Il 23 ottobre 2026 è entrato in vigore il D.Lgs. 7 ottobre 2026, n. 179 (il “Decreto”), che, in attuazione della delega di cui all’art. 24 della Legge 23 settembre 2025, n. 132 (“Legge IA”), prosegue l’adeguamento nazionale al Regolamento (UE) 2024/1689 sull’intelligenza artificiale (“AI Act”). È il secondo decreto attuativo della Legge IA, successivo al D.Lgs. 9 settembre 2026, n. 160, dedicato alle attività di polizia e ai profili di responsabilità (per maggiori dettagli, si veda il nostro articolo dedicato qui). Il Decreto disciplina, tra l’altro, i poteri e il coordinamento delle autorità nazionali, la vigilanza e il sistema sanzionatorio, gli “Spazi di sperimentazione” per l’IA, l’impiego dei sistemi di intelligenza artificiale nei percorsi formativi, nel lavoro, nelle professioni, nella sanità e nella pubblica amministrazione, nonché la tutela di dati, algoritmi e metodi matematici quali segreti commerciali.
Le autorità nazionali per l’IA
Il Decreto definisce innanzitutto la governance nazionale dell’IA, specificando ruoli e poteri dei diversi soggetti coinvolti, incluse le “autorità nazionali per l’intelligenza artificiale” – l’AgID e l’ACN – già individuate dall’art. 20 della Legge IA. L’art. 4 del Decreto designa l’AgID quale “autorità nazionale di notifica” per gli organismi di valutazione della conformità ai sensi dell’AI Act: cura le procedure di valutazione, designazione e notifica, nonché il monitoraggio degli organismi notificati. Accanto ad AgID, l’art. 5 del Decreto individua come “autorità nazionali di vigilanza del mercato”: (i) l’ACN; (ii) la Banca d’Italia, la CONSOB e l’IVASS, rispettivamente per i sistemi di IA ad alto rischio utilizzati nell’erogazione di finanziamenti e servizi bancari e finanziari, nei servizi di investimento e nelle attività assicurative, riassicurative e di distribuzione assicurativa, secondo le rispettive competenze; e (iii) il Garante per la protezione dei dati personali (il “Garante”), limitatamente all’art. 74(8) dell’AI Act.
In tale contesto, il Decreto valorizza accordi, protocolli d’intesa e meccanismi di cooperazione tra le autorità nazionali, locali e settoriali, introducendo forme di coordinamento operativo e informativo. Il Comitato di coordinamento presso la Presidenza del Consiglio dei ministri, già previsto dalla Legge IA, viene confermato come sede di indirizzo unitario e raccordo, con partecipazione, quando rilevante, delle autorità del settore finanziario e nel rispetto delle competenze del Garante e dell’AGCOM.
Vigilanza, reclami e sanzioni
Per quanto riguarda i controlli, il Decreto delinea i poteri di vigilanza delle autorità competenti in conformità all’AI Act: ispezioni in loco o a distanza, anche senza preavviso, richieste di informazioni ai fornitori (anche potenziali), e controlli sulla conduzione delle prove in condizioni reali dei sistemi di IA ad alto rischio.
Il Decreto disciplina, inoltre, la gestione dei reclami per presunte violazioni dell’AI Act, da gestire secondo le procedure di ciascuna autorità, nel rispetto del contraddittorio. Se il reclamo è presentato a un’autorità non competente, questa deve trasmetterlo d’ufficio all’autorità competente, informando il reclamante.
Sul piano sanzionatorio, salvo che il fatto costituisca reato, il Decreto, allineandosi alle soglie dell’AI Act e integrandole, prevede: (i) sanzioni amministrative pecuniarie fino a 35 milioni di euro o al 7% del fatturato mondiale per le violazioni dei divieti sulle pratiche di IA vietate; (ii) fino a 15 milioni di euro o al 3% del fatturato per l’inosservanza degli obblighi degli operatori e di trasparenza; (iii) fino a 7,5 milioni di euro o all’1% del fatturato per la trasmissione, in risposta ad una richiesta, di informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità competenti; (iv) fino a 1 milione di euro o allo 0,5% del fatturato per la violazione degli artt. 27 e 86 dell’AI Act (valutazione d’impatto sui diritti fondamentali e diritto alla spiegazione). Per le imprese si applica il massimale più elevato tra l’importo fisso e la percentuale del fatturato mondiale totale annuo dell’esercizio precedente, ferme le regole di favore previste per PMI, microimprese e start‑up innovative. Per PMI, microimprese e start-up innovative, in linea con l’AI Act, trova applicazione il parametro meno gravoso (anziché il più elevato) tra importo fisso e percentuale. Il Decreto prevede altresì che i proventi delle sanzioni irrogate da ACN e AgID siano destinati, in via prioritaria, alle attività delle autorità stesse, con l’obiettivo di rafforzare le capacità operative delle autorità, collegando le risorse alla complessità dei nuovi compiti di controllo.
Lo “spazio di sperimentazione italiano per l’IA”
Uno dei profili più rilevanti e innovativi del Decreto è l’istituzione dello “Spazio di sperimentazione italiano per l’IA”, un ambiente regolato e vigilato destinato a sostenere lo sviluppo, l’addestramento, la sperimentazione e la convalida di sistemi di IA innovativi, in un contesto controllato che consenta di testare soluzioni e raccogliere evidenze per future scelte regolatorie (lo “Spazio”). Lo Spazio è posto sotto la vigilanza diretta di AgID e ACN e gestito operativamente da un Gruppo operativo a composizione paritetica, costituito con decreto congiunto dei direttori generali di AgID e ACN, mentre la gestione strategica e le priorità di sperimentazione sono definite dal Comitato di coordinamento, con possibilità di coinvolgere, progetto per progetto, università, centri di ricerca e il Garante, in caso di trattamento di dati personali.
Le modalità di accesso e funzionamento e i criteri di ammissione sono rimessi a successivi decreti congiunti di AgID e ACN
Il Decreto prevede che nello Spazio di sperimentazione possano essere ammessi fornitori e potenziali fornitori di sistemi di IA, con priorità di accesso per PMI e start-up. È possibile altresì istituire, tramite regolamenti del Presidente del Consiglio dei ministri, anche spazi dedicati a sistemi di IA c.d. dual-use (uso civile e militare) e spazi per modelli e sistemi applicabili all’attività giudiziaria. Il Decreto consente inoltre la creazione di ulteriori spazi di sperimentazione normativa a livello regionale o locale, o congiuntamente con le autorità di altri Stati membri, con strumenti di raccordo che assicurino il flusso informativo verso lo Spazio nazionale e la confluenza dei risultati nelle relazioni annuali previste dall’art. 57(16) dell’AI Act.
IA nei percorsi formativi, nel lavoro, nelle professioni, nella sanità e nella P.A.
In linea con l’orientamento “antropocentrico” di cui alla Legge IA, il Decreto dedica un intero capo – il Capo III – all’uso dell’IA in ambito formativo, professionale, lavoristico, sanitario e nella pubblica amministrazione:
- Istruzione: il Decreto favorisce la promozione, da parte delle istituzioni scolastiche, di attività formative sull’IA in coerenza con le linee guida per l’educazione civica digitale, aggiornando curricoli e linee guida STEM per includere competenze tecniche e critiche sull’uso dei sistemi di IA. Sono inoltre previste misure specifiche per la formazione di studenti, docenti e personale educativo.
- Lavoro: il Decreto recepisce e concretizza il principio di sorveglianza umana effettiva, imponendo al datore di lavoro che utilizza sistemi di IA di assicurare che le decisioni finali su costituzione, modificazione o risoluzione del rapporto (inclusi provvedimenti disciplinari e valutazioni delle prestazioni) non siano mai adottate unicamente sulla base di un trattamento automatizzato, a pena di nullità; il consenso del lavoratore non costituisce un’eccezione al divieto. Il lavoratore può inoltre ottenere, su richiesta e mediante l’intervento di una persona fisica, una motivazione intelligibile della decisione, che indichi l’incidenza dell’IA e i principali parametri considerati. L’esclusione delle attività di ricerca e selezione delle candidature dall’ambito della disposizione non pregiudica l’applicazione del GDPR, in particolare dell’art. 22 sulle decisioni unicamente automatizzate, né delle pertinenti disposizioni dell’AI Act. Con riguardo alla salute e sicurezza sul lavoro, il Decreto richiede di valutare l’introduzione di sistemi di IA nell’ambito della valutazione dei rischi ai sensi del D.Lgs. 81/2008.
- Professioni (anche non regolamentate) e sanitarie: il Decreto prevede percorsi di alfabetizzazione e formazione all’uso dei sistemi di IA (AI Literacy) nell’ambito della formazione iniziale e continua, inclusi i programmi di educazione continua in medicina. I consigli nazionali degli ordini e collegi dovranno aggiornare entro sei mesi i regolamenti sulla formazione, includendo profili tecnici, giuridici, deontologici e responsabilità connesse all’impiego di sistemi di IA.
- P.A. e servizi per il lavoro: il Decreto affida al Ministro per la pubblica amministrazione il coordinamento della formazione dei dipendenti pubblici sull’IA e subordina l’uso dell’IA nei servizi per il lavoro a supervisione umana, trasparenza delle decisioni e tutela dei diritti degli utenti e dei lavoratori.
Dati, algoritmi e metodi matematici
Infine, il Decreto, coordinandosi con la Legge IA, modifica il Codice della proprietà industriale per includere, espressamente, tra le informazioni aziendali e le esperienze tecnico-industriali tutelabili come segreti commerciali, i dati, gli algoritmi e i metodi matematici utilizzati per l’addestramento di sistemi di IA, inclusi i relativi elementi tecnico-computazionali, ove soddisfino i requisiti del segreto commerciale: (i) segretezza, in quanto non generalmente noti o facilmente accessibili; (ii) valore economico in quanto segreti; (iii) adozione di misure ragionevolmente adeguate a mantenerli segreti.
Questa scelta consolida la tutela degli investimenti in ricerca e sviluppo di IA – un obiettivo già centrale nella Legge IA. La tutela come segreto commerciale resta subordinata ai requisiti indicati e non attribuisce, di per sé, il diritto di utilizzare dati o contenuti di terzi per l’addestramento.
Conclusioni
Con il D.Lgs. 179/2026, insieme alla Legge IA e al D.Lgs. 160/2026, l’Italia completa un ulteriore passaggio dell’adeguamento nazionale all’AI Act, con impatti rilevanti per imprese, PA, intermediari finanziari e professionisti.
Per chi sviluppa o utilizza sistemi di IA, la priorità è censire sistematicamente i sistemi in sviluppo, uso o sperimentazione e classificarli in relazione all’AI Act, coordinando tale mappatura con DPIA e registri dei trattamenti, obblighi di cybersicurezza (NIS 2), Data Act e altre normative digitali settoriali.
Sul piano della governance interna, imprese e PA devono:
- individuare l’autorità competente in base ai sistemi utilizzati e al settore di attività;
- definire procedure per gestire ispezioni e richieste informative delle autorità di vigilanza, anche senza preavviso;
- aggiornare policy, informative e contratti per riflettere i nuovi obblighi (responsabilità, allocazione dei rischi, accesso alla documentazione e segreti commerciali legati all’addestramento dei modelli).
Nella gestione del rapporto di lavoro, i datori di lavoro che impiegano IA devono garantire decisioni finali decisioni finali non basate unicamente su un trattamento automatizzato, formalizzare flussi con un intervento umano effettivo e integrare l’IA nella valutazione dei rischi ex D.Lgs. 81/2008, con percorsi formativi ad hoc.
Particolarmente rilevante è l’opportunità di ricerca e sviluppo nell’IA, che il quadro normativo italiano non sacrifica alla regolamentazione, anche tramite lo Spazio di sperimentazione italiano per l’IA, che offre un ambiente controllato per testare sistemi di IA. La partecipazione richiede la predisposizione della documentazione prevista per l’ammissione e lo svolgimento della sperimentazione, nel rispetto delle norme applicabili in materia di protezione dei dati e sicurezza.
La possibile qualificazione di dati, algoritmi e metodi matematici come segreti commerciali impone di rafforzare le misure di sicurezza e i controlli di accesso e di integrare clausole contrattuali coerenti con l’eventuale qualificazione come segreti commerciali, senza trascurare gli obblighi di trasparenza e documentazione verso autorità, clienti e utenti.
In sintesi, il Decreto non si limita alla conformità tecnica all’AI Act, ma struttura l’integrazione dell’IA in un ecosistema di governance (organizzazione, formazione, vigilanza, sperimentazione e tutela degli intangibili). L’adeguamento può costituire un vantaggio competitivo e reputazionale, in un mercato sempre più regolato e attento – anche extra-UE – ai profili etici e di responsabilità dell’IA, in connessione con i rischi, ma soprattutto con i vantaggi che tale tecnologia porta con sé.
