Il d.lgs. 179/2026 e l’AI Act in Italia: chi vigila, quanto si rischia, che cosa fare adesso

Da tempo l’Intelligenza Artificiale è entrata fra gli strumenti di comune utilizzo da parte di privati, professionisti e imprese. In molti casi, è divenuta componente essenziale delle strutture produttive delle aziende, dalle più grandi alle più piccole. Fino ad oggi, il suo utilizzo è stato generalmente indipendente da obblighi o oneri di legge, o di altro genere, tranne qualche modesto accorgimento in determinati contesti professionali.

L’esigenza di regolamentazione della materia dell’IA e del suo utilizzo, tuttavia, si è palesata sempre più pressante a fronte dell’impatto, sostanziale e potenzialmente lesivo, su diritti individuali e interessi collettivi. Il Regolamento europeo sull’IA (AI Act) è intervenuto nel 2024, a livello UE, per fissare un primo quadro normativo di riferimento per produttori, operatori e consumatori dei sistemi di Intelligenza Artificiale.

Ciò su cui serve soffermarsi oggi è il recente inserimento nell’ordinamento italiano della normativa che a quel regolamento fa riferimento, per renderla concretamente applicabile e cogente.

Dal 23 ottobre 2026 è entrato in vigore in Italia il decreto legislativo 7 ottobre 2026, n. 179 (d.lgs. 179/2026), pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, con cui viene definito con precisione il perimetro normativo dell’applicazione dell’AI Act. Fino ad oggi, il Regolamento (UE) 2024/1689 era direttamente applicabile ma senza un sistema nazionale adibito ad implementarne le prescrizioni: si sapeva che cosa fosse vietato, ma non era chiaro chi avrebbe controllato, con quali poteri e con quali conseguenze.

Il decreto chiude questo vuoto attuando la delega della legge 23 settembre 2025, n. 132 e, in 54 articoli, risponde alle tre questioni fondamentali per l’ottemperanza alle prescrizioni di legge da parte di chi sviluppa, vende o usa sistemi di intelligenza artificiale: quali sono le autorità preposte, quali sanzioni sono previste per le violazioni o le omissioni dei controlli previsti, che cosa cambia concretamente nel lavoro e nelle professioni.

Il decreto consente agli operatori ed ai consulenti del settore IA di rispondere alla domanda che arriva più spesso, da imprese, banche o studi professionali: che cosa devo fare io, e da quando?

1. Perché il d.lgs. 179/2026 cambia il peso dell’AI Act

Un regolamento europeo vincola in maniera astratta, ma senza autorità preposte, procedure chiare e sanzioni nazionali definite resta in gran parte sulla carta. Il d.lgs. 179/2026 fornisce proprio questi tre elementi. Non aggiunge obblighi nuovi rispetto all’AI Act per fornitori e deployer, ma li rende esigibili. Aggiunge invece regole proprie, tutte italiane, sul lavoro, sulle professioni, sulla formazione e sulla tutela di dati e algoritmi come segreti commerciali.

Va letto insieme a due testi:

• la legge n. 132/2025, che ha fissato i principi nazionali sull’IA e, all’art. 13, ha stabilito che nelle professioni intellettuali l’intelligenza artificiale può essere solo strumentale ed il suo utilizzo va dichiarato al cliente;
• il Regolamento (UE) 2026/1744, l’«Omnibus digitale» sull’IA, che ha spostato il calendario per l’applicazione delle norme ai sistemi ad alto rischio e introdotto nuovi divieti.

Esiste poi un decreto «gemello», il d.lgs. 9 settembre 2026, n. 160, che disciplina l’uso dell’IA da parte delle forze di polizia, introduce profili penali e di responsabilità degli enti e regola la responsabilità civile per danni da IA. Qui ci concentriamo sul n. 179, quello che riguarda imprese, intermediari e professionisti nella loro attività ordinaria.

2. Chi vigila: una mappa delle autorità

Il decreto distribuisce le competenze in modo preciso (artt. 4-6):

Per il settore finanziario la scelta è netta: chi è già vigilato continua ad esserlo dal proprio supervisore anche per il rispetto delle normative sull’IA. La nozione di «istituto finanziario» del decreto è ampia e comprende, oltre a banche e imprese di investimento, IMEL, istituti di pagamento, prestatori di servizi per le cripto-attività, gestori di crediti deteriorati, piattaforme di crowdfunding e imprese di assicurazione (art. 1). Le autorità finanziarie hanno poteri ispettivi anche senza preavviso sulle prove in condizioni reali e possono stipulare protocolli con Guardia di Finanza e DIA (art. 17).

Merita di essere segnalato un dettaglio che interessa da vicino banche e intermediari: i reclami per le violazioni dell’AI Act da parte degli istituti aderenti possono arrivare davanti all’ABF, all’ACF e al sistema di risoluzione stragiudiziale assicurativo (art. 18, c. 3). L’intelligenza artificiale entra così nel contenzioso «di massa» con la clientela, non solo nei procedimenti di vigilanza.

Il coordinamento è affidato a un Comitato di cui fanno parte anche le autorità finanziarie, fermi restando i poteri del Garante e dell’AGCOM (art. 12). L’ACN entra inoltre tra i membri permanenti del Comitato FinTech (art. 33).

3. Quanto si rischia: le sanzioni

L’art. 23 riprende la struttura dell’art. 99 dell’AI Act e aggiunge una fascia propria. In ciascuna fascia si applica l’importo più alto tra la cifra fissa e la percentuale prevista del fatturato mondiale annuo.

Tre elementi meritano attenzione più dei massimali:

• La gradualità. Per le violazioni di scarsa offensività o pericolosità, l’autorità può, in alternativa alla sanzione pecuniaria, ordinare di eliminare l’infrazione entro un dato termine o, se l’infrazione è cessata, disporre una dichiarazione pubblica (art. 22). Se l’ordine non viene eseguito, la sanzione cresce fino a un terzo. È uno spazio di ravvedimento operoso per chi si muove per tempo.
• I criteri. Contano quelli dell’art. 99, par. 7, dell’AI Act e la natura sostanziale o formale dell’obbligo violato (art. 23, c. 6). Per PMI, microimprese e start-up innovative vale il criterio più favorevole dell’art. 99, par. 6 (art. 23, c. 7).
• Il procedimento. Si articola in contestazione, provvedimento motivato, pubblicazione per estratto (art. 24). Si applica la legge n. 689/1981, ma non il pagamento in misura ridotta (art. 24, c. 10); l’oblazione non è prevista. Banca d’Italia, CONSOB e IVASS seguono le rispettive procedure di settore.

4. Il calendario, dopo l’Omnibus

Il decreto non tocca le date di applicazione, che restano quelle europee. Dopo il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026:

• dal 2 dicembre 2026 si applicano i nuovi divieti: sistemi che generano immagini intime o sessualmente esplicite non consensuali di persone riconoscibili e materiale pedopornografico. Il d.lgs. 179/2026 sanziona in generale le pratiche previste dall’art. 5, quindi anche queste;
• entro il 2 dicembre 2026 i sistemi generativi già sul mercato prima del 2 agosto 2026 devono adeguarsi alla marcatura dei contenuti (art. 50, par. 2);
• dal 2 dicembre 2027 si applicano gli obblighi per i sistemi ad alto rischio dell’Allegato III (tra cui il merito creditizio e la valutazione del rischio assicurativo);
• dal 2 agosto 2028 quelli per i sistemi ad alto rischio dell’Allegato I, cioè i componenti di sicurezza dei prodotti regolati;
• le pubbliche amministrazioni hanno tempo fino al 2 agosto 2030 per i sistemi ad alto rischio che usano.

Lo slittamento degli obblighi per i sistemi ad alto rischio non significa che oggi non ci sia nulla da fare: divieti, alfabetizzazione e trasparenza sono già applicabili, e da ottobre ci sono autorità con poteri pieni per farli rispettare.

5. Lavoro: una regola che va oltre l’AI Act

L’art. 41 è probabilmente la norma più incisiva del decreto per le imprese. Le decisioni finali su assunzione, modifica e cessazione del rapporto di lavoro, comprese sanzioni disciplinari e valutazioni, non possono essere prese solo in modo automatizzato: deve decidere una persona fisica. Il consenso del lavoratore alla decisione non basta a superarlo. La selezione delle candidature è invece esclusa dal divieto.

Il lavoratore ha diritto all’informativa sull’uso di sistemi automatizzati e ad una motivazione comprensibile. E la conseguenza della violazione è severa: il licenziamento e le altre decisioni adottate in violazione del divieto sono nulli (art. 41, c. 4). L’intelligenza artificiale entra inoltre nel documento di valutazione dei rischi (art. 42).

Per chi usa software di gestione del personale, valutazione delle prestazioni o pianificazione dei turni con funzioni decisionali, il punto da verificare non è tecnico: è la presenza di un soggetto umano che firma la decisione, e la sua effettiva autonomia decisionale.

6. Professioni: formazione obbligatoria e compenso

Per avvocati, commercialisti e altri professionisti iscritti in ordini il decreto introduce tre prescrizioni:

• Gli ordini devono prevedere percorsi obbligatori di formazione sull’IA, con un monte ore minimo e contenuti tecnici, giuridici e deontologici, compresi gli obblighi di informazione verso il cliente. I Consigli nazionali hanno sei mesi per adeguare i regolamenti (art. 47);
• Il compenso, nella disciplina dell’equo compenso, può tener conto della classe di rischio del sistema utilizzato, e i parametri ministeriali, compreso quello forense, vanno integrati entro dodici mesi (art. 49);
• Resta fermo il principio della legge n. 132/2025: l’uso dell’IA nella prestazione intellettuale può essere solo strumentale, il lavoro intellettuale deve essere prevalente e il cliente va informato.

Per uno studio professionale la conseguenza pratica è immediata: serve tracciare quali strumenti si usano, per quali attività, e comunicarlo al cliente nel conferimento dell’incarico.

7. Dati e algoritmi come segreti commerciali

L’art. 52 introduce nel Codice della proprietà industriale un nuovo comma all’art. 98: dati, algoritmi e metodi matematici usati per addestrare i sistemi, comprese architetture, funzioni di ottimizzazione e configurazioni, possono essere tutelati come segreti commerciali, se ne ricorrono i requisiti. Le controversie spettano alle sezioni specializzate in materia di impresa (art. 53).

È una norma che pesa nei contratti di sviluppo, licenza e outsourcing, in cui si stabilisce chi è titolare del modello addestrato, chi dei dati, quali misure di segretezza sono state adottate. Senza misure adeguate, la tutela non scatta.

8. Lo spazio di sperimentazione

Il decreto istituisce lo Spazio di sperimentazione italiano per l’IA, gestito congiuntamente da AgID (Agenzia per l’Italia Digitale) e ACN (Agenzia per la Cybersicurezza Nazionale), con priorità per PMI e start-up (art. 26). Per gli istituti finanziari resta ferma la sperimentazione FinTech; possono usare anche la sandbox IA e, in quel caso, le autorità finanziarie partecipano al gruppo che la gestisce (art. 30, c. 5). Le modalità operative arriveranno con decreti attuativi.

9. Che cosa fare adesso

Riassumendo, ecco una breve lista degli adempimenti richiesti, da adattare alla propria posizione.

• Inventario dei sistemi: va elencato quali sistemi di IA si sviluppano, si acquistano o si usano, e con quale ruolo (fornitore, deployer, importatore, distributore).
• Classificazione: per ciascun sistema va stabilito se rientra in una pratica vietata (nel qual caso va fermato), se è ad alto rischio (Allegato I o III) o a rischio minimo, e quali obblighi vi sono connessi. Scattano comunque gli obblighi di trasparenza. Le date del par. 4 dicono quando ciascun obbligo diventa esigibile.
• Autorità di riferimento: per un intermediario vigilato, l’interlocutore sull’alto rischio è il proprio supervisore; per gli altri è l’ACN.
• Lavoro: va verificato che nessuna decisione finale sui rapporti di lavoro dipenda solo da un sistema automatizzato; serve aggiornare le informative e il Documento di Valutazione dei Rischi (DVR).
• Contratti: vanno introdotte le clausole sui ruoli previsti dall’AI Act, con i dati di addestramento, i segreti commerciali, gli audit e la cooperazione con le autorità.
• Professioni: i liberi professionisti devono informare il cliente e seguire la formazione sull’IA; è opportuno che tengano un registro degli strumenti usati. Incombe sugli Ordini professionali l’obbligo di organizzare la formazione e l’informazione necessaria.
• Documentazione: va predisposta, aggiornata e custodita per essere pronta in caso di ispezioni. Ciò che non è documentato non si può dimostrare a un’autorità con poteri ispettivi anche senza preavviso.

In sintesi

Il d.lgs. 179/2026 non riscrive l’AI Act: ne precisa autorità, procedure e sanzioni in Italia, aggiungendo regole nazionali sul lavoro, sulle professioni e sulla tutela di dati e algoritmi. Per il settore finanziario conferma Banca d’Italia, CONSOB e IVASS come autorità di vigilanza e apre le porte di ABF (Arbitro Bancario Finanziario) e ACF (Arbitro Controversie Finanziarie). Per tutti gli altri, l’ACN diventa l’interlocutore. Il tempo per prepararsi c’è, soprattutto sull’alto rischio, ma non è più possibile lavorare senza prepararsi ai controlli.

Fonti

• D.lgs. 7 ottobre 2026, n. 179, G.U. Serie Generale n. 234 dell’8 ottobre 2026 — Normattiva
• Regolamento (UE) 2024/1689 (AI Act) — EUR-Lex
• Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA) — EUR-Lex
• Legge 23 settembre 2025, n. 132 — Normattiva
• Scheda dell’Osservatorio ADLP sul d.lgs. 179/2026

Testo a cura dell’Avv. Francesca Donato, co-counsel dell’Area Tech, AI, Data & Digital Rights di ADLP Studio Legale — aggiornato al 25 ottobre 2026.

Nota informativa. I contenuti hanno finalità esclusivamente informative e non costituiscono parere legale né sollecitazione di clientela ai sensi degli artt. 17 e 17-bis del Codice Deontologico Forense. Per ogni valutazione sul caso concreto è necessario un confronto professionale.

© 2026 ADLP Studio Legale. Testi, immagini, grafiche e documenti di questo sito sono protetti dalla legge 22 aprile 1941, n. 633; la riproduzione è riservata (art. 65). Sono consentite citazioni e riprese, anche da parte di motori di ricerca e sistemi di IA, purché indichino l’autore, ADLP Studio Legale e il link all’articolo. Sono vietati copia e riuso senza attribuzione, nonché l’estrazione di testo e dati per addestrare modelli di IA (art. 70-quater).