Il decreto legislativo 179/2026 è il tassello che trasforma in poteri concreti il quadro europeo sull’intelligenza artificiale e la legge italiana che lo ha preceduto. In 54 articoli:
- stabilisce quali autorità vigilano, con quali strumenti ispettivi e con quali sanzioni
- istituisce uno spazio nazionale di sperimentazione per le imprese
- protegge il lavoratore dalle decisioni automatizzate
- impone percorsi di formazione a scuola, nelle università, nelle professioni e nella pubblica amministrazione
Entra in vigore il 23 ottobre 2026.
Dai nomi sulla carta ai poteri reali
La legge italiana sull’intelligenza artificiale, approvata nel settembre 2025, aveva già indicato i soggetti pubblici chiamati a presidiare il settore: l’Agenzia per l’Italia digitale, cioè l’ente che governa la trasformazione digitale dello Stato, e l’Agenzia per la cybersicurezza nazionale, l’autorità che tutela il Paese dalle minacce informatiche.
Mancava però lo strumento operativo: la legge aveva assegnato alle due agenzie la responsabilità della vigilanza in linea di principio, ma rinviava a un decreto successivo la definizione dei poteri ispettivi concreti e del quadro sanzionatorio.
Il decreto colma quel vuoto distribuendo le competenze. L’Agenzia per la cybersicurezza nazionale diventa l’autorità generale di vigilanza del mercato e il punto di contatto unico verso l’Unione europea, con poteri di controllo che arrivano fino alle ispezioni senza preavviso sui test condotti in condizioni reali.
L’Agenzia per l’Italia digitale assume il ruolo di autorità di notifica: valuta, designa e sorveglia gli organismi privati che certificano la conformità dei sistemi di IA, potendo sottoporli ad audit.
Nel settore finanziario restano competenti Banca d’Italia, CONSOB, l’autorità che vigila sui mercati finanziari, e IVASS, l’istituto che vigila sulle assicurazioni, ciascuna sui sistemi ad alto rischio del proprio comparto. Al Garante per la protezione dei dati personali spetta una fetta circoscritta di vigilanza.
Un Comitato di coordinamento tiene insieme il sistema, mentre protocolli d’intesa coinvolgono Guardia di finanza, Polizia di Stato, Carabinieri e Direzione investigativa antimafia nelle attività di controllo sul campo.
Quanto costa violare le regole sull’IA
Il capitolo sanzionatorio pesa più di qualunque altro passaggio del decreto per le imprese. Il decreto costruisce una scala di sanzioni amministrative pecuniarie graduata per tipo di violazione, con l’importo calcolato in alternativa su una cifra fissa o su una percentuale del fatturato mondiale, applicando la più alta delle due. Il livello massimo riguarda le pratiche che il regolamento europeo vieta in assoluto.
Salvo che il fatto costituisca reato, la non conformità al divieto delle pratiche di cui all’articolo 5 del regolamento IA è soggetta alla sanzione amministrativa pecuniaria fino a euro 35.000.000 ovvero, se superiore, fino al 7 per cento del fatturato mondiale totale annuo dell’esercizio precedente.
Art. 23, comma 1
Per le realtà più piccole esiste un trattamento di favore: piccole e medie imprese, microimprese e start-up innovative seguono il criterio più mite previsto dal regolamento europeo, che tiene conto delle dimensioni dell’impresa.
Per le piccole e medie imprese, ivi incluse le microimprese, e le start-up innovative, la sanzione è determinata secondo il criterio di cui all’articolo 99, paragrafo 6, del regolamento IA.
Art. 23, comma 7
Non tutto si traduce in denaro. Per le violazioni di scarsa gravità le autorità possono limitarsi a ordinare la cessazione del comportamento o a rendere pubblica la violazione con il nome del responsabile, una sanzione reputazionale che non ne svuota le casse. Chi ignora l’ordine di cessazione rischia un aggravamento della sanzione fino a un terzo.
qualora l’infrazione contestata sia cessata, applicare una sanzione consistente nella dichiarazione pubblica avente ad oggetto la violazione commessa e il soggetto responsabile.
Art. 22, comma 1, lett. b)
I proventi delle sanzioni seguono percorsi distinti: quelli raccolti dall’Agenzia per la cybersicurezza vanno al Ministero dell’economia e delle finanze, quelli dell’Agenzia per l’Italia digitale restano nel suo bilancio.
Uno spazio protetto per sperimentare
Chi sviluppa sistemi di intelligenza artificiale ha ora un luogo dove testarli sotto la supervisione delle autorità prima di immetterli sul mercato. È la cosiddetta sandbox regolamentare, uno spazio in cui l’impresa sperimenta e il regolatore impara come applicare le regole a tecnologie che cambiano in fretta.
È istituito, sotto la vigilanza diretta delle Autorità nazionali per l’intelligenza artificiale, lo Spazio di sperimentazione italiano per l’IA, ai sensi dell’articolo 57 del regolamento IA.
Art. 26, comma 1
L’accesso è aperto a criteri di eleggibilità definiti dalle autorità, con priorità per le piccole e medie imprese e le start-up. La gestione strategica passa dal Comitato di coordinamento, previa consultazione dei portatori di interesse e delle Regioni; quella operativa è affidata a un gruppo paritetico delle due agenzie, i cui componenti non percepiscono compensi.
Il decreto apre anche la strada a spazi di sperimentazione specializzati:
- uno duale con il Ministero della difesa
- uno giudiziario con il Ministero della giustizia
- versioni regionali o locali, concordate con gli enti territoriali
Il Comitato riferisce gli esiti ogni anno all’ufficio europeo per l’IA e alla Presidenza del Consiglio.
Gli istituti finanziari possono muoversi su due binari, affiancando a questo spazio la sperimentazione FinTech già esistente, ora aperta anche allo scambio di informazioni con l’Agenzia per la cybersicurezza.
Nessun licenziamento deciso da un algoritmo
È la parte del decreto che tocca più direttamente la vita quotidiana di chi lavora. Fino a oggi la tutela poggiava sul principio europeo in materia di dati personali, che riconosce il diritto a non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato, senza però una disciplina italiana che ne specificasse gli effetti sul rapporto di lavoro.
Ora il perimetro è esplicito. Le decisioni su assunzione, modifica e cessazione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non possono essere assunte da un sistema automatizzato. Restano fuori dal divieto le fasi di ricerca e selezione delle candidature, anche quando comportano l’esclusione dai passaggi successivi.
La decisione definitiva è in ogni caso riservata a una persona fisica, che eserciti un potere effettivo e autonomo. […] Il consenso del lavoratore non costituisce un’eccezione al divieto di cui al presente comma.
Art. 41, comma 1
Neanche il consenso del lavoratore rende legittima la procedura: chi accettasse per iscritto di essere valutato da una macchina non renderebbe valido l’atto. Il datore di lavoro deve informare preventivamente il personale sull’uso di questi sistemi e, su richiesta, fornire una motivazione comprensibile della decisione presa.
La sanzione per chi non rispetta il divieto è radicale: l’atto non è annullabile, è privo di effetti sin dall’origine.
Il licenziamento intimato in violazione del comma 1 è nullo. Le decisioni assunte dal datore di lavoro in violazione del comma 1 sono nulle.
Art. 41, comma 4
Il decreto porta l’intelligenza artificiale anche dentro la sicurezza sul lavoro: i rischi legati a questi sistemi entrano nella valutazione dei rischi aziendale, con obblighi di informazione e formazione per i lavoratori. E impone supervisione umana e trasparenza nell’uso dell’IA da parte dei servizi per il lavoro, pubblici e accreditati.
La formazione diventa un obbligo con scadenze
Il titolo del decreto cita l’utilizzo dell’IA nella formazione, e qui si concentra la parte più ampia del testo. La logica è la stessa per tutti i settori, con contenuti minimi comuni che intrecciano profili tecnici, giuridici ed etici. Cambiano invece gli obblighi per ciascun destinatario.
- Scuola: le attività sull’IA sono facoltative e rientrano nell’educazione civica e nell’autonomia degli istituti, con moduli STEAM, cioè percorsi che uniscono discipline scientifiche, tecnologiche e artistiche. La formazione di docenti e studenti diventa invece obbligatoria con un decreto del Ministero dell’istruzione e del merito, atteso entro 90 giorni dall’entrata in vigore.
- Emergenza educativa: un piano di formazione dei docenti sugli effetti di social media e intelligenza artificiale deve partire entro 90 giorni, con interventi rivolti anche a studenti e famiglie e un finanziamento fino a 100 milioni di euro a carico del programma nazionale Scuola e Competenze 2021-2027. È l’unica voce esclusa dalla clausola che vieta nuove spese pubbliche.
- Adulti: i centri provinciali per l’istruzione degli adulti attivano percorsi di alfabetizzazione sull’IA, con riconoscimento delle competenze acquisite e collegamento alle politiche per l’occupazione.
- Università, AFAM e ITS Academy: le attività formative sull’IA entrano nei corsi delle università, delle accademie di alta formazione artistica e musicale e degli istituti tecnici superiori, differenziate per profilo disciplinare, con monitoraggio ministeriale annuale. Il personale accademico può essere assegnato temporaneamente alle autorità di vigilanza fino a tre anni, con riconoscimento ai fini di carriera.
- Professioni: i consigli nazionali di ordini e collegi hanno sei mesi per adeguare i regolamenti e inserire un monte ore minimo di formazione sull’IA. Per le professioni sanitarie serve un accordo in Conferenza Stato-Regioni nello stesso termine, e la Commissione nazionale per la formazione continua deve stabilire quale quota dell’obbligo triennale destinare all’IA.
- Giustizia e pubblica amministrazione: la Scuola superiore della magistratura e il Ministero della giustizia formano il personale giudiziario in base alle funzioni e al rischio dei sistemi usati; il Ministro per la pubblica amministrazione definisce indirizzi su reclutamento, formazione e riqualificazione dei dipendenti pubblici.
C’è anche un effetto economico diretto per i liberi professionisti: l’equo compenso, cioè il parametro che fissa il corrispettivo minimo delle prestazioni professionali, verrà modulato in base all’uso di sistemi di IA e alla loro classificazione di rischio. I decreti sui parametri vanno integrati entro dodici mesi.
Dati e algoritmi di addestramento diventano segreto commerciale
Un intervento breve nel testo ma di peso per le imprese tecnologiche riguarda la proprietà industriale. Il codice italiano protegge come segreto commerciale le informazioni aziendali che restano riservate, hanno valore economico e sono difese da misure adeguate. Finora non era scritto da nessuna parte che quella protezione coprisse il materiale con cui si addestra un sistema di intelligenza artificiale.
Tra le informazioni aziendali e le esperienze tecnico-industriali di cui al comma 1, se ricorrono le condizioni di cui alle lettere a), b) e c) del medesimo comma 1, sono ricompresi anche i dati, gli algoritmi e i metodi matematici per l’addestramento di sistemi di intelligenza artificiale.
Art. 52, comma 1 (nuovo art. 98, comma 1-bis, c.p.i.
Le condizioni non cambiano: chi vuole tutelare un dataset o un metodo matematico deve dimostrare di averlo tenuto effettivamente riservato. Le controversie restano assegnate ai tribunali delle imprese, le sezioni specializzate che già decidono sulle cause in materia industriale.
Chi può reclamare e come
Il decreto chiarisce anche il percorso per chi ritiene di aver subito gli effetti di un sistema di IA non conforme. I reclami vanno alle autorità nazionali di vigilanza del mercato, ciascuna per il proprio ambito.
Quando la violazione riguarda un istituto finanziario aderente, la competenza passa ai sistemi di risoluzione stragiudiziale delle controversie bancarie, assicurative e finanziarie, cioè gli arbitri e gli organismi che già oggi decidono le liti tra clienti e intermediari senza passare dal giudice.
Il procedimento sanzionatorio prevede la contestazione degli addebiti e la pubblicazione dei provvedimenti, che in presenza di determinate condizioni può avvenire in forma anonima.
Banca d’Italia, CONSOB, IVASS e Garante privacy applicano le procedure sanzionatorie dei rispettivi settori, mentre le due agenzie nazionali adotteranno regolamenti propri.
Cosa aspettarsi nei prossimi mesi
L’impianto è in vigore dal 23 ottobre 2026, ma una parte consistente degli effetti pratici dipende da decreti e regolamenti attuativi ancora da scrivere. Il calendario più stringente è quello della scuola, con il piano docenti e il decreto sulla formazione obbligatoria attesi entro gennaio 2027, e quello delle professioni, dove gli ordini hanno tempo fino alla primavera.
Tutto il resto, dai poteri ispettivi alle sanzioni fino al divieto di decisioni automatizzate sul lavoro, è invece già operativo senza bisogno di ulteriori passaggi: chi sviluppa, vende o usa sistemi di intelligenza artificiale in Italia ha da subito un’autorità che può controllarlo e un lavoratore che può opporsi a un algoritmo.