Il 17 settembre 2025 il Senato ha approvato, senza modifiche, il disegno di legge n. 1146-b recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, concludendo un iter parlamentare iniziato il 20 maggio 2024 (per maggiori informazioni sull’iter parlamentare ti invitiamo a consultare il nostro articolo dedicato, cliccando qui). Il provvedimento è stato pubblicato sulla Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed entrerà in vigore, decorso il termine di vacatio legis, a partire dal 10 ottobre 2025 (di seguito, la “Legge IA”).

La Legge IA introduce una cornice normativa nazionale, la prima sull’intelligenza artificiale a livello europeo, che si coordina con il Regolamento (UE) 2024/1689 sull’intelligenza artificiale (di seguito, “AI Act”), delineando principi, governance nazionale, settori prioritari, misure in materia di dati e diritto d’autore, nonché deleghe al Governo per l’adozione di decreti attuativi.

Il coordinamento con l’AI Act

Con riguardo alla prima bozza di disegno di legge presentato al Senato in data 20 maggio 2024, la Commissione Europea aveva rilevato disallineamenti e contrasti con le disposizioni europee, segnalati nel parere C (2024) 7814 del 5 novembre 2024. Il Parlamento ha recepito tali osservazioni e le ha riflesse nella Legge IA, nell’ottica di evitare contraddizioni che avrebbero potuto comportare la disapplicazione delle norme nazionali: l’obiettivo perseguito è quello di introdurre un quadro normativo che, pur nel rispetto dei principi dell’AI Act, tenga conto delle specificità del sistema giuridico italiano e delle esigenze del tessuto produttivo nazionale.

La Legge IA, infatti, stabilisce espressamente all’art. 1, co. 2, che le sue disposizioni si interpretano e si applicano conformemente all’AI Act, con un approccio particolarmente significativo: l’Italia è il primo Paese dell’Unione Europea a dotarsi di una legge nazionale organica sull’intelligenza artificiale, in attuazione e integrazione dell’AI Act stesso.

Principi fondamentali: un approccio antropocentrico

La Legge IA, come sancito dall’art. 1, si pone l’obiettivo di stabilire i principi per la ricerca, la sperimentazione, lo sviluppo e l’applicazione di sistemi e modelli di intelligenza artificiale, promuovendo un “approccio antropocentrico” teso a salvaguardare la centralità dell’essere umano e la supervisione umana nei processi decisionali che coinvolgono sistemi di intelligenza artificiale. L’art. 3 della Legge IA concretizza le finalità e l’ambito di applicazione indicati all’art. 1, stabilendo che la ricerca, la sperimentazione, lo sviluppo, l’adozione, l’applicazione e l’utilizzo di sistemi e modelli di intelligenza artificiale devono avvenire nel rispetto dei diritti fondamentali e delle libertà previste dalla Costituzione, del diritto dell’Unione europea e dei principi di trasparenza, proporzionalità, sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione, parità dei sessi e sostenibilità.

La Legge IA, in attuazione di detto approccio antropocentrico, precisa inoltre che l’utilizzo dell’intelligenza artificiale non deve in alcun modo pregiudicare l’autonomia e il potere decisionale dell’uomo, né ostacolare lo svolgimento democratico della vita istituzionale e politica. Un’attenzione specifica è riservata alle persone con disabilità, a cui deve essere garantito il pieno accesso ai sistemi di intelligenza artificiale su basi di uguaglianza e senza discriminazioni.

Disciplina settoriale

La Legge IA persegue inoltre un approccio settoriale, dedicando specifiche disposizioni agli ambiti considerati ad alto rischio dall’AI Act:

• sanità e disabilità: l’utilizzo dell’intelligenza artificiale nel settore sanitario è finalizzato al miglioramento della prevenzione, della diagnosi e della cura delle malattie. La Legge IA stabilisce che i sistemi di intelligenza artificiale non possono selezionare e condizionare l’accesso alle prestazioni sanitarie secondo criteri discriminatori, agendo esclusivamente come strumento di supporto ai professionisti medici, i quali mantengono sempre la decisione finale;
• lavoro e professioni regolamentate: l’intelligenza artificiale deve essere impiegata per migliorare le condizioni di lavoro, la produttività e la tutela psicofisica dei lavoratori, tramite un utilizzo sicuro, affidabile e trasparente. A tal fine è istituito un Osservatorio presso il Ministero del Lavoro. Con riguardo alle professioni intellettuali, l’intelligenza artificiale costituisce uno strumento di supporto alle attività, sempre a condizione che il lavoro intellettuale dell’uomo rimanga prevalente;
• P.A. e attività giudiziaria: l’impiego dell’intelligenza artificiale nella Pubblica Amministrazione è orientato all’aumento di efficienza, alla riduzione dei tempi procedurali e al miglioramento dei servizi, fermo restando un utilizzo meramente strumentale e di supporto ai funzionari. Similmente, nell’attività giudiziaria, disciplinata dall’art. 15 della Legge IA, ogni decisione sull’interpretazione e applicazione della legge, sulla valutazione dei fatti e sull’adozione dei provvedimenti è sempre riservata al magistrato. Degna di nota è anche la previsione dell’art. 17, che modifica l’art. 9 c.p.c., attribuendo al tribunale la competenza esclusiva per le cause aventi ad oggetto il funzionamento di un sistema di intelligenza artificiale.

Tale scelta normativa risponde all’esigenza di fornire regole precise e contestualizzate per settori caratterizzati da impatti significativi sui diritti fondamentali e sull’organizzazione sociale.

Dati personali e diritto d’autore

L’art. 4 della Legge IA affronta in modo organico la disciplina della protezione dei dati personali, richiamando e integrando i principi e le disposizioni già previsti dalla normativa vigente nazionale ed europea, in particolare dal Regolamento UE n. 2016/679 (GDPR). Viene ribadita l’applicabilità dei principi di liceità, correttezza e trasparenza (già sanciti dal GDPR) in relazione al trattamento dei dati personali, nonché la necessità che le informazioni sul trattamento siano fornite in linguaggio chiaro e comprensibile, al fine di garantire all’utente una piena consapevolezza dei rischi e il diritto di opposizione. La Legge IA dedica uno spazio anche al trattamento dei dati relativo ai minori: in conformità all’art. 2-quinquies del D.Lgs. n.196/2003 e s.m.i. per i minori di anni quattordici, è richiesto il consenso di chi esercita la responsabilità genitoriale, mentre i minori che hanno compiuto quattordici anni possono esprimere autonomamente il proprio consenso.

Di rilievo, inoltre, quanto previsto dall’art. 8 in ambito di ricerca scientifica e sanitaria: in tale contesto il trattamento dei dati per lo sviluppo di sistemi di intelligenza artificiale è espressamente qualificato di rilevante interesse pubblico, in attuazione dei principi costituzionali e del GDPR. Laddove i dati siano privi di elementi identificativi, il trattamento è autorizzato senza necessità di consenso (ove previsto), pur restando obbligatorio fornire un’informativa privacy adeguata agli interessati.

La Legge IA dà inoltre rilievo alla cybersecurity, elemento essenziale per lo sviluppo di intelligenza artificiale, incaricando l’Agenzia per la Cybersicurezza Nazionale (ACN) di promuovere e sviluppare ogni iniziativa volta a valorizzare l’intelligenza artificiale come risorsa per il rafforzamento della cybersicurezza nazionale.

La Legge IA affronta anche il tema del diritto d’autore, un argomento di continuo dibattito che presenta non poche difficoltà per i legislatori. Essa prevede la tutela delle opere create con l’ausilio di strumenti di intelligenza artificiale, ma solo se queste non sono il risultato esclusivo dell’intelligenza artificiale e riflettono il “lavoro intellettuale dell’autore”. Inoltre, per contrastare la pericolosa e crescente diffusione di deepfake e limitare i danni derivanti da un uso improprio di tali tecnologie, viene introdotto un reato autonomo (art. 612-quater c.p.) di “Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale“, punito con la reclusione da uno a cinque anni.

Governance e autorità competenti

La Legge IA istituisce una struttura di governance articolata. La Presidenza del Consiglio dei ministri dovrà predisporre una strategia nazionale per l’intelligenza artificiale, approvata con cadenza biennale dal Comitato interministeriale per la Transizione Digitale (CITD) e sottoposta a un controllo annuale da parte del Parlamento, con l’obiettivo di coordinare le politiche pubbliche in materia di intelligenza artificiale, promuovendo l’innovazione tecnologica nel rispetto dei diritti fondamentali.

L’Agenzia per l’Italia Digitale (AgID) è designata quale autorità responsabile di promuovere l’innovazione e lo sviluppo dell’intelligenza artificiale, con compiti di notifica, valutazione, accreditamento e monitoraggio dei soggetti incaricati di verificare la conformità; l’Agenzia per la Cybersicurezza Nazionale (ACN) è designata quale autorità di vigilanza. Rimangono ferme le competenze specifiche di Banca d’Italia, Consob e IVASS per i rispettivi settori di vigilanza del mercato, così come quelle del Garante per la protezione dei dati personali.

Un aspetto di particolare interesse per le imprese è rappresentato dall’attivazione, da parte della Legge IA, di un programma di investimenti del valore di 1 miliardo di Euro, finalizzato ad accelerare la competitività e a sostenere lo sviluppo di startup e PMI innovative.

Raccomandazioni operative

L’imminente entrata in vigore della Legge IA (dal 10 ottobre 2025) impone alle aziende di attivarsi immediatamente per conformarsi. In particolare, le aziende e le pubbliche amministrazioni dovranno procedere con un audit e una mappatura dei sistemi di intelligenza artificiale attualmente in uso (valutando la base giuridica del loro impiego, i livelli di trasparenza e i rischi associati al loro funzionamento), allineandosi a quanto previsto dalla Legge IA e adottando misure adeguate, anche in ottica di ispezioni e verifiche da parte delle autorità competenti.

Sul piano della governance interna, si raccomanda l’adozione di politiche e procedure apposite, nonché l’istituzione di comitati etici dedicati e il rafforzamento del dialogo tra le diverse funzioni aziendali: DPO, risorse umane, compliance e funzioni tecniche dovranno lavorare in sinergia per garantire un approccio integrato alla gestione dei rischi. Altrettanto cruciale sarà la revisione e l’integrazione dei contratti con i fornitori di tecnologie di intelligenza artificiale e di piattaforme cloud (ad esempio in materia di garanzie, sicurezza, regimi di responsabilità e rimedi), anche alla luce delle nuove disposizioni sulla sovranità digitale e sui requisiti di trasparenza.

Particolare attenzione dovrà essere prestata ai meccanismi di verifica dell’età per i servizi destinati ai minorenni, prevedendo altresì, qualora l’utente sia minore di anni quattordici, l’implementazione di sistemi robusti per la raccolta del consenso informato da parte dei genitori.

Infine, le organizzazioni dovranno predisporre una documentazione dettagliata dei processi decisionali che coinvolgono sistemi di intelligenza artificiale, garantendo standard di trasparenza e accountability che saranno oggetto dei decreti delegati di prossima emanazione.

Timeline e considerazioni conclusive

La Legge IA stabilisce determinate tempistiche per l’adozione di provvedimenti attuativi dalla sua entrata in vigore:

• entro 90 giorni, il Ministero del Lavoro dovrà adottare un decreto che definisca la composizione, il funzionamento e i compiti dell’Osservatorio sull’adozione di sistemi di intelligenza artificiale nel mondo del lavoro;
• entro 120 giorni,il Ministero della Salute dovrà adottare un decreto per disciplinare il trattamento dei dati personali per finalità di ricerca e sperimentazione tramite sistemi di intelligenza artificiale, sentiti il Garante per la protezione dei dati personali e altri operatori del settore;
• entro 12 mesi il Governo dovrà adottare uno o più decreti legislativi su tre materie: disciplina sull’addestramento di sistemi di intelligenza artificiale (per definire un quadro normativo sull’utilizzo di dati, algoritmi e metodi matematici); adeguamento all’AI Act; e disciplina degli illeciti, con l’introduzione di nuove fattispecie di reato e la definizione di criteri per l’imputazione della responsabilità.

La Legge IA rappresenta un passo fondamentale per l’Italia, fornendo un quadro normativo volto a bilanciare l’innovazione con l’esigenza di sicurezza e tutela dei diritti. In considerazione delle normative già in vigore, tra cui in particolare l’AI Act e il GDPR, sarà fondamentale adottare un approccio integrato che tenga conto degli obblighi reciproci previsti, garantendo allo stesso tempo una continua cooperazione tra le diverse autorità di controllo competenti.

In particolare, la nuova disciplina rappresenta un’opportunità strategica per l’Italia, che ha saputo anticipare gli altri Paesi europei, ponendosi così in una posizione di rilievo nel panorama europeo del settore.