Approvati in esame definitivo due decreti attuativi della legge n. 132/2025
Artificial Intelligence
Il 4 agosto 2026 il Consiglio dei Ministri ha approvato in esame definitivo due decreti legislativi di adeguamento al regolamento (UE) 2024/1689 (“AI Act”), in attuazione della delega di cui all’art. 24 della legge 23 settembre 2025, n. 132 (“Legge IA”).
Il primo decreto disciplina l’uso dell’IA nelle attività di polizia. L’identificazione biometrica in tempo reale è ammessa solo in casi eccezionali, per periodi limitati e previa autorizzazione dell’autorità giudiziaria. Il provvedimento introduce inoltre l’articolo 437-bis del Codice penale, che punisce l’omessa adozione di misure di sicurezza nei sistemi ad alto rischio e la loro alterazione illecita, reato presupposto del D.Lgs. n. 231/2001. In sede civile, al danneggiato sono riconosciuti accesso alla documentazione, presunzione relativa del nesso causale e azione diretta verso l’assicuratore.
Il secondo decreto disciplina i poteri delle autorità già designate dall’art. 20 della Legge IA (AgID per la notifica, ACN per la vigilanza del mercato, Banca d’Italia, CONSOB e IVASS per i servizi finanziari) e attribuisce la vigilanza al Garante per la protezione dei dati personali negli ambiti dell’art. 74, par. 8, dell’AI Act (attività di contrasto, frontiere, giustizia e processi democratici). È istituito un quadro sanzionatorio graduato con massimi inferiori a quelli UE e sono previsti spazi di sperimentazione normativa, con attenzione a PMI e start-up. Nel lavoro, decisioni su assunzione, gestione e cessazione del rapporto (compresi provvedimenti disciplinari e licenziamenti) non possono basarsi esclusivamente su trattamenti automatizzati, a pena di nullità del licenziamento.
Al momento i testi non risultano ancora pubblicati in Gazzetta Ufficiale. La delega dell’art. 24 della legge n. 132/2025 deve essere esercitata entro dodici mesi dall’entrata in vigore (10 ottobre 2025), e dunque entro il 10 ottobre 2026.
Resilienza operativa digitale: le indicazioni di Banca d’Italia e IVASS sui modelli avanzati di IA
Cybersecurity | Artificial Intelligence
Il 17 luglio 2026 la Banca d’Italia e l’IVASS hanno pubblicato due comunicazioni parallele sulla resilienza operativa digitale e sui modelli avanzati di intelligenza artificiale (IA), rivolte rispettivamente agli intermediari vigilati e alle imprese di assicurazione e riassicurazione. Le Autorità evidenziano che i modelli di ultima generazione possono individuare vulnerabilità del software e generarne rapidamente modalità per sfruttarle, riducendo l’intervallo tra scoperta e attacco.
In concreto, richiamando il Digital Operational Resilience Act (DORA), Banca d’Italia e IVASS chiedono agli operatori di:
- rivedere il Risk Appetite Framework (RAF), includendovi i rischi delle tecnologie di frontiera, attribuire responsabilità chiare e assicurare competenze tecnologiche e formazione continua agli organi aziendali;
- rafforzare la gestione dei fornitori ICT, attraverso criteri di selezione ex ante, requisiti contrattuali e controlli sull’applicazione delle patch e sul monitoraggio della sicurezza;
- aggiornare l’inventario degli asset, classificandoli anche in base all’esposizione a Internet e al ricorso al cloud, e sostituire i sistemi legacy non più supportati;
- accelerare la gestione delle vulnerabilità, intervenendo prioritariamente su software open source, sistemi esposti all’esterno e vulnerabilità zero-day;
- potenziare autenticazione, autorizzazioni, segmentazione delle reti e monitoraggio del traffico;
- svolgere test periodici di resilienza, risposta e recupero, simulando scenari realistici e progressivamente più complessi.
Tra gli adempimenti più immediati assume particolare rilievo il rafforzamento della governance: i consigli di amministrazione, in seduta congiunta con i collegi sindacali, devono avviare una relazione che, per ciascuna area, descriva esposizione, presidi esistenti, carenze e priorità; alla relazione dovrà inoltre essere allegato un piano di lavoro con azioni, tempi, investimenti e modalità di verifica dell’avanzamento. Occorre infine comunicare all’Autorità di vigilanza competente uno specifico punto di responsabilità aziendale. Relazione e piano devono essere trasmessi entro il 31 dicembre 2026.
Data Act: dal 12 settembre 2026 l’access by design diventa obbligatorio per i nuovi prodotti connessi
Data Governance
Il Data Act è applicabile dal 12 settembre 2025. Dal 12 settembre 2026 entra tuttavia in applicazione una delle sue prescrizioni più rilevanti per produttori e sviluppatori: l’obbligo previsto dall’art. 3, par. 1, per i prodotti connessi e i relativi servizi immessi sul mercato dopo tale data.
L’Articolo 3, paragrafo 1, del Data Act introduce un principio fondamentale: i dispositivi smart, comprensivi di componente hardware, sensoristica e software – che possono andare dai grandi macchinari per l’automazione industriale fino agli autoveicoli e agli elettrodomestici di uso quotidiano – immessi sul mercato dal 12 settembre 2026, dovranno essere progettati, fabbricati e sviluppati in modo tale che i dati generati dal loro impiego, compresi i metadati necessari alla loro comprensione e utilizzo, siano, per impostazione predefinita (by design), accessibili all’utente, facilmente, in modo sicuro, gratuitamente, in formato completo e soprattutto di uso comune e leggibile da un dispositivo automatico. A questo si affianca l’obbligo per il titolare dei dati (data holder) di trasmettere le medesime informazioni a soggetti terzi, qualora vi sia un’esplicita richiesta dell’utente, ai sensi dell’Articolo 5 del Data Act.
Tale adempimento dovrà operare in stretto coordinamento sia con gli obblighi derivanti dalla Direttiva NIS2 in ambito cybersecurity e dai relativi atti nazionali di recepimento, sia con il GDPR e la normativa nazionale in materia di protezione dei dati personali, ogniqualvolta le informazioni estratte dai dispositivi smart riguardino persone fisiche.
In un contesto in cui la condivisione dei dati, anche non personali, diviene un obbligo normativo, ripensare i flussi dei dati e l’architettura tecnica dei prodotti diventa un requisito centrale per garantire la conformità digitale e il prossimo 12 settembre rappresenterà la cartina tornasole per verificare la sinergia delle funzioni legal e di governance nella gestione del nuovo adempimento.
L’adeguamento richiede pertanto di coordinare product design, data architecture, informative precontrattuali, termini di utilizzo e accordi con i soggetti terzi destinatari dei dati.
Green claims: dal 27 settembre nuove regole contro il greenwashing
Consumer Protection | Sustainability
Dal 27 settembre 2026, il D.Lgs. 30/2026, attuativo della Direttiva (UE) 2024/825, introduce nel Codice del Consumo un rafforzamento della disciplina delle pratiche commerciali scorrette connesse ai claim ambientali. La riforma incide, in particolare, sull’utilizzo di asserzioni ambientali generiche, consentendone l’impiego solo quando adeguatamente supportate da prestazioni ambientali riconosciute e dimostrabili.
I claim dovranno essere specifici, accurati, verificabili e proporzionati alla caratteristica del prodotto cui si riferiscono, evitando che un beneficio circoscritto venga rappresentato come riferibile al prodotto nel suo complesso.
Viene inoltre limitato l’utilizzo di marchi, etichette e sistemi di certificazione ambientale, che dovranno essere fondati su sistemi conformi ai requisiti normativi o istituiti da autorità pubbliche.
Particolare rilievo assume il divieto di rappresentare un prodotto come climaticamente neutro, ridotto o positivo quando tale risultato derivi esclusivamente dalla compensazione delle emissioni mediante carbon credits.
Rientrano inoltre i claim relativi a prestazioni ambientali future, che devono fondarsi su impegni chiari, oggettivi, pubblici e verificabili e su un piano di attuazione dettagliato.
Per le imprese, ciò determina la necessità di introdurre una vera e propria governance dei claim, con procedure di validazione ex ante e adeguata tracciabilità delle evidenze sottostanti. In altri termini, ogni claim dovrebbe essere supportato da un dossier probatorio contenente dati, metodologie di calcolo, test, certificazioni e fonti tecniche utilizzate. In vista dell’entrata in vigore, appare quindi opportuno procedere a un audit di packaging, advertising, siti web e comunicazioni ESG.
Incentivi alle imprese: in vigore il nuovo riordino, confermata la Nuova Sabatini
Corporate | Innovation & Incentives
Il 3 agosto è stato pubblicato in Gazzetta Ufficiale il decreto legislativo 26 giugno 2026, n. 138, in vigore dal 18 agosto, che riordina l’intera offerta di incentivi gestita dal Ministero delle Imprese e del Made in Italy: su 33 misure esistenti, 22 vengono soppresse, mentre l’intervento pubblico si concentra su cinque strumenti superstiti, tra cui compare, accanto al Fondo per la crescita sostenibile e al Fondo di garanzia PMI, proprio la nuova Sabatini. Per le imprese con procedimenti già avviati sugli incentivi eliminati resta comunque salva la disciplina previgente, grazie a un’apposita clausola di salvaguardia.
Sul piano finanziario, la Legge di Bilancio 2026 (l. 30 dicembre 2025, n. 199) ha confermato il rifinanziamento della misura per 650 milioni di euro nel biennio 2026-2027 (200 milioni per il 2026 e 450 milioni per il 2027).
Il riordino conferma la natura di aiuto di Stato automatico della Sabatini-ter, ma la inserisce in un quadro normativo in movimento che merita attenzione: la selezione di soli cinque strumenti agevolativi segnala una strategia di concentrazione delle risorse pubbliche, con possibili futuri interventi di coordinamento tra le discipline superstiti. A ciò si aggiunge un capitolo ancora aperto: il decreto ministeriale 18 giugno 2025 ha esteso ad alcuni incentivi l’obbligo di stipulare coperture assicurative contro calamità naturali ed eventi catastrofali, e il relativo adeguamento della Sabatini è affidato a un decreto interministeriale ancora in fase di definizione, che potrebbe tradursi a breve in un nuovo requisito di accesso per le imprese beneficiarie.
Nello specifico, la Sabatini-ter si articola in quattro linee operative: quella ordinaria, riservata all’acquisto di beni strumentali e software (tasso 2,75%); la linea 4.0 e la linea Green, che riconoscono un tasso maggiorato al 3,575% rispettivamente per gli investimenti tecnologici rientranti nel Piano Industria 4.0 e per quelli a ridotto impatto ambientale, muniti di apposita certificazione; infine la linea Capitalizzazione, destinata alle PMI che deliberano un aumento del capitale sociale pari ad almeno il 30% del finanziamento, con un contributo calcolato al 5% per micro e piccole imprese e al 3,575% per le medie.
Formazione privacy e AI literacy: obblighi operativi per le imprese
Compliance
Il GDPR e l’AI Act collocano la preparazione del personale tra i presidi organizzativi che imprese ed enti devono adottare e poter dimostrare: un recente intervento del Garante e l’avvio, nell’agosto 2026, della vigilanza sull’AI literacy rendono il tema direttamente verificabile dalle autorità.
Sul versante privacy, il GDPR impone al titolare e al responsabile di impartire istruzioni alle persone che operano sotto la loro autorità e di adottare misure organizzative adeguate al rischio, secondo gli artt. 29 e 32. Con provvedimento dell’11 giugno 2026, il Garante per la protezione dei dati personali ha sanzionato una ASL, rilevando che nessuno dei 44 dipendenti del reparto interessato aveva seguito corsi privacy e che le istruzioni asseritamente impartite oralmente non erano documentate. Il quadro accertato comprendeva inoltre la mancata designazione e documentazione degli autorizzati e l’incapacità del titolare di dimostrare istruzioni e misure organizzative adeguate.
A seguito delle modifiche introdotte dal Digital Omnibus, l’art. 4 dell’AI Act richiede a provider e deployer di adottare misure volte a sostenere lo sviluppo dell’AI literacy del personale e delle altre persone che utilizzano sistemi di IA per loro conto, tenendo conto delle competenze, dell’esperienza, della formazione e del contesto d’uso. Il Regolamento precisa tuttavia che tale obbligo non impone di garantire uno specifico livello predeterminato di alfabetizzazione. Dal 2 agosto 2026 l’applicazione e la vigilanza sull’obbligo competono alle autorità nazionali di vigilanza del mercato. Per i sistemi ad alto rischio, l’art. 26 aggiunge un presidio specifico: il deployer deve affidare la sorveglianza umana a persone dotate della necessaria competenza, formazione e autorità. Un unico corso indistinto per tutta l’organizzazione difficilmente basta: contenuti e profondità devono variare per utilizzatori, supervisori, funzioni legali e di controllo, team tecnici e management, coprendo almeno usi consentiti, dati inseribili, limiti degli output, supervisione ed escalation degli incidenti.
La formazione non sostituisce policy, controlli tecnici e procedure, ma consente alle persone di applicarli correttamente e all’organizzazione di dimostrare le misure adottate.
Approfondimenti
Obblighi di trasparenza in materia di intelligenza artificiale: le linee guida della Commissione Europea
Il 20 luglio 2026 la Commissione europea ha adottato le “Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of Regulation (EU) 2024/1689 (the ‘AI Act’)” (le “Linee Guida”), che forniscono orientamenti sugli obblighi di trasparenza a carico dei fornitori (“provider”) e degli utilizzatori (“deployer”) di sistemi di intelligenza artificiale…
Gli Stati Uniti accelerano sulla “Space Law Reform”
Gli Stati Uniti accelerano sullo sviluppo del trasporto spaziale commerciale, con un obiettivo ambizioso: raggiungere almeno 1.000 lanci e rientri all’anno entro il 2030…
