Cosa cambiano davvero i decreti del governo sull’intelligenza artificiale

Il Consiglio dei Ministri ha approvato in via preliminare le bozze di due decreti legislativi che definiscono come Italia intende recepire il Regolamento Ue 2024/1689, noto come AI Act, sulla base della delega conferita dal Parlamento con la Legge 132/2025. Le bozze tracciano il quadro normativo nazionale per governance, vigilanza, sanzioni, strumenti di sperimentazione e l’impiego dell’intelligenza artificiale nei settori della formazione, del lavoro, della giustizia e delle attività di polizia.

Si tratta di testi ancora suscettibili di modifiche nel passaggio parlamentare e nella successiva approvazione definitiva in Consiglio dei Ministri, ma costituiscono la base sulla quale verrà costruito il regime regolatorio italiano per l’IA nei prossimi anni.

Assetto istituzionale e ruolo delle autorità

Il primo decreto individua le autorità nazionali competenti e ne definisce i compiti. AgID sarà designata come autorità di notifica e responsabile della valutazione degli organismi di conformità, mentre ACN (Agenzia per la Cybersicurezza Nazionale) fungerà da autorità di vigilanza del mercato e da punto di contatto unico verso l’Unione Europea. Per i settori finanziario e assicurativo, le funzioni di controllo verranno esercitate da Banca d’Italia, CONSOB e IVASS, nel rispetto delle discipline settoriali vigenti.

Il Garante per la protezione dei dati personali manterrà la competenza su specifiche applicazioni ad alto rischio, come sistemi biometrici utilizzati per contrasto alla criminalità, strumenti per la gestione delle frontiere, e sistemi impiegati nell’amministrazione della giustizia e nei processi elettorali, coerentemente con l’articolo 74 dell’AI Act.

Sanzioni, procedure e misure correttive

Le bozze recepiscono le sanzioni previste a livello europeo: per le violazioni più gravi sono previste ammende fino a 35 milioni di euro o fino al 7% del fatturato globale annuo. Sono contemplate forme di mitigazione e agevolazioni per le PMI e le start-up, oltre a procedure differenziate a seconda dell’autorità competente. Viene inoltre prevista la possibilità di impartire ordini prescrittivi per sospendere o limitare l’immissione sul mercato di sistemi non conformi.

Spazi di sperimentazione e innovazione

Per favorire l’innovazione è istituito uno “Spazio di sperimentazione italiano per l’IA” gestito congiuntamente da AgID e ACN. Questo ambiente controllato consentirà a sviluppatori, imprese e start-up di testare soluzioni in condizioni regolamentate prima dell’immissione sul mercato, con supporto tecnico e indicazioni normative mirate.

Intelligenza artificiale e mercato del lavoro

Il primo decreto dedica ampio spazio alle applicazioni dell’IA nei rapporti di lavoro, ponendo il principio che strumenti automatizzati debbano essere usati per tutelare i lavoratori e aggiornare le competenze. Le decisioni rilevanti per il rapporto di lavoro — assunzioni, sanzioni e licenziamenti — non potranno essere basate unicamente su processi automatici: occorre sempre la supervisione di una persona fisica e l’eventuale licenziamento determinato esclusivamente da un algoritmo sarà nullo.

La regolazione prevede anche che l’uso dell’IA possa influire sulla determinazione dell’equo compenso per i professionisti, modulando tariffe e parametri in funzione del livello di rischio introdotto dal sistema utilizzato. Entro dodici mesi dall’entrata in vigore, i decreti ministeriali che stabiliscono i parametri per i compensi professionali dovranno essere aggiornati per tenere conto di questi criteri.

Formazione e competenze

Per accompagnare la transizione tecnologica il testo introduce obblighi formativi: percorsi dedicati all’alfabetizzazione digitale e all’IA destinati a studenti, docenti, personale della pubblica amministrazione e operatori della giustizia. È prevista l’inclusione dell’alfabetizzazione all’IA nella formazione continua di professionisti e personale sanitario e l’inserimento di moduli STEAM nei curricula scolastici, con possibilità di integrazione tramite percorsi scuola-lavoro.

Il Governo ha previsto uno stanziamento di 100 milioni di euro sul programma nazionale PN Scuola e Competenze 2021–2027 per sostenere l’attuazione di queste misure formative.

Uso dell’IA da parte delle forze dell’ordine

Il secondo decreto disciplina l’impiego dell’IA nelle attività di polizia e penali, fissando limiti stringenti per la tutela della privacy e dei diritti fondamentali. L’uso della identificazione biometrica remota in tempo reale negli spazi pubblici è fortemente circoscritto: ammesso solo in presenza di minacce imminenti, per il rintraccio di persone scomparse o vittime di gravi reati, o per individuare indagati per reati specifici.

L’attivazione di sistemi biometrici in tempo reale richiederà l’autorizzazione preventiva di un giudice o del pubblico ministero e potrà essere disposta per un periodo limitato, fino a 15 giorni. In situazioni di estrema urgenza è previsto un meccanismo di attivazione immediata con successiva convalida del pubblico ministero e del giudice entro 48–72 ore, a pena di distruzione dei dati raccolti.

Viene inoltre vietata la creazione di banche dati facciali ottenute mediante il cosiddetto scraping indiscriminato di immagini da internet o da impianti di videosorveglianza; l’uso del riconoscimento facciale integrato nella videosorveglianza è ammesso soltanto dopo la commissione di un reato e per identificare persone già indiziate sulla base di elementi oggettivi.

Responsabilità penale e civile

Le bozze introducono nuovi reati legati alla sicurezza dei sistemi di IA: la “omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi” prevede pene detentive significative quando l’omissione esponga la vita o la sicurezza pubblica a rischio. In caso di alterazioni che mettono a repentaglio la sicurezza dello Stato, la pena può arrivare fino a dieci anni. Il reato è inserito anche nell’elenco dei reati presupposto per la responsabilità amministrativa degli enti ex D.Lgs. 231/2001.

Sul piano civile il decreto recepisce il principio secondo cui, nelle controversie per danni causati da sistemi di IA, la violazione delle norme europee comporta una presunzione del nesso causale tra violazione e danno, facilitando l’azione risarcitoria della parte lesa. Questo meccanismo integra anche la futura disciplina della Direttiva 2853/2024 sulla responsabilità da prodotto, da recepire entro il 9 dicembre 2026.

Il giudice potrà ordinare l’esibizione dei registri tecnici e, in casi motivati, del codice sorgente o della logica di funzionamento del sistema, con misure a tutela dei segreti commerciali; è prevista anche la possibilità di azioni dirette nei confronti delle polizze assicurative del responsabile del danno.

Implicazioni e percorsi successivi

Nel complesso i decreti traducono in norme operative i principi indicati nella Legge 132/2025, cercando un equilibrio tra impulso all’innovazione e garanzie a tutela dei diritti fondamentali. Ogni disposizione dovrà però confrontarsi con il dibattito parlamentare, che potrà introdurre aggiustamenti tecnici o sostanziali prima dell’approvazione definitiva.

Per operatori, investitori e professionisti il pacchetto normativo apre scenari di compliance più stringente ma anche opportunità: gli spazi di sperimentazione e le misure di sostegno possono favorire la diffusione di soluzioni conformi e affidabili, mentre la disciplina sulla responsabilità impone alle imprese strategie più prudenti di gestione del rischio tecnologico.

In sintesi

• Il quadro normativo italiano rafforza obblighi di conformità che aumenteranno i costi di adeguamento per le imprese tecnologiche, ma creano anche un vantaggio competitivo per chi investirà presto in governance e sicurezza.
• Le regole sul lavoro e sulla formazione spingono verso una riqualificazione professionale su larga scala; per gli investitori questo significa opportunità nel mercato della formazione e nei servizi di compliance tecnologica.
• Le limitazioni all’uso della biometria e le nuove responsabilità civili e penali riducono incertezza giuridica per i cittadini, ma impongono alle pubbliche amministrazioni e alle forze di polizia investimenti in processi autorizzativi e tecnologie di audit.