L’AI Act è in vigore anche in Italia e chiama le imprese a misurarsi con nuove regole sull’intelligenza artificiale. Chi è coinvolto, quali controlli e sanzioni sono previsti e quali priorità operative affrontare.
Il decreto legislativo 179/2026 entrerà in vigore il 23 ottobre e affida ad AgID, ACN e alle autorità settoriali i controlli sull’AI Act in Italia. Le sanzioni possono arrivare a 35 milioni di euro o al 7% del fatturato mondiale annuo. Pubblicato in Gazzetta Ufficiale l’8 ottobre, il provvedimento completa l’assetto nazionale di vigilanza.
Chi è coinvolto e quali regole valgono
Gli obblighi cambiano in base alla funzione svolta nella filiera. Il fornitore sviluppa o immette sul mercato un sistema di intelligenza artificiale; importatori e distributori sono tenuti a svolgere le attività di controllo e gestione previste per il loro ruolo. L’impresa che usa un sistema nella propria attività è invece un utilizzatore professionale, o deployer. Una stessa azienda può assumere più ruoli: dovrà quindi esaminare separatamente gli obblighi associati a ciascuno.
Dal 2 febbraio 2025 sono applicabili i divieti dell’AI Act sulle pratiche considerate inaccettabili e le disposizioni sull’alfabetizzazione in materia di IA. Rientrano tra le pratiche vietate le tecniche manipolative o ingannevoli che sfruttano vulnerabilità, la valutazione sociale delle persone in determinati contesti e alcune forme di identificazione biometrica remota in tempo reale negli spazi pubblici a fini di polizia. Per queste ultime il regolamento prevede eccezioni rigorose.
L’alfabetizzazione riguarda sia i fornitori sia gli utilizzatori professionali. A loro spetta adottare misure per promuovere competenze adeguate tra il personale e le persone che operano per loro conto, tenendo conto delle conoscenze e dell’esperienza di chi usa i sistemi, oltre che del contesto d’impiego.
Un’altra scadenza riguarda il lavoro. Dal 23 ottobre 2026, il decreto italiano stabilisce che assunzioni, modifiche del rapporto, licenziamenti, sanzioni disciplinari e valutazioni non siano decisi esclusivamente da un algoritmo. La decisione finale deve spettare a una persona dotata di potere autonomo effettivo.
Controlli, sanzioni e calendario europeo
Ad AgID, l’Agenzia per l’Italia digitale, spetta la funzione di autorità di notifica. L’ACN, Agenzia per la cybersicurezza nazionale, è invece l’autorità generale di vigilanza del mercato e il punto di contatto nazionale. Per i sistemi ad alto rischio collegati ai servizi finanziari, i controlli nei rispettivi settori sono affidati a Banca d’Italia, CONSOB e IVASS; restano ferme le competenze del Garante privacy.
Il decreto assegna alle autorità poteri ispettivi, di vigilanza e sanzionatori. Prevede anche la possibilità di ordinare la cessazione delle violazioni o, nei casi meno gravi, di adottare misure pubbliche.
I massimali variano in base alla violazione. Per le pratiche vietate si arriva a 35 milioni di euro o al 7% del fatturato mondiale annuo; per numerose violazioni degli obblighi previsti dal regolamento, a 15 milioni o al 3%. Le informazioni inesatte o fuorvianti fornite alle autorità possono comportare sanzioni fino a 7,5 milioni o all’1%. Per le violazioni sulla valutazione d’impatto sui diritti fondamentali e sul diritto alla spiegazione di specifiche decisioni, il limite è di 1 milione o dello 0,5%.
Per ciascuna violazione si applica l’importo più elevato tra la cifra fissa e la percentuale del fatturato mondiale annuo dell’esercizio precedente. Nel determinare la sanzione si considerano natura, gravità e circostanze della violazione. Per PMI, microimprese e startup innovative valgono i criteri specifici dell’articolo 99 dell’AI Act.
Per i sistemi ad alto rischio dell’Allegato III, tra cui alcuni impieghi nel lavoro, la scadenza europea indicata è il 2 dicembre 2027. Per i sistemi legati alla normativa di prodotto dell’Allegato I è invece fissata al 2 agosto 2028. Divieti e obblighi di trasparenza relativi a determinate interazioni o a contenuti generati si applicano prima di queste date.
Le priorità operative per le imprese
Per prepararsi, le imprese possono partire da una ricognizione documentata degli impieghi dell’IA e dei processi coinvolti. Alcuni passaggi richiedono attenzione specifica:
- Mappare strumenti e processi, compresi software acquistati, servizi cloud e sistemi inseriti nei flussi aziendali.
- Stabilire se l’impresa opera come fornitrice, importatrice, distributrice o utilizzatrice e classificare i sistemi in base alla finalità e al livello di rischio.
- Controllare i divieti e gli obblighi di trasparenza. Per i sistemi ad alto rischio occorre verificare responsabilità, istruzioni del fornitore, monitoraggio e conservazione delle evidenze richieste.
- Individuare i responsabili interni e registrare formazione, controlli, incidenti e decisioni. Nelle risorse umane servono una revisione umana sostanziale e informative ai lavoratori.
- Esaminare l’impatto sulla sicurezza: quando l’IA modifica organizzazione, ritmi o modalità di lavoro, i rischi vanno considerati nel DVR e comunicati ai lavoratori.
La verifica dei fornitori e dei contratti completa il lavoro di ricognizione. Tracciare decisioni e misure adottate permette di collegare gli obblighi al rischio concreto del sistema e al ruolo effettivamente svolto dall’impresa.
