Il contesto
Con il d.lgs. 7 ottobre 2026, n. 179, il percorso di adeguamento dell’ordinamento italiano all’AI Act compie un ulteriore passaggio. Pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, il decreto è entrato in vigore il 23 ottobre. Il suo intervento si sviluppa lungo due direttrici: sul piano trasversale, definisce i poteri delle autorità nazionali chiamate a vigilare sull’applicazione della disciplina; sul piano settoriale, introduce disposizioni sull’impiego dell’intelligenza artificiale nella formazione, nelle professioni, nel lavoro, nella sanità e nella pubblica amministrazione.
Come è noto, l’atto in commento non è una fonte stand alone: si inserisce nel quadro già delineato dalla legge 23 settembre 2025, n. 132 (l’art. 24 della citata legge 132 ne rappresenta la base giuridica generale) affiancandosi al d.lgs. 9 settembre 2026, n. 160, che disciplina l’uso dell’IA nell’attività di polizia e interviene sui profili di responsabilità civile e penale. Nel loro insieme, questi interventi concorrono a definire l’attuazione nazionale del regolamento europeo. Peraltro, il decreto, pur definendo, come si commenterà, alcuni snodi essenziali dell’attuazione dell’AI Act, rinvia a successivi atti applicativi per la definizione di profili rilevanti.
La governance nazionale e la ripartizione delle competenze tra Autorità. Cenni su procedimenti e sanzioni.
Il Capo II del decreto si occupa del tema della ripartizione funzionale delle competenze tra autorità nazionali, distinguendo con chiarezza tra funzione di notifica e controllo degli organismi di valutazione di conformità e funzione di vigilanza del mercato.
AgID è individuata quale autorità nazionale di notifica. In tale veste, le competono le attività relative alla valutazione, designazione, notifica e sorveglianza degli organismi di valutazione di conformità dei sistemi di IA. Il suo ruolo, quindi, non è quello di vigilanza generale sugli operatori economici, ma quello - essenziale per l’architettura applicativa dell’AI Act - di presidiare il complesso dei soggetti terzi chiamati a verificare la conformità dei sistemi di intelligenza artificiale prima o durante la loro immissione sul mercato. ACN, invece, assume il ruolo di autorità nazionale di vigilanza del mercato nonché di punto di contatto unico nazionale, ossia il riferimento per i rapporti con il pubblico ed altri interlocutori anche istituzionali, a livello nazionale e dell’Unione, in relazione all’applicazione dell’AI Act. A quest’ultima spettano i poteri di controllo sugli operatori e sui sistemi di IA, compresi la verifica della conformità, la richiesta di informazioni e documenti, lo svolgimento di ispezioni, l’esecuzione di verifiche tecniche e l’adozione delle misure correttive previste dalla disciplina europea e nazionale. Alla stessa autorità è inoltre affidata la registrazione nazionale dei sistemi di IA ad alto rischio riconducibili all’allegato III, punto 2, dell’AI Act. Il decreto, peraltro, non centralizza integralmente la vigilanza, perché restano ferme le competenze settoriali. In particolare, Banca d’Italia, CONSOB e IVASS mantengono i poteri di vigilanza sui sistemi di IA ad alto rischio utilizzati nei rispettivi settori finanziari, mentre al Garante per la protezione dei dati personali spettano le funzioni attribuitegli dall’art. 74, par. 8, dell’AI Act.
Quanto al versante procedimentale e sanzionatorio, sempre al Capo II del decreto, sono disciplinate le misure che possono essere adottate nei confronti delle imprese. L’art. 23 coordina il sistema interno con i massimali previsti dall’art. 99 dell’AI Act, prevedendo sanzioni amministrative pecuniarie di particolare rilievo. Per la violazione dei divieti relativi alle pratiche di IA vietate, la sanzione può arrivare fino a 35 milioni di euro o, se superiore, al 7% del fatturato mondiale annuo dell’esercizio precedente. Per determinate violazioni degli obblighi imposti agli operatori, il massimo è fissato in 15 milioni di euro o, se superiore, nel 3% del fatturato mondiale annuo. Per la fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità competenti, il limite è di 7,5 milioni di euro o, se superiore, dell’1% del fatturato mondiale annuo. Infine, il mancato rispetto degli obblighi di cui all’art. 27 («Valutazione d’impatto sui diritti fondamentali per i sistemi di IA ad alto rischio») e all’art. 86 («Diritto alla spiegazione dei singoli processi decisionali») dell’AI Act è soggetto, ai sensi dell’art. 23, comma 4, del d.lgs. n. 179/2026, a una sanzione pecuniaria fino a 1 milione di euro ovvero, se superiore, fino allo 0,5% del fatturato mondiale totale annuo dell’esercizio precedente.
Il sistema non è però rigidamente incentrato sulle sole sanzioni amministrative di tipo pecuniario. Per le violazioni di scarsa offensività o pericolosità, l’autorità può adottare, in alternativa, misure non pecuniarie, consistenti nell’ordine di cessare l’infrazione e non reiterarla oppure, se la violazione è già cessata, in una dichiarazione pubblica. Si tratta di un meccanismo coerente con una logica di enforcement proporzionato. Tuttavia, l’eventuale inottemperanza all’ordine impartito comporta l’applicazione della sanzione amministrativa pecuniaria, aumentabile fino a un terzo, nei limiti dei massimi previsti.
Nella determinazione concreta dell’importo, il decreto richiama i criteri dell’AI Act e precisa che, per PMI, microimprese e start-up innovative, il massimo sanzionatorio applicabile sia pari al valore che risulti minore tra i seguenti: 1 milione di euro oppure lo 0,5% del fatturato mondiale totale annuo dell’esercizio precedente. Tale mitigazione consente di preservare la proporzionalità dell’intervento sanzionatorio rispetto alla struttura e alla capacità economica del soggetto obbligato.
Lo Spazio di sperimentazione italiano per l’IA
La portata del decreto, tuttavia, va oltre il tema delle autorità competenti, la definizione dei poteri di vigilanza. In primo luogo, il decreto istituisce il cosiddetto Spazio di sperimentazione italiano per l’IA, ossia una sandbox nazionale che sarà gestita AgID e ACN in modo congiunto, nei limiti delle proprie competenze. La norma richiama, inoltre, quelle che sono le finalità degli spazi di sperimentazione normativa come la promozione dell’innovazione, l’apprendimento normativo e l’accesso al mercato, solo per citarne alcune. La disciplina più compiuta dello spazio con particolare riferimento alle modalità di accesso è rimessa, tuttavia, ad un atto congiunto dei direttori generali di AgID e ACN (tale rinvio ad un futuro atto applicativo si giustifica anche in virtù del fatto che si è ancora in attesa dell’atto di esecuzione dell’art. 58 AI Act, recante le modalità operative delle sandbox).
Una novella che attraversa più settori
Ancora, il decreto si occupa di una serie di settori più specifici. Si occupa, ad esempio, dell’impiego dell’IA nei servizi per il lavoro (art. 48) e delinea misure per la tutela dei lavoratori e la sicurezza sul lavoro (artt. 41-42).
Tra le tutele previste dall’art. 41 si segnala, a titolo esemplificativo, la nullità del licenziamento e delle decisioni datoriali adottate in violazione degli obblighi previsti dal comma 1 della medesima disposizione, che riserva la decisione definitiva a una persona fisica dotata di un potere effettivo e autonomo e vieta che essa sia fondata unicamente su un trattamento automatizzato.
In ambito finanziario, inoltre, si riconosce anche un ruolo ai sistemi di risoluzione stragiudiziale delle controversie con la clientela, limitatamente ai ricorsi relativi a violazioni dell’AI Act commesse dagli intermediari aderenti nell’esercizio delle attività di loro competenza (art. 18).
Il decreto considera anche l’attività giudiziaria: demanda a successivi atti la definizione delle modalità per istituire e gestire spazi di sperimentazione dedicati a modelli e sistemi di IA applicabili in questo ambito (art. 30).
La formazione, infine, riguarda un pubblico ampio: studenti e docenti, professionisti, personale sanitario, dipendenti pubblici, magistrati e personale dell’amministrazione della giustizia (artt. 36-47 e 51).
Ne emerge un intervento complessivo che affianca alla vigilanza misure settoriali e formative, rivolte a governare l’adozione dell’IA nei diversi contesti sociali e produttivi.
Prime riflessioni
Il d.lgs. n. 179/2026 costituisce un atto multilivello: interviene su profili di carattere generale e, al tempo stesso, introduce disposizioni rivolte a specifici settori e categorie di destinatari.
Il nucleo centrale del decreto riguarda l’assetto delle autorità e la ripartizione delle rispettive competenze. Il coordinamento tra queste ultime emerge, peraltro, come uno dei profili più delicati per gli operatori. La distribuzione delle competenze e dei poteri dovrà tradursi in forme di cooperazione effettiva, capaci di assicurare indirizzi coerenti e prevedibili nell’esercizio della vigilanza. Da questo dipenderà, in larga misura, la capacità del nuovo quadro di coniugare tutela e innovazione, garantendo un’applicazione chiara e uniforme della disciplina e assicurando quella certezza del diritto che costituisce uno dei cardini fondamentali dell’ecosistema degli investimenti nel settore dell’IA.
