Condividi l’articolo:
Il decreto legislativo 7 ottobre 2026, n. 179 – pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 e in vigore dal 23 ottobre 2026 – adegua la normativa italiana al regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act).
Il nuovo quadro normativo definisce le competenze delle autorità di vigilanza e le procedure di controllo, disciplina le sanzioni, istituisce uno spazio di sperimentazione e introduce disposizioni a tutela degli algoritmi aziendali.
Le nuove regole interessano le imprese che, a seconda del ruolo svolto, sviluppano, immettono sul mercato o utilizzano sistemi di intelligenza artificiale (IA). Gli obblighi applicabili variano in funzione dell’attività esercitata e delle caratteristiche dei sistemi impiegati.
Il decreto – approvato dal Consiglio dei ministri nella seduta del 4 agosto 2026 – interviene anche sull’utilizzo dell’intelligenza artificiale nel lavoro, nella pubblica amministrazione e nelle professioni.
Autorità di vigilanza IA: chi controlla le imprese
L’articolo 2 del decreto, in primo luogo, richiama l’ambito di applicazione dell’AI Act, le cui disposizioni interessano diversi soggetti della filiera dell’intelligenza artificiale: dai fornitori agli utilizzatori professionali (deployer), fino agli importatori, ai distributori e ai fabbricanti di prodotti che integrano sistemi di IA.
Gli obblighi previsti non sono uguali per tutti, ma dipendono dal ruolo svolto da ciascun operatore e dalle caratteristiche dei sistemi di intelligenza artificiale coinvolti.
Competenze di AgID, ACN e autorità finanziarie
Per quanto riguarda il sistema di vigilanza, l’articolo 4 individua le autorità nazionali competenti per l’attuazione dell’AI Act, attribuendo a ciascuna specifiche funzioni.
In particolare, l’Agenzia per l’Italia digitale (AgID) assume il ruolo di autorità nazionale di notifica, con il compito di definire e gestire le procedure per la valutazione, la designazione e la notifica degli organismi incaricati di verificare la conformità dei sistemi di intelligenza artificiale. AgID vigila inoltre sul mantenimento dei requisiti richiesti a tali organismi.
All’Agenzia per la cybersicurezza nazionale (ACN) sono invece affidate le funzioni di autorità di vigilanza del mercato e di punto di contatto unico. Nei settori bancario, finanziario e assicurativo, la vigilanza sui sistemi di IA ad alto rischio impiegati nei rispettivi servizi compete a Banca d’Italia, CONSOB e IVASS, secondo le rispettive attribuzioni.
Restano ferme le competenze del Garante per la protezione dei dati personali e dell’Ufficio europeo per l’IA.
A completare il quadro, l’articolo 8 prevede forme di coordinamento tra l’ACN e le autorità settoriali, attraverso attività di vigilanza congiunte sui prodotti soggetti sia all’AI Act sia alla normativa europea di armonizzazione.
Ispezioni e recupero dei costi
Sul piano operativo, l’articolo 15 attribuisce all’Agenzia per la cybersicurezza nazionale (ACN) poteri ispettivi che si estendono anche alle prove dei sistemi di intelligenza artificiale svolte in condizioni reali. I controlli possono essere effettuati a distanza oppure direttamente sul posto, anche senza preavviso.
Quanto all’avvio delle attività di vigilanza, l’articolo 16 prevede che i procedimenti possano essere avviati d’ufficio oppure a seguito di segnalazioni di incidenti gravi, reclami non manifestamente infondati o comunicazioni provenienti da altre autorità.
Un ulteriore aspetto riguarda i costi dei controlli. In caso di prodotti risultati non conformi, è infatti previsto il possibile recupero dei costi sostenuti per la vigilanza. L’articolo 10 demanda a un successivo decreto del Presidente del Consiglio dei ministri, da adottare entro 90 giorni dal 23 ottobre 2026, la definizione dei parametri per il relativo calcolo.
Sanzioni AI Act: importi e misure alternative
Sul fronte delle sanzioni, gli articoli da 19 a 25 del decreto disciplinano le modalità con cui le autorità nazionali esercitano i poteri sanzionatori, in attuazione dell’articolo 99 dell’AI Act.
Sanzioni fino a 35 milioni di euro
Nel dettaglio, l’articolo 23 individua quattro fasce di sanzioni amministrative pecuniarie, con importi massimi differenziati in base alla tipologia di violazione:
| Violazione | Massimale |
|---|---|
| Pratiche vietate dall’articolo 5 dell’AI Act | 35 milioni di euro o 7% del fatturato mondiale annuo, se superiore |
| Violazioni degli obblighi indicati nell’articolo 23, comma 2, inclusi quelli su sistemi ad alto rischio e trasparenza | 15 milioni di euro o 3% del fatturato mondiale annuo, se superiore |
| Informazioni inesatte, incomplete o fuorvianti fornite in risposta alle richieste delle autorità o degli organismi notificati | 7,5 milioni di euro o 1% del fatturato mondiale annuo, se superiore |
| Violazioni degli articoli 27 e 86 dell’AI Act | 1 milione di euro o 0,5% del fatturato mondiale annuo, se superiore |
È importante precisare che l’applicazione delle sanzioni deve tenere conto delle diverse date di applicabilità degli obblighi previsti dall’AI Act. L’entrata in vigore del decreto italiano, quindi, non comporta automaticamente l’applicazione di tutte le sanzioni previste.
Per le piccole e medie imprese (PMI), comprese le microimprese, e per le start-up innovative, è inoltre previsto un criterio specifico per la determinazione degli importi massimi. In particolare, l’articolo 23, comma 7, del decreto richiama l’articolo 99, paragrafo 6, dell’AI Act, secondo cui si applica il massimale più basso tra l’importo fisso stabilito in euro e quello calcolato in percentuale sul fatturato mondiale annuo, alle condizioni previste dal regolamento europeo.
Ordini correttivi e pubblicazione
Accanto alle sanzioni pecuniarie, il decreto prevede anche misure alternative per le violazioni di scarsa offensività o pericolosità. In particolare, l’articolo 22 consente alle autorità competenti di ordinare al responsabile di eliminare la violazione e di non ripeterla. Se invece l’infrazione è già cessata, può essere disposta una dichiarazione pubblica che renda note la violazione e l’identità del responsabile.
Il mancato rispetto dell’ordine comporta l’applicazione della sanzione pecuniaria, che può essere aumentata fino a un terzo, nel rispetto degli importi massimi previsti dalla normativa.
L’articolo 24 disciplina, inoltre, il procedimento sanzionatorio e la pubblicazione per estratto dei provvedimenti adottati, prevedendo, nei casi stabiliti, anche la possibilità di pubblicarli in forma anonima.
Spazio di sperimentazione IA: opportunità per PMI e start-up
Sul fronte dell’innovazione, gli articoli da 26 a 31 del decreto istituiscono e disciplinano lo Spazio di sperimentazione italiano per l’intelligenza artificiale, previsto dall’articolo 57 dell’AI Act.
Si tratta di un ambiente controllato, gestito congiuntamente dall’Agenzia per l’Italia digitale (AgID) e dall’Agenzia per la cybersicurezza nazionale (ACN), nel quale le imprese che forniscono o intendono fornire sistemi di IA possono sviluppare e sperimentare soluzioni innovative sotto la supervisione delle autorità competenti.
L’obiettivo è favorire l’innovazione e agevolare l’accesso al mercato europeo, offrendo agli operatori la possibilità di confrontarsi con le autorità sui requisiti normativi da rispettare.
A questo scopo, l’articolo 28 prevede un gruppo operativo incaricato di selezionare i progetti, approvare i piani di sperimentazione e monitorare lo svolgimento delle attività.
La partecipazione allo spazio di sperimentazione non comporta il riconoscimento automatico della conformità dei sistemi di IA alla normativa applicabile.
Accesso prioritario e regole attuative
Per favorire la partecipazione delle realtà imprenditoriali di minori dimensioni, il decreto riconosce una priorità di accesso allo spazio di sperimentazione alle piccole e medie imprese (PMI), comprese le start-up, secondo i criteri richiamati dall’articolo 62 dell’AI Act.
La priorità, tuttavia, non garantisce l’ammissione automatica. I criteri di selezione, le condizioni di partecipazione, i servizi disponibili e le modalità operative saranno definiti attraverso successivi provvedimenti adottati congiuntamente da AgID e ACN.
Il decreto promuove inoltre la collaborazione tra i soggetti coinvolti nella sperimentazione. In particolare, l’articolo 29 favorisce il coinvolgimento di imprese, organismi notificati e centri di ricerca, anche attraverso iniziative di cooperazione transfrontaliera.
Infine, l’articolo 30 disciplina il coordinamento con le iniziative di sperimentazione FinTech già previste nei settori finanziario e assicurativo, al fine di raccordare i rispettivi ambiti di attività.
Algoritmi aziendali e segreti commerciali
Un’ulteriore novità riguarda la tutela degli algoritmi aziendali e delle informazioni utilizzate per sviluppare e addestrare i sistemi di intelligenza artificiale.
L’articolo 52 del decreto modifica infatti l’articolo 98 del Codice della proprietà industriale, precisando che tra le informazioni tutelabili come segreti commerciali possono rientrare anche dati, algoritmi e metodi matematici impiegati nell’addestramento dell’IA, comprese le architetture dei modelli e le relative procedure di addestramento.
La tutela, tuttavia, non opera automaticamente. Per beneficiare della protezione prevista dalla legge, le informazioni devono rispettare i requisiti stabiliti dall’articolo 98, comma 1: essere segrete, possedere un valore economico proprio in ragione della loro segretezza ed essere sottoposte a misure ragionevolmente adeguate a mantenerle riservate.
A completare il quadro, l’articolo 53 attribuisce alle sezioni specializzate in materia di impresa la competenza sulle controversie relative a tali informazioni.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
