Il Consiglio dei ministri del 10 giugno 2026 ha approvato in esame preliminare due schemi di decreto legislativo per adeguare l’ordinamento italiano all’AI Act, il regolamento europeo 2024/1689 sull’intelligenza artificiale. Per il dibattito pubblico il tema tocca sicurezza, pubblica amministrazione e diritti. Per le imprese, però, il punto è più diretto: la regolazione dell’AI entra nella fase operativa e si traduce in obblighi, controlli, responsabilità e scelte industriali.
La data non arriva in un momento casuale. Il 2 agosto 2026 scatta infatti la fase generale di applicazione dell’AI Act europeo. Da quel momento una parte ampia delle regole Ue diventerà pienamente rilevante per chi sviluppa, integra, vende o utilizza sistemi di intelligenza artificiale. I decreti approvati dal governo servono a costruire il livello nazionale di attuazione: chi vigila, come si coordina il controllo, quali autorità saranno il riferimento per imprese e fornitori.
Per il mondo produttivo non è un dettaglio tecnico. Finora molte aziende hanno affrontato l’AI come una materia di innovazione, sperimentazione o efficienza interna. Con il passaggio avviato dal governo, l’intelligenza artificiale entra invece nell’area della compliance.
Questo significa che i progetti non saranno più valutati soltanto in base ai benefici attesi, ma anche per il loro inquadramento normativo, per la qualità dei dati utilizzati, per la trasparenza dei processi e per la capacità di dimostrare che il sistema è sotto controllo.
“L’Italia, in virtù di questi decreti attuativi, insieme con la legge 132 dello scorso anno – ha spiegato il sottosegretario alla Presidenza del Consiglio, Alfredo Mantovano – è la prima nazione che si dota di una disciplina normativa nazionale organica in materia di intelligenza artificiale”.
Indice degli argomenti:
Dall’innovazione alla compliance
Negli ultimi due anni le imprese italiane hanno accelerato sull’adozione di strumenti basati su modelli generativi, automazione documentale, analisi predittiva e sistemi di supporto alle decisioni. In molti casi l’adozione è partita in modo decentrato: singoli uffici, fornitori esterni, software incorporati in piattaforme già presenti in azienda. Il cambio di fase imposto dall’AI Act mette in discussione proprio questo approccio.
La questione non è più soltanto se uno strumento funziona o se fa risparmiare tempo. La domanda diventa un’altra: quel sistema rientra tra gli usi regolati? Produce effetti su persone, clienti, lavoratori o utenti? È stato acquistato da un fornitore che garantisce documentazione adeguata? L’azienda sa spiegare come viene usato, quali dati tratta, quali controlli umani restano attivi e chi risponde in caso di errore?
Il decreto italiano, almeno per come è stato descritto dopo il Cdm, prova a dare una risposta sul lato istituzionale. Ma per le imprese il problema è organizzativo prima ancora che giuridico. Chi oggi utilizza AI nei flussi aziendali deve iniziare a trattarla come un’infrastruttura regolata, non come un semplice software evoluto.
I decreti sono coerenti e conformi all’AI Act europeo (Regolamento UE 2024/1689): “non introducono una disciplina alternativa rispetto al quadro europeo, ma ne assicurano l’attuazione nell’ordinamento nazionale”, afferma Palazzo Chigi. Sia al momento della redazione del ddl, poi divenuto legge, sia nel lavoro riguardante i decreti attuativi, il Governo “ha mantenuto un dialogo costante con la Commissione europea, a livello informale con riunioni e interlocuzioni, a livello formale, nell’ambito della procedura di notifica di alcune parti della legge AI”.
L’attuazione con i decreti “fa tesoro di tutte le considerazioni espresse in tali interlocuzioni bilaterali, rispettando la completezza della disciplina UE in materia di definizione dei requisiti fondamentali dei sistemi di AI, senza sovrapposizioni”. La disciplina attuativa italiana “non solo non contrasta col regolamento europeo, ma ne rappresenta il compimento per quelle tecniche di disciplina che rientrano nella competenza dello Stato”, sottolinea Palazzo Chigi. Le norme “costruiscono una cornice di garanzie affinché l’innovazione tecnologica resti sempre al servizio della persona, della sua dignità e dei suoi diritti fondamentali”.
Chi vende AI e chi la usa: il mercato si divide in ruoli
L’AI Act europeo distingue tra diversi soggetti: fornitori, deployer, importatori, distributori. In termini semplici, non conta solo chi sviluppa un modello o un sistema. Conta anche chi lo integra nei propri prodotti, chi lo commercializza, chi lo usa nei processi interni o nei servizi rivolti a clienti e cittadini.
Per molte aziende italiane questo passaggio è decisivo. Una banca, una società di recruiting, un’impresa assicurativa, una piattaforma e-commerce o una grande manifattura potrebbero non essere produttori della tecnologia, ma diventano comunque responsabili del modo in cui la impiegano. Se un sistema AI entra nella selezione del personale, nella valutazione del merito creditizio, nel rilevamento di anomalie, nella gestione dei clienti o nell’automazione del back office, la posizione dell’azienda cambia.
Questo produce un effetto immediato sul mercato B2B. I contratti con i fornitori di tecnologia dovranno diventare più rigorosi. Le imprese chiederanno documentazione, garanzie, standard di audit, chiarimenti sulle basi dati, sulle misure di sicurezza e sui limiti d’uso. Chi vende soluzioni AI dovrà dimostrare di poter reggere non solo la concorrenza tecnica, ma anche quella regolatoria.
Agid e Acn, le autorità che le aziende dovranno conoscere
Le fonti circolate dopo il Cdm indicano in Agid e Acn i due pilastri della governance nazionale. È una scelta che interessa da vicino le imprese. Significa che l’interlocuzione non passerà da un’unica authority specializzata, ma da un assetto che tiene insieme trasformazione digitale e cybersicurezza.
Per le aziende questo ha almeno due conseguenze. La prima è che la conformità AI non potrà essere trattata in modo separato dalla sicurezza informatica. Un sistema di intelligenza artificiale opaco, vulnerabile o non governato correttamente non è solo un problema legale: diventa un problema di continuità operativa, protezione dei dati, affidabilità dei servizi e rischio reputazionale. La seconda è che l’adeguamento richiederà una lettura integrata tra uffici legali, compliance, IT, procurement e sicurezza.
Il punto più concreto è questo: la governance AI non potrà restare confinata nei team di innovazione. Dovrà salire di livello e diventare materia da direzione aziendale. Dove questo non accadrà, le imprese rischieranno di muoversi in ritardo, scoprendo troppo tardi che uno strumento già adottato richiede verifiche, modifiche contrattuali o limiti d’uso.
Dove le aziende sentiranno di più l’impatto
Non tutti i settori saranno colpiti nello stesso modo. L’effetto più forte si vedrà dove l’AI incide su persone, diritti, accesso a servizi o decisioni economiche rilevanti. Il primo campo è il lavoro. Software usati per screening dei cv, valutazione delle performance, organizzazione dei turni o profilazione dei candidati entrano in una zona sensibile. Le aziende che li adottano dovranno verificare con più attenzione il perimetro del loro utilizzo.
Un secondo campo è quello dei servizi finanziari, assicurativi e delle telecomunicazioni, dove l’automazione decisionale può influire su prezzi, accesso, scoring e gestione del cliente. Un terzo è la sanità privata e integrata, in cui l’AI può supportare triage, analisi, priorità e gestione documentale. Poi c’è tutta la filiera industriale: manutenzione predittiva, controllo qualità, robotica, supply chain, logistica.
Non in tutti questi casi gli obblighi saranno identici. Ma il punto comune è che l’azienda dovrà sapere classificare i propri sistemi, capire se ricadono tra gli usi ad alto rischio, documentarne il funzionamento e dimostrare che l’adozione non è avvenuta in modo improvvisato.
Il costo nascosto: mappare tutto quello che è già in uso
Il problema più sottovalutato, per molte imprese, non riguarda i progetti futuri ma quelli già attivi. In questi mesi molte organizzazioni hanno incorporato funzionalità AI in software di terze parti senza trattarle come tali. Strumenti di customer care, gestione documentale, marketing automation, Hr tech e cybersecurity includono già motori di intelligenza artificiale.
Questo crea una difficoltà concreta. Prima ancora di adeguarsi alle nuove regole, le aziende devono sapere dove l’AI è già presente. Serve una mappatura interna: quali sistemi sono in uso, con quali finalità, quali dati trattano, chi li gestisce, da quali fornitori arrivano, con quali clausole contrattuali sono stati acquistati. Senza questo censimento preliminare la compliance rischia di partire da basi fragili.
Per molte pmi il punto critico sarà proprio qui. Le grandi aziende hanno strutture legali e compliance più articolate, anche se non sempre coordinate. Le piccole e medie imprese, invece, spesso acquistano tecnologia in outsourcing e hanno margini minori di controllo sul livello di documentazione. Il rischio è che una parte del tessuto produttivo si trovi stretta tra pressione all’innovazione e carenza di strumenti per governarla.
“Con questi decreti l’Italia passa dalla stagione dei principi a quella della sostanza: l’AI Act smette di essere solo Bruxelles e diventa autorità competenti, sanzioni, ispezioni, sandbox e responsabilità. Il messaggio è chiaro: ora si inizia a fare sul serio e non si potrà più improvvisare”, commenta l’avvocato Massimiliano Masnada, partner di Hogan Lovells.
Trasparenza e rapporti con clienti e utenti
L’AI Act non parla solo alle aziende come soggetti regolati, ma anche al loro rapporto con il mercato. In diversi casi la normativa europea impone o rafforza obblighi di trasparenza: gli utenti devono sapere quando interagiscono con sistemi di AI o quando ricevono contenuti generati o manipolati artificialmente, nei limiti e nelle condizioni fissate dal regolamento.
Per le imprese questo significa rivedere interfacce, informative, procedure commerciali e assistenza clienti. Chi usa chatbot, sistemi di generazione automatica di contenuti, strumenti di raccomandazione o automazione nei servizi dovrà chiedersi quanto il proprio cliente comprenda davvero la natura dello strumento con cui ha a che fare.
La trasparenza, però, non è solo un obbligo. Può diventare anche un elemento competitivo. In un mercato dove molti operatori adotteranno soluzioni AI simili, la capacità di dimostrare affidabilità, tracciabilità e controllo umano può diventare un vantaggio commerciale, soprattutto nei settori più regolati o dove il rapporto fiduciario con il cliente è centrale.
“Per le imprese il punto non è fermare l’IA, ma renderla difendibile. In un quadro di enforcement così strutturato, il vero vantaggio competitivo sarà poter dimostrare, con documenti e processi solidi, che il sistema è stato progettato, testato e monitorato correttamente”, fa notare Masnada.
Il nodo dei fornitori e della catena del valore
Il decreto italiano arriva mentre il mercato dell’AI è dominato da piattaforme globali, modelli sviluppati da grandi gruppi internazionali e una filiera di integratori locali, rivenditori, consulenti e software house. Per le aziende italiane questo significa che una parte rilevante del rischio regolatorio si gioca nella catena del valore.
Un’impresa che acquista un sistema AI da un fornitore esterno non trasferisce automaticamente su di lui tutta la responsabilità. Deve comunque verificare, chiedere garanzie, valutare limitazioni, presidiare il modo in cui quel sistema viene inserito nei propri processi. Il rapporto con il vendor cambierà. Crescerà il peso delle clausole su audit, accesso alla documentazione, aggiornamenti, sicurezza, continuità del servizio e responsabilità in caso di malfunzionamenti.
Questo potrebbe favorire i fornitori più strutturati, capaci di offrire documentazione chiara e processi verificabili. Ma potrebbe anche aprire spazio a un mercato europeo e nazionale di servizi dedicati: consulenza, auditing, certificazione, supporto alla governance AI, revisione contrattuale e formazione specializzata.
Regole come vincolo, ma anche come barriera all’ingresso
Una parte del mondo imprenditoriale vede la regolazione come un costo ulteriore in una fase già segnata da pressione energetica, instabilità geopolitica e investimenti digitali ancora incompleti. È una lettura comprensibile. Adeguarsi richiede tempo, competenze, revisione dei processi e in molti casi spesa aggiuntiva.
Ma per alcune imprese le nuove regole possono trasformarsi anche in una barriera all’ingresso favorevole. Chi riesce a organizzarsi prima, a costruire una governance solida e a selezionare fornitori affidabili potrà presentarsi sul mercato con un profilo più robusto di chi ha adottato strumenti AI in modo disordinato. Questo vale soprattutto nei rapporti B2B e nei settori dove i clienti chiedono garanzie formali su sicurezza, conformità e qualità del dato.
In questo quadro il decreto italiano può avere un effetto indiretto importante: spingere il mercato a selezionare operatori più maturi. Il punto è capire se la transizione sarà accompagnata da linee guida, chiarimenti applicativi e tempi compatibili con la struttura reale delle imprese italiane, fatta in larga parte di pmi.
Che cosa devono fare ora le aziende
Il via libera preliminare del 10 giugno non impone ancora un adempimento immediato e puntuale per tutte le imprese, ma manda un segnale netto. L’adeguamento non è più una materia da osservare a distanza. È un processo da avviare adesso.
“La responsabilità civile cambia il baricentro: non basterà dire che l’errore è dell’algoritmo o che il sistema era complesso. Chi sviluppa o usa AI dovrà poter ricostruire le scelte tecniche e organizzative fatte a monte, perché quella sarà la prima linea di difesa in caso di danno, tanto più ora che viene introdotta una presunzione di causalità tra danno e sistema di AI. In altri termini, c’è una inversione dell’onere della prova, a favore del danneggiato”, chiosa Masnada.
Per le aziende la priorità è costruire un inventario dei sistemi AI in uso, distinguere tra strumenti sviluppati internamente e soluzioni acquistate, verificare i contratti con i fornitori, coinvolgere le funzioni legali e di sicurezza, valutare i casi più esposti e definire una governance interna chiara. Dove l’AI tocca personale, clienti, diritti o decisioni economiche rilevanti, il livello di attenzione deve salire subito.
Il passaggio deciso dal governo non chiude il cantiere, ma cambia il quadro. L’intelligenza artificiale esce dalla fase in cui poteva essere trattata come un’innovazione da testare ufficio per ufficio. Entra in quella in cui deve essere governata come una tecnologia strategica, sottoposta a regole e destinata a incidere sul modo in cui le imprese producono, assumono, vendono e rispondono dei propri processi.
Per le aziende italiane il nodo non è più se occuparsi dell’AI Act. È farlo prima che l’adeguamento diventi un problema operativo.
