Dal 23 ottobre 2026 ACN e AgID saranno al centro della vigilanza sull’AI Act in Italia. Tra ruoli, obblighi già in vigore, scadenze e sanzioni, le imprese dovranno orientarsi in un quadro di controlli articolato.
Dal 23 ottobre 2026 l’ACN è l’autorità italiana di vigilanza del mercato per l’intelligenza artificiale; all’AgID spettano invece la notifica e la sorveglianza degli organismi di valutazione della conformità. La data deriva dal decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale l’8 ottobre. Trascorsi i quindici giorni di vacatio legis, il provvedimento ha reso operativo il presidio nazionale previsto dall’AI Act. Gli obblighi cambiano in base alla categoria del sistema e al ruolo di chi lo sviluppa o lo utilizza.
ACN e AgID: chi controlla i sistemi
L’ACN, Agenzia per la cybersicurezza nazionale, vigila sul mercato e rappresenta il punto di contatto unico con le istituzioni europee. Ha il potere di verificare il rispetto delle regole e di svolgere ispezioni. All’AgID, Agenzia per l’Italia Digitale, competono la designazione e la sorveglianza degli organismi incaricati di valutare la conformità, compresi quelli che certificano i sistemi ad alto rischio. Vigilanza del mercato e valutazione della conformità fanno capo a interlocutori diversi.
Restano attive anche le autorità con competenze settoriali. Banca d’Italia, CONSOB e IVASS operano negli ambiti finanziario e assicurativo; il Garante per la protezione dei dati personali interviene quando vengono trattati dati personali. Il GDPR continua ad applicarsi, per esempio ai dati usati per addestrare un modello o durante il suo impiego. Le procedure da seguire dipendono quindi dal sistema e dall’attività svolta.
Il Regolamento europeo 2024/1689 individua le pratiche vietate, i sistemi ad alto rischio e gli altri impieghi, per i quali possono valere obblighi specifici, compresi quelli di trasparenza. Le regole europee sulle pratiche vietate si applicano dal 2 febbraio 2025. Tra gli usi ad alto rischio rientrano applicazioni capaci di incidere su opportunità e diritti, come la selezione dei candidati, la valutazione del merito creditizio e il supporto a decisioni in settori sensibili.
Obblighi e scadenze: cosa vale già
Le scadenze europee non coincidono. Le disposizioni generali e gli obblighi di trasparenza previsti dall’articolo 50 si applicano dal 2 agosto 2026. Per alcuni sistemi generativi già immessi sul mercato prima di quella data è stato stabilito un periodo transitorio per la marcatura, che termina il 2 dicembre 2026. Dopo la modifica introdotta dal Digital Omnibus, gli obblighi relativi ai sistemi ad alto rischio dell’Allegato III sono programmati dal 2 dicembre 2027; per quelli dell’Allegato I la data è il 2 agosto 2028.
Fornitori e utilizzatori professionali, definiti deployer, hanno compiti diversi. Al fornitore spetta rispettare gli obblighi legati alla progettazione e alla conformità. Chi utilizza il sistema deve attenersi alle istruzioni, assicurare la supervisione umana quando è richiesta e gestire l’impiego nel proprio contesto. Se un’azienda modifica sostanzialmente un sistema o lo vende con il proprio nome, può assumere gli obblighi del fornitore. Per i sistemi soggetti alle regole, documentazione, tracciabilità e informazioni sul funzionamento consentono di ricostruirne l’uso e di rispondere ai controlli.
Nel lavoro, il decreto italiano stabilisce che le decisioni finali su assunzione, valutazione, disciplina e cessazione del rapporto siano affidate a una persona dotata di effettivo potere decisionale e autonomia. I lavoratori possono chiedere una spiegazione comprensibile della decisione. L’impiego dell’IA può inoltre richiedere l’aggiornamento del documento di valutazione dei rischi e la formazione del personale, quando incide sull’organizzazione o sulla sicurezza.
Per i risparmiatori, un algoritmo può concorrere alla valutazione del merito creditizio e incidere sulle decisioni relative a un prestito o alle condizioni di accesso. Quando la decisione si basa esclusivamente su trattamenti automatizzati e produce effetti giuridici o analogamente significativi, il GDPR prevede le garanzie dell’articolo 22. Nei casi contemplati sono inclusi l’intervento umano e la possibilità di contestare la decisione.
Sanzioni e controlli per le imprese
Per le pratiche vietate, l’AI Act fissa un massimo di 35 milioni di euro o del 7% del fatturato mondiale annuo; per le imprese si applica il valore più alto. Per le altre violazioni degli obblighi, il limite è di 15 milioni di euro o del 3%; per le informazioni scorrette fornite alle autorità, di 7,5 milioni o dell’1%. La sanzione effettiva viene determinata considerando la violazione e i criteri di proporzionalità. Il decreto nazionale regola l’applicazione delle sanzioni in Italia, mentre per le PMI stabilisce il criterio più favorevole tra importo fisso e percentuale.
Per avviare una verifica interna, l’impresa può partire dall’inventario degli strumenti utilizzati, delle relative finalità, dei dati trattati e dei soggetti che forniscono i sistemi. Occorre poi classificarli, stabilire se l’azienda opera come fornitore o deployer e assegnare responsabilità, supervisione e formazione. Contratti e procedure dovrebbero garantire l’accesso alle informazioni tecniche necessarie e la conservazione delle evidenze rilevanti, con tutele adeguate. Per gli aggiornamenti attuativi e le indicazioni operative, i riferimenti istituzionali sono le comunicazioni di ACN e AgID.
