Il prossimo 23 ottobre entrerà in vigore il D.Lgs. 179/2026 (il “Decreto”), secondo decreto attuativo della Legge italiana sull’intelligenza artificiale (L. 132/2025). Il Decreto si inserisce nel quadro normativo nazionale in materia di IA insieme al D.Lgs. 160/2026, dedicato all’utilizzo dell’IA da parte delle forze di polizia e contenente disposizioni in tema di responsabilità penale e civile (per maggiori approfondimenti, si rinvia al nostro precedente contributo “IA e responsabilità d’impresa: cosa cambia con il D.Lgs. 160/2026”). A una prima lettura, il Decreto potrebbe apparire principalmente incentrato sulla definizione delle competenze delle Autorità nazionali e sulla promozione della formazione in materia di IA nei settori dell’istruzione, delle professioni, della PA e della giustizia. In realtà, il Decreto contiene diverse disposizioni di immediato interesse anche per le imprese. Oltre a completare il quadro nazionale di coordinamento con l’AI Act, il Decreto introduce specifiche disposizioni sull’utilizzo dell’IA nei rapporti di lavoro, collega l’impiego dei sistemi di IA agli obblighi in materia di salute e sicurezza sul lavoro e istituisce lo Spazio di sperimentazione italiano per l’IA (c.d. sandbox AI), all’interno del quale i sistemi di IA possono essere testati in un ambiente controllato secondo condizioni e criteri predeterminati e sotto la vigilanza di AgID e ACN. Ma quali sono, in concreto, i principali profili di interesse del Decreto per le imprese? Governance Il Decreto definisce il sistema nazionale di governance dell’IA. In tale contesto, l’Agenzia per l’Italia digitale (“AgID”) viene designata quale autorità di notifica. Essa è pertanto responsabile dell’istituzione e dell’esecuzione delle procedure necessarie per la valutazione, la designazione, la notifica e il monitoraggio degli organismi di valutazione della conformità – ossia quegli enti indipendenti accreditati, previsti dall’AI Act, per verificare che i sistemi di IA ad alto rischio rispettivo i requisiti di sicurezza e trasparenza previsti dalla legge. All’Agenzia per la cybersicurezza nazionale (“ACN”) viene invece attribuito il ruolo di autorità nazionale di vigilanza del mercato sui sistemi di IA e di punto di contatto unico nazionale. Accanto ad AgID e ACN, il Decreto attribuisce specifiche competenze a Banca d’Italia, CONSOB e IVASS con riferimento ai sistemi di IA ad alto rischio impiegati nei rispettivi settori vigilati, nonché al Garante Privacy per i profili di propria competenza. La scelta del legislatore riflette un modello di vigilanza fondato sulla specializzazione settoriale delle Autorità coinvolte. Proprio per questo motivo, il Decreto prevede accordi, protocolli d’intesa e altre forme di cooperazione finalizzate ad assicurare il coordinamento tra le diverse Autorità competenti. Il Decreto rafforza inoltre i poteri ispettivi delle autorità: AgID può svolgere attività di audit e verifica, sia periodiche sia straordinarie, nonché avviare procedimenti relativi alla limitazione, sospensione o revoca della designazione degli organismi notificati. ACN potrà invece effettuare controlli anche sulle prove svolte in condizioni reali e condurre ispezioni senza preavviso. Sono infine previste sanzioni amministrative in linea con quanto stabilito dall’art. 99 dell’AI Act, fino a 35 milioni di euro o al 7% del fatturato mondiale annuo (per la violazione del divieto delle pratiche di IA vietate), oltre a misure correttive non pecuniarie per le violazioni caratterizzate da scarsa offensività o pericolosità. Lavoro, HR, salute e sicurezza Una delle disposizioni di maggiore impatto pratico riguarda l’utilizzo dell’IA nei rapporti di lavoro. Il Decreto conferma infatti un principio destinato a incidere direttamente sui processi HR: l’IA può supportare le decisioni, ma non può sostituire la responsabilità umana nelle scelte che producono effetti sui lavoratori. In particolare, il Decreto prevede che le decisioni finali relative a costituzione, modificazione o risoluzione del rapporto di lavoro, comprese le valutazioni delle prestazioni e l’adozione di provvedimenti disciplinari, non possano essere assunte unicamente sulla base di trattamenti automatizzati. La decisione finale deve essere rimessa a una persona fisica e il consenso del lavoratore non può costituire un’eccezione a tale divieto. Sono invece escluse da tale previsione le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle successive fasi del processo di selezione. Il datore di lavoro è inoltre tenuto a informare i lavoratori dell’utilizzo di tali sistemi di IA. Le decisioni adottate in violazione di tali disposizioni, così come gli eventuali licenziamenti conseguenti, sono espressamente qualificati dal Decreto come nulli. Il Decreto interviene anche sul versante della salute e sicurezza sul lavoro, collegando l’impiego dell’IA agli obblighi previsti dal Testo Unico in materia di salute e sicurezza (D.Lgs. 81/2008). I sistemi di IA che possono incidere sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o su processi decisionali rilevanti ai fini della sicurezza devono infatti essere presi in considerazione nell’ambito della valutazione dei rischi aziendali. I datori di lavoro sono inoltre tenuti a garantire adeguate attività di informazione e formazione dei lavoratori. Le disposizioni assumono particolare rilevanza per le organizzazioni che stanno introducendo strumenti di IA nei processi di selezione, valutazione delle performance, organizzazione del lavoro o gestione del personale. Non si tratta infatti soltanto di verificare la conformità all’AI Act, ma anche di valutare l’impatto di tali sistemi sugli obblighi lavoristici e prevenzionistici già previsti dall’ordinamento italiano. Tutela delle informazioni aziendali Anche i dati, gli algoritmi e i metodi matematici utilizzati per l’addestramento dei sistemi di IA possono assumere particolare rilevanza sotto il profilo della tutela delle informazioni aziendali. Il Decreto conferma infatti che, al ricorrere dei relativi presupposti, dati, algoritmi e metodi matematici utilizzati per l’addestramento possono beneficiare delle tutele previste per le informazioni aziendali riservate e per il know-how. La previsione assume rilievo in un contesto in cui il valore competitivo è sempre più legato a dati, metodologie e conoscenze tecniche utilizzate nello sviluppo delle soluzioni di IA. Per le imprese, ciò evidenzia l’importanza di individuare correttamente gli asset informativi strategici e di adottare misure idonee a garantirne la riservatezza e la protezione. Conclusioni e spunti operativi Il Decreto contiene diversi elementi che le imprese dovrebbero iniziare a considerare già oggi. Da un lato, la designazione delle Autorità competenti e il rafforzamento dei relativi poteri ispettivi contribuiscono a rendere più concreto il quadro di enforcement dell’AI Act in Italia. Dall’altro, le nuove regole sull’utilizzo dell’IA nei rapporti di lavoro e il collegamento con gli obblighi in materia di salute e sicurezza confermano come l’adozione di sistemi di IA non possa essere considerata una questione esclusivamente tecnologica. Per molte imprese, il Decreto rappresenta quindi un ulteriore segnale della necessità di affrontare la governance dell’IA in modo trasversale, coinvolgendo non soltanto le funzioni IT, ma anche HR, compliance, privacy, cybersecurity e sicurezza sul lavoro. In termini pratici, vista anche la prossima entrata in vigore del Decreto, potrebbe essere opportuno verificare:
