Decreto AI Act: i nuovi obblighi su lavoro e formazione dal 23 ottobre

Il decreto AI Act dal 23 ottobre 2026 applica in Italia le regole europee sull’intelligenza artificiale dell’AI Act a imprese, professionisti e pubblica amministrazione. Nelle imprese e sul lavoro assunzioni, licenziamenti, provvedimenti disciplinari e valutazioni delle prestazioni vanno decisi da una persona, pena la nullità. Obbligatorio formare i dipendenti sui rischi dei sistemi in uso, in parallelo ai dettami sull’alfabetizzazione AI richiesta dalla normativa europea.

I professionisti dovranno seguire corsi sull’IA nella formazione continua dei propri ordini, mentre il controllo sul rispetto delle regole è affidato alle autorità nazionali AgID e ACN, che applicano le sanzioni previste per chi viola il Regolamento europeo.

In sintesi:

• il D.Lgs. 7 ottobre 2026, n. 179 è pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, conta 54 articoli e attua la delega dell’art. 24 della L. n. 132/2025;
• AgID è l’autorità di notifica e ACN l’autorità di vigilanza del mercato e il punto di contatto unico, affiancate da Banca d’Italia, CONSOB, IVASS e Garante privacy per i rispettivi ambiti (artt. 4, 5 e 6);
• le multe arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, e per le PMI si applica il più basso tra importo fisso e percentuale (art. 23);
• il lavoratore può chiedere, con l’intervento di una persona, una motivazione comprensibile della decisione che lo riguarda, con l’incidenza dell’IA e i parametri considerati (art. 41, comma 3);
• ordini e collegi hanno sei mesi per inserire percorsi sull’IA nella formazione continua, mentre i parametri dell’equo compenso vanno integrati entro dodici mesi (artt. 47 e 49).

Decreto AI Act: DLgs. 179/2026 dal 23 ottobre

Il D.Lgs. 179/2026 è il secondo decreto attuativo della legge italiana sull’intelligenza artificiale e adegua l’ordinamento al Regolamento (UE) 2024/1689 su autorità di controllo, sanzioni, formazione e lavoro. Il Consiglio dei ministri lo ha approvato in esame preliminare il 10 giugno 2026 e in via definitiva il 4 agosto, dopo i pareri di AgID, ACN, Garante per la protezione dei dati personali, Conferenza unificata e Commissioni parlamentari; il Presidente della Repubblica lo ha firmato il 7 ottobre, prima della scadenza della delega dell’art. 24 della L. n. 132/2025 fissata al 10 ottobre 2026.

Il testo, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, è diviso in cinque capi: governance e sanzioni (artt. 1-35), intelligenza artificiale nella formazione, nelle professioni, nel lavoro, nella sanità e nella PA (artt. 36-51), tutela come segreto aziendale di dati e algoritmi di addestramento (artt. 52-53) e clausola finanziaria (art. 54). L’impostazione dichiarata dall’art. 3 è antropocentrica: l’IA supporta decisioni e servizi, la responsabilità è della persona.

Autorità nazionali per l’IA: AgID, ACN e vigilanze di settore

Le autorità nazionali per l’intelligenza artificiale sono AgID, autorità di notifica che designa e controlla gli organismi di valutazione della conformità (art. 4), e ACN, autorità di vigilanza del mercato sui sistemi di IA e punto di contatto unico con le istituzioni europee (artt. 5 e 6). Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati per credito, servizi di investimento e attività assicurativa, mentre il Garante privacy interviene nei limiti dell’art. 74, par. 8, del Regolamento, che riguarda i sistemi impiegati per attività di contrasto, gestione delle frontiere, giustizia e processi democratici.

Il coordinamento tra le agenzie e le altre amministrazioni è affidato al Comitato di coordinamento istituito presso la Presidenza del Consiglio dei ministri dall’art. 20, comma 3, della L. n. 132/2025. Per le imprese che sviluppano soluzioni di IA l’art. 26 istituisce lo Spazio di sperimentazione italiano per l’IA, un ambiente controllato gestito da AgID e ACN in cui testare i sistemi sotto la vigilanza delle autorità, con priorità di accesso per PMI e start-up: modalità e criteri di ammissione saranno fissati con un decreto congiunto dei direttori generali delle due agenzie.

Sanzioni AI Act in Italia: massimali e regole per le PMI

Le sanzioni per chi viola l’AI Act sono fissate dall’art. 23 del D.Lgs. n. 179/2026 negli stessi massimali dell’art. 99 del Regolamento europeo, con un tetto in euro e uno in percentuale del fatturato mondiale annuo dell’esercizio precedente. Per le grandi imprese vale il più alto dei due valori; per PMI, microimprese e start-up innovative, in base all’art. 23, comma 7, si applica il più basso.

Una PMI con 2 milioni di euro di fatturato che usa sul proprio sito un chatbot senza dichiarare ai clienti che stanno dialogando con un sistema di IA viola l’art. 50 del Regolamento: il tetto applicabile è il 3% del fatturato, pari a 60.000 euro, perché inferiore ai 15 milioni. Gli obblighi sui sistemi ad alto rischio diventano sanzionabili solo dalle date di applicazione europee, rinviate dall’Omnibus digitale.

Per le violazioni di scarsa offensività l’art. 22 consente alle autorità di ordinare la rimozione dell’infrazione entro un termine, oppure, se è già cessata, di limitarsi a una dichiarazione pubblica; chi non rispetta l’ordine paga la multa aumentata fino a un terzo. Ogni provvedimento sanzionatorio è pubblicato per estratto sul sito dell’autorità che lo adotta (art. 24, comma 4).

Niente licenziamenti decisi solo da un algoritmo

Dal 23 ottobre 2026 il datore di lavoro che usa sistemi di intelligenza artificiale nei processi decisionali deve riservare a una persona fisica, con potere effettivo e autonomo, la decisione finale su assunzione, modifica e cessazione del rapporto, compresi provvedimenti disciplinari e valutazioni delle prestazioni.

Il licenziamento e le altre decisioni adottate solo con un trattamento automatizzato sono nulli, e il consenso del lavoratore non basta a derogare al divieto (art. 41, commi 1 e 4, D.Lgs. n. 179/2026).

Il testo definitivo esclude dal divieto le attività di ricerca e selezione delle candidature, anche quando portano a scartare un candidato nelle prime fasi: lo screening automatico dei curricula è ammesso, ferme le regole del GDPR e, al termine del rinvio europeo, gli obblighi sui sistemi ad alto rischio. Prima di avviare il trattamento il datore consegna l’informativa dell’art. 1-bis del D.Lgs. n. 152/1997, e il dipendente può chiedere una motivazione intelligibile della decisione, con l’indicazione del peso avuto dal sistema e dei principali parametri considerati (art. 41, comma 3).

Le stesse cautele riguardano il controllo dei lavoratori con l’IA, soggetto anche all’art. 4 dello Statuto dei lavoratori, e si sommano alle regole sul lavoro mediante piattaforme digitali per chi organizza prestazioni tramite app. L’art. 42 aggiunge un obbligo di sicurezza: i sistemi che incidono su organizzazione, ritmi produttivi o modalità della prestazione entrano nella valutazione dei rischi dell’art. 28 del D.Lgs. n. 81/2008, e i lavoratori vanno informati e formati sui rischi specifici dell’IA. L’art. 48 consente infine a centri per l’impiego e agenzie per il lavoro di usare l’IA per orientamento e incontro tra domanda e offerta, con supervisione umana e trasparenza delle decisioni.

Il caso di un software HR che valuta le prestazioni

Un’azienda di 40 dipendenti adotta un gestionale che assegna a ciascun addetto un punteggio di produttività e propone in automatico chi escludere dal premio di risultato. Dal 23 ottobre il punteggio può orientare la scelta. L’esclusione dal premio rientra però nella valutazione delle prestazioni e va decisa da un responsabile che esamina il caso e può discostarsi dalla proposta del sistema:

• il responsabile firma la decisione e conserva traccia delle ragioni, anche quando conferma la proposta del software;
• l’informativa dell’art. 1-bis del D.Lgs. n. 152/1997 va consegnata prima dell’attivazione e trasmessa alle rappresentanze sindacali;
• a richiesta del dipendente l’azienda spiega, tramite una persona, quanto ha contato il punteggio e su quali parametri è costruito;
• il sistema entra nel documento di valutazione dei rischi se modifica ritmi o carichi di lavoro.

Il diniego del premio deciso applicando senza esame la classifica del software è nullo ai sensi dell’art. 41, comma 4, e il dipendente può farne valere la nullità contestando il procedimento seguito.

Alfabetizzazione AI in azienda dopo l’Omnibus UE

L’alfabetizzazione AI è regolata dall’art. 4 dell’AI Act nel testo riscritto dal Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026: fornitori e utilizzatori professionali dei sistemi adottano misure per sostenere le competenze del personale e di chi usa l’IA per loro conto. La norma esclude espressamente l’obbligo di garantire un livello specifico di alfabetizzazione. La versione originaria, applicabile dal 2 febbraio 2025, chiedeva invece di assicurare un livello sufficiente di competenze.

Il nuovo testo, frutto dell’Omnibus digitale UE, sposta su Commissione e Stati membri il compito di sostenere le imprese con percorsi formativi, risorse e scambio di buone pratiche. L’art. 23 del D.Lgs. n. 179/2026 non include l’art. 4 tra gli obblighi puniti con sanzioni pecuniarie.

La formazione sull’IA non è comunque facoltativa per il datore di lavoro: l’art. 42, comma 3, dello stesso decreto impone di informare e formare i lavoratori sui rischi specifici dei sistemi di intelligenza artificiale e sulle misure di prevenzione adottate. Chi usa un chatbot per bozze o traduzioni ha esigenze diverse da chi impiega l’IA per selezione del personale, credito o decisioni automatizzate, e la formazione va calibrata sull’uso effettivo.

Registro formazione AI e mappa dei sistemi in uso

Un registro interno delle iniziative di formazione, legato ai sistemi usati e alle persone coinvolte, è il modo più semplice per documentare le misure adottate in caso di controllo, perché né l’AI Act né il decreto italiano prevedono un certificato o un modello unico. Le attività da mettere in ordine sono queste:

• mappare i sistemi di IA usati in azienda, compresi quelli integrati nei software già acquistati;
• distinguere tra uso interno, uso verso i clienti, uso nei rapporti di lavoro e uso nei servizi pubblici;
• individuare chi autorizza, controlla e corregge gli output prodotti dagli strumenti;
• definire quali dati possono essere inseriti nei sistemi e quali informazioni vanno escluse;
• prevedere una formazione diversa per chi usa l’IA, chi la controlla e chi decide sulla base dei risultati.

Formazione IA per PA, giustizia e sanità

La formazione sull’IA entra nei percorsi di istruzione a tutti i livelli. Le scuole possono inserire l’IA nell’educazione civica e nei moduli STEAM, le indicazioni nazionali vanno aggiornate per l’uso consapevole degli strumenti generativi (art. 36) e il Ministero dell’istruzione e del merito deve avviare un piano di formazione dei docenti contro l’uso eccessivo di social e ambienti basati sull’IA, finanziato con il Programma nazionale “PN Scuola e Competenze 2021-2027” nel limite di 100 milioni di euro (art. 37). Gli Uffici scolastici regionali possono promuovere comitati tecnico-etici territoriali tra reti di scuole (art. 38, comma 6), mentre i CPIA organizzano percorsi di alfabetizzazione per adulti (art. 39).

Università e istituzioni AFAM integrano nei corsi contenuti minimi su funzionamento, limiti, interpretazione degli output, sorveglianza umana e cybersicurezza, con un monitoraggio annuale del Ministero dell’università e indicatori fissati con decreto sentita l’ANVUR (art. 44); gli ITS Academy promuovono moduli dedicati. Nella pubblica amministrazione il Ministro per la PA definisce con linee guida il quadro minimo di competenze dei dipendenti e si avvale di SNA e Formez PA (art. 40); la Scuola superiore della magistratura forma i magistrati (art. 46).

Per le professioni sanitarie l’IA entra nell’educazione continua in medicina: la Commissione nazionale per la formazione continua deve fissare la quota dell’obbligo formativo triennale da dedicare all’IA e l’Agenas deve inserire programmi specifici nei corsi di formazione manageriale (art. 51).

Formazione IA obbligatoria per ordini professionali

Gli ordini professionali devono includere percorsi di alfabetizzazione e formazione sull’uso dell’IA nella formazione iniziale e continua degli iscritti, con un monte ore minimo per ciascun periodo di valutazione dei crediti (art. 47, commi 1 e 3, D.Lgs. n. 179/2026). I contenuti comprendono il funzionamento degli strumenti, comprese le tecniche di interrogazione, il Regolamento europeo e le norme italiane, e i profili deontologici: responsabilità del professionista, obblighi informativi verso il cliente e rispetto del principio antropocentrico della L. n. 132/2025.

Il decreto non fissa un numero di ore uguale per tutti: consigli nazionali e collegi adeguano i propri regolamenti secondo le procedure di ciascuna categoria, compreso l’eventuale parere o approvazione dell’autorità vigilante, e i corsi possono essere organizzati in convenzione con università ed enti di ricerca (art. 43, comma 2). Le stesse regole valgono per le associazioni delle professioni non regolamentate della L. n. 4/2013, quando l’IA è rilevante per l’attività svolta. Per orientarsi sulle competenze richieste, la norma UNI 11621-8:2026 ha definito i profili professionali dell’intelligenza artificiale.

Sul fronte dei compensi, l’art. 49 prevede che l’uso dell’IA possa modulare l’equo compenso della L. n. 49/2023 secondo la classe di rischio del sistema utilizzato. La modulazione non è automatica: dipende dai parametri che i decreti ministeriali per le professioni ordinistiche, il decreto sui parametri forensi dell’art. 13, comma 6, della L. n. 247/2012 e i decreti attuativi della legge sull’equo compenso dovranno integrare.

Calendario adempimenti previsti dal decreto AI Act: scadenze per imprese, ordini e PA

Il calendario del D.Lgs. n. 179/2026 parte dall’entrata in vigore e scandisce gli adempimenti affidati a ministeri, ordini e autorità sanitarie; per i sistemi ad alto rischio valgono le date del Regolamento europeo modificato dall’Omnibus.

IA nelle attività di polizia e responsabilità civile e penale

Il primo decreto attuativo, il D.Lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre e in vigore dal 30 settembre 2026, disciplina l’uso dell’IA nelle attività di polizia e la responsabilità civile e penale per i danni causati dai sistemi. L’identificazione biometrica remota in tempo reale è ammessa solo per le finalità indicate dall’art. 8, tra cui prevenzione e ricerca di persone scomparse e vittime di specifici reati, mentre il riconoscimento facciale a posteriori sulle immagini di videosorveglianza richiede l’autorizzazione del giudice per le indagini preliminari, chiesta dal pubblico ministero entro 48 ore dall’avvio, salvo l’identificazione iniziale di un indiziato dopo un reato (art. 10).

Sul piano civile il decreto agevola il risarcimento dei danni da intelligenza artificiale: il giudice può ordinare l’esibizione della documentazione sul funzionamento del sistema, il nesso causale tra violazione dell’AI Act e danno si presume salvo prova contraria, la conformità al Regolamento non esclude da sola la responsabilità e il danneggiato può agire direttamente contro l’assicurazione del responsabile, oltre a scegliere il foro di residenza se è un consumatore (artt. 16-20).

Sul piano penale l’art. 12 introduce nel codice penale l’art. 437-bis, un nuovo reato che punisce con la reclusione da uno a cinque anni l’omessa adozione delle misure di sicurezza e di sorveglianza umana nei sistemi ad alto rischio quando ne deriva un pericolo per la vita o l’incolumità; la stessa pena si applica all’utilizzatore professionale che omette intenzionalmente la sorveglianza umana. Il reato rientra nella responsabilità degli enti del D.Lgs. n. 231/2001 con il nuovo art. 25-vicies, che prevede una sanzione da seicento a mille quote e le misure interdittive (art. 15).