le sanzioni e come l’Intelligenza Artificiale impatterà concretamente sul mondo del lavoro, delle imprese, delle professioni, della pubblica amministrazione e della formazione.

Un calendario europeo a più velocità

È importante contestualizzare il nuovo decreto all’interno di un quadro temporale complesso. Il D.Lgs. 179/2026 si inserisce dopo il D.Lgs. 160/2026 (vigente dal 30 settembre), dedicato all’uso dell’IA nelle attività di polizia e alle responsabilità civili e penali.

Il quadro è influenzato anche dal “Digital Omnibus” (Regolamento UE 2026/1744), in vigore dal 27 luglio 2026. Quest’ultimo ha spostato alcune scadenze critiche: gli obblighi per i sistemi ad alto rischio dell’Allegato III sono rimandati al 2 dicembre 2027, mentre la scadenza per le sandbox è fissata al 2 agosto 2027.

Le autorità italiane sono, quindi, operative prima che tutti gli obblighi europei siano pienamente applicabili, offrendo alle imprese una finestra temporale preziosa per la preparazione.

Governance e vigilanza: chi controlla l’Intelligenza Artificiale

Il decreto stabilisce una governance a due poli. AgID agirà come autorità di notifica, occupandosi di valutare, designare e monitorare gli organismi di valutazione della conformità.
ACN (Agenzia per la Cybersicurezza Nazionale) sarà invece l’autorità generale di vigilanza del mercato e il punto di contatto unico con le istituzioni europee.

Le competenze settoriali rimangono affidate alle autorità esistenti: Banca d’Italia, CONSOB e IVASS vigileranno sui sistemi ad alto rischio nei rispettivi ambiti (bancario, creditizio, investimenti e assicurazioni).
Il Garante per la protezione dei dati personali interverrà specificamente per i sistemi ad alto rischio impiegati in ambiti sensibili come la gestione delle frontiere, l’amministrazione della giustizia e i processi democratici.

Il regime sanzionatorio

Le sanzioni amministrative pecuniarie sono articolate in quattro fasce, basate sul fatturato mondiale annuo dell’esercizio precedente:

• Fascia 1: Violazione delle pratiche di IA vietate (art. 5 AI Act) – Massimo 35 milioni di euro o 7%.
• Fascia 2: Obblighi di fornitori, importatori, distributori e deployer – Massimo 15 milioni di euro o 3%.
• Fascia 3: Informazioni inesatte, incomplete o fuorvianti alle autorità – Massimo 7,5 milioni di euro o 1%.
• Fascia 4: Valutazione d’impatto sui diritti fondamentali e diritto alla spiegazione – Massimo 1 milione di euro o 0,5%.
  

Per le PMI e le start-up innovative si applicherà l’importo o la percentuale più basso. Le autorità potranno inoltre adottare misure graduate, come la diffida o la dichiarazione pubblica dell’infrazione, prima di procedere alla sanzione pecuniaria.

Lavoro e responsabilità: il primato dell’uomo

Una delle novità più rilevanti riguarda l’art. 41, che impone un limite netto all’automazione nelle decisioni critiche.
Le decisioni finali su assunzioni, modifiche o risoluzioni del rapporto di lavoro, provvedimenti disciplinari e valutazioni delle prestazioni non possono essere adottate unicamente tramite sistemi automatizzati.
È necessaria la decisione di una persona fisica che eserciti un potere effettivo e autonomo; la semplice “ratifica” umana non è sufficiente. In caso di violazione, il licenziamento sarà nullo.
Per quanto riguarda la fase di selezione, pur non essendo richiesta la decisione umana finale, il datore di lavoro deve garantire l’informativa e la possibilità per il lavoratore di richiedere una spiegazione comprensibile sull’incidenza dell’IA e sui parametri considerati.

Sicurezza sul lavoro, formazione e segreti commerciali

Il decreto rafforza la sicurezza sul lavoro (art. 42), richiedendo che i sistemi di IA che incidono sui ritmi e modalità della prestazione siano inclusi nella valutazione dei rischi del D.Lgs. 81/2008.

Sul fronte della formazione, l’art. 47 impone agli ordini professionali di includere nei programmi formativi il funzionamento, i limiti e il quadro giuridico dell’IA.
Parallelamente, l’art. 52 tutela i dati di addestramento e gli algoritmi come segreti commerciali, a patto che siano protetti da misure tecniche e organizzative ragionevoli.

Scadenze e azioni immediate

Le imprese e le pubbliche amministrazioni devono muoversi subito. Ecco le tappe principali:

– 23 ottobre 2026: Entrata in vigore del decreto (sanzioni, regole sul lavoro, segreti commerciali).
– 21 gennaio 2027: DPCM sui costi di vigilanza e linee guida per i docenti.
– 23 aprile 2027: Adeguamento dei regolamenti formativi degli ordini e quote ECM.
– 23 ottobre 2027: Decreti sui parametri dell’equo compenso.

Cosa fare subito:

1. Censire i sistemi di IA in uso e classificarli per rischio.
2. Rivedere i processi HR per garantire l’intervento umano reale nelle decisioni finali.
3. Aggiornare le informative e predisporre le procedure di spiegazione.
4. Aggiornare il DVR e programmare la formazione dei lavoratori.
5. Conservare log e documentazione tecnica per la difesa in giudizio.
6. Proteggere il know-how con misure tecniche e NDA.
7. Per la PA: inserire i requisiti di conformità all’AI Act nei capitolati di gara.


Actainfo segue l’evoluzione normativa e tecnologica legata all’intelligenza artificiale, alla digitalizzazione e alla sicurezza dei processi informativi, supportando enti e imprese nell’adozione di soluzioni digitali conformi, sostenibili e orientate al futuro.

Per ulteriori informazioni visita: https://www.actainfo.it/ai-servizi-intelligenza-artificiale/