Indice
- Due decreti, un’unica architettura: la governance nazionale dell’intelligenza artificiale
- Sanzioni fino al 7% del fatturato mondiale: il rischio non è più teorico
- Lavoro e decisioni automatizzate: la supervisione umana diventa obbligo di legge
- Formazione e alfabetizzazione: l’AI literacy diventa requisito strutturale
- Responsabilità civile e nuovo reato: cosa rischiano fornitori e utilizzatori professionali
- Rapporti con i fornitori: la due diligence contrattuale non è più rinviabile
- I prossimi passi: una finestra utile, non una proroga
C’è una data che i responsabili compliance delle aziende italiane farebbero bene a segnare: 10 giugno 2026. Il Consiglio dei ministri, riunito a Palazzo Chigi, ha approvato in esame preliminare due schemi di decreto legislativo che danno attuazione alla legge delega 132/2025 e adeguano l’ordinamento italiano al Regolamento UE 2024/1689, il famoso AI Act europeo. Con questo passaggio l’Italia diventa, per dichiarazione dello stesso governo, la prima nazione europea a dotarsi di un quadro normativo nazionale organico sull’intelligenza artificiale, pienamente coerente con la cornice di Bruxelles.
La precisazione metodologica è doverosa: si tratta di un esame preliminare. I testi dovranno ora passare al vaglio delle commissioni parlamentari, della Conferenza delle Regioni e delle Authority competenti, prima del ritorno definitivo in Consiglio dei ministri. Qualcosa cambierà, com’è fisiologico. Ma l’architettura è tracciata, e per chi sviluppa, integra, acquista o semplicemente utilizza sistemi di intelligenza artificiale in contesti professionali, il messaggio è inequivocabile: il tempo dell’attesa è finito, comincia quello dell’adeguamento.
Due decreti, un’unica architettura: la governance nazionale dell’intelligenza artificiale
Il primo schema di decreto definisce il sistema nazionale di governance, vigilanza, sanzioni e sperimentazione, e disciplina inoltre l’impiego dell’IA nella formazione e nel mondo del lavoro. Il secondo regola l’utilizzo dei sistemi di intelligenza artificiale nelle attività di polizia e in ambito penale, con previsioni rilevanti anche sul fronte della responsabilità civile e delle responsabilità dei fornitori.
Per le imprese, il cuore operativo sta nell’assetto istituzionale. L’Agenzia per l’Italia Digitale assumerà il ruolo di autorità di notifica, responsabile della valutazione degli organismi di conformità chiamati a certificare i sistemi ad alto rischio. L’Agenzia per la Cybersicurezza Nazionale sarà invece l’autorità di vigilanza del mercato e il punto di contatto unico verso l’Unione Europea. Il quadro si completa con le competenze settoriali: per il comparto finanziario e assicurativo la vigilanza spetterà a Banca d’Italia, CONSOB e IVASS, mentre il Garante per la protezione dei dati personali manterrà la competenza sui sistemi ad alto rischio previsti dall’articolo 74 dell’AI Act, dalla biometria per finalità di contrasto all’amministrazione della giustizia.
Tradotto in pratica: a seconda del settore in cui un’azienda opera e del tipo di sistema che impiega, l’interlocutore regolatorio cambia. Sapere a quale autorità si risponde, con quali procedure e con quali regolamenti interni, diventa una delle prime voci di qualunque assessment serio.
Sanzioni fino al 7% del fatturato mondiale: il rischio non è più teorico
Il regime sanzionatorio ricalca quello dell’AI Act, e non fa sconti. Le sanzioni amministrative possono raggiungere i 35 milioni di euro o il 7% del fatturato mondiale annuo nei casi più gravi, vale a dire l’utilizzo di pratiche di intelligenza artificiale vietate. Sono previste agevolazioni e riduzioni per PMI e start-up, una concessione al tessuto produttivo italiano che però non cambia la sostanza: la compliance sull’IA esce dalla categoria delle buone intenzioni ed entra in quella del rischio d’impresa quantificabile.
Accanto al bastone, una carota interessante. Viene istituito uno spazio di sperimentazione italiano per l’IA, una sandbox regolatoria gestita congiuntamente da AgID e ACN, in cui sviluppatori e start-up potranno testare i propri sistemi prima dell’immissione sul mercato, godendo di supporto normativo. Per chi opera in settori regolamentati come la sanità, la diagnostica o il medtech, la possibilità di validare un sistema in un ambiente controllato prima del lancio commerciale è un’opportunità da non sottovalutare, anche come argomento negoziale verso investitori e partner.
Lavoro e decisioni automatizzate: la supervisione umana diventa obbligo di legge
Il capitolo lavoro è forse quello con l’impatto organizzativo più immediato. Il principio cardine è che nei processi decisionali legati al rapporto di lavoro, dalle assunzioni alle sanzioni disciplinari fino ai licenziamenti, le decisioni non potranno mai basarsi unicamente su sistemi automatizzati. La supervisione di una persona fisica è sempre richiesta, e la conseguenza in caso di violazione è la più drastica che il diritto del lavoro conosca: il licenziamento intimato in violazione di questo principio è nullo.
Per le direzioni HR che hanno adottato, magari senza una mappatura puntuale, strumenti di screening dei curricula, sistemi di valutazione delle performance o software di workforce management con componenti algoritmiche, la conseguenza è chiara. Occorre ricostruire dove l’IA interviene nei processi decisionali sulle persone, documentare il punto in cui la valutazione umana entra nel flusso e renderla sostanziale, non un timbro apposto a valle di una decisione già presa dalla macchina.
C’è poi una novità che riguarda direttamente il mondo delle professioni: l’utilizzo di sistemi di IA potrà incidere sulla modulazione dell’equo compenso dei liberi professionisti, in funzione del livello di rischio del sistema impiegato. Entro dodici mesi dall’entrata in vigore del decreto, i parametri ministeriali per i compensi minimi dovranno essere aggiornati di conseguenza. Avvocati, commercialisti, consulenti, comunicatori: il modo in cui si usa l’IA entrerà, letteralmente, nel calcolo di quanto vale il proprio lavoro.
Formazione e alfabetizzazione: l’AI literacy diventa requisito strutturale
I decreti prevedono percorsi formativi sull’intelligenza artificiale per studenti, docenti, personale della pubblica amministrazione e della giustizia, e soprattutto l’inserimento obbligatorio dell’alfabetizzazione all’IA nella formazione continua dei professionisti e del personale sanitario. Non è una dichiarazione di principio a costo zero: per l’attuazione in ambito scolastico il governo ha stanziato 100 milioni di euro a valere sul programma nazionale Scuola e Competenze 2021-2027, con moduli STEAM che potranno svilupparsi anche nei percorsi scuola-lavoro.
Per le aziende del settore salute, e in generale per chi opera con personale soggetto a formazione continua obbligatoria, il segnale è doppio. Da un lato si apre un mercato della formazione qualificata sull’IA applicata ai contesti professionali; dall’altro, la competenza interna sull’intelligenza artificiale smette di essere un vantaggio competitivo opzionale e diventa un requisito di conformità, da documentare come si documenta oggi la formazione sulla sicurezza.
Responsabilità civile e nuovo reato: cosa rischiano fornitori e utilizzatori professionali
Il secondo decreto introduce le novità più affilate sul piano della responsabilità. Nasce il reato di omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi: sviluppatori o utilizzatori professionali che omettono le misure di sicurezza per i sistemi ad alto rischio, causando pericolo per la vita, rischiano da uno a cinque anni di reclusione, con pene fino a dieci anni se l’alterazione illecita mette a rischio la sicurezza dello Stato. Il dettaglio che dovrebbe far drizzare le antenne a ogni consiglio di amministrazione è un altro: il nuovo reato entra nel catalogo dei reati presupposto della responsabilità amministrativa degli enti ai sensi del decreto legislativo 231/2001. I modelli organizzativi 231 andranno aggiornati, e l’IA dovrà figurare tra i rischi mappati.
Sul versante civilistico, in coerenza con la direttiva europea sulla responsabilità da prodotto da recepire entro il 9 dicembre 2026, si introduce un meccanismo che alleggerisce sensibilmente l’onere probatorio del danneggiato: nelle cause per danni causati da un sistema di IA, se viene accertata la violazione delle regole europee, ad esempio quelle su trasparenza e governance per i sistemi ad alto rischio, il nesso di causalità tra violazione e danno si presume. Il giudice potrà inoltre ordinare alle aziende di esibire i registri tecnici e il codice di funzionamento del sistema, con tutele per i segreti commerciali, e le vittime potranno agire direttamente contro l’assicurazione del responsabile.
In altre parole, la documentazione tecnica smette di essere un adempimento burocratico e diventa la prima linea di difesa processuale. Chi non sarà in grado di dimostrare, carte alla mano, di aver rispettato le regole, partirà in giudizio con una presunzione contro.
Rapporti con i fornitori: la due diligence contrattuale non è più rinviabile
C’è infine una conseguenza trasversale che attraversa tutti i capitoli del pacchetto: la responsabilità non si esaurisce in chi sviluppa il sistema, ma si distribuisce lungo la catena del valore, coinvolgendo gli utilizzatori professionali. Per le aziende che acquistano soluzioni di IA da terzi, dai chatbot ai sistemi diagnostici fino agli strumenti di analisi predittiva, questo significa rivedere i contratti di fornitura. Servono clausole su conformità all’AI Act, obblighi di trasparenza e documentazione, ripartizione delle responsabilità, accesso ai registri tecnici in caso di contenzioso, coperture assicurative adeguate.
La domanda da porre a ogni fornitore, da oggi, non è più soltanto cosa fa il sistema, ma come è classificato, quali misure di sicurezza incorpora e quale documentazione è in grado di esibire. E la domanda da porsi internamente è speculare: la mia organizzazione sa quali sistemi di IA usa, dove, e con quale livello di rischio?
I prossimi passi: una finestra utile, non una proroga
Il percorso parlamentare lascerà alle imprese qualche mese di visibilità prima dell’approvazione definitiva. Sarebbe un errore leggerlo come una proroga: è semmai una finestra utile per fare ciò che i meglio organizzati hanno già avviato. Mappare i sistemi di IA in uso e in sviluppo, classificarli secondo le categorie di rischio dell’AI Act, identificare l’autorità di riferimento, aggiornare i modelli 231, formare il personale, rinegoziare i contratti con i fornitori e, dove ha senso, candidarsi alla sandbox nazionale.
L’approccio antropocentrico rivendicato dal governo, la persona al centro e non la macchina, si traduce per le aziende in un principio operativo molto concreto: ovunque ci sia un sistema di intelligenza artificiale che tocca diritti, lavoro, salute o sicurezza, deve esserci una responsabilità umana documentata e rintracciabile. Chi costruisce ora questa tracciabilità si troverà conforme quando i decreti entreranno in vigore. Chi aspetta, scoprirà che il 7% del fatturato mondiale è una percentuale che concentra meravigliosamente l’attenzione.
