Il Consiglio dei ministri ha approvato il 5 agosto 2026, in esame definitivo, i due decreti legislativi che adeguano l’ordinamento italiano all’AI Act europeo. I provvedimenti intervengono sull’uso dell’intelligenza artificiale nelle attività di polizia, sulla responsabilità civile e penale, sulle autorità di controllo, sulla formazione e sulle decisioni che riguardano i lavoratori.
Il passaggio definitivo arriva dopo l’esame preliminare del 10 giugno 2026 e dopo i pareri delle Commissioni parlamentari, della Conferenza unificata e del Garante per la protezione dei dati personali. Il Governo ha modificato diversi punti degli schemi iniziali, soprattutto in materia di videosorveglianza, trattamento dei dati biometrici, competenze delle Regioni e poteri del Garante.
La base europea è il regolamento Ue 2024/1689, approvato il 13 giugno 2024. L’AI Act introduce una disciplina comune fondata sul livello di rischio dei diversi sistemi e punta a garantire sicurezza, tutela della salute e rispetto dei diritti fondamentali, senza impedire la circolazione di prodotti e servizi basati sull’intelligenza artificiale nel mercato unico.
La delega al Governo deriva invece dall’articolo 24 della legge 23 settembre 2025, n. 132, pubblicata nella Gazzetta ufficiale del 25 settembre 2025. La legge ha fissato i principi nazionali per lo sviluppo e l’impiego dell’intelligenza artificiale e ha affidato all’esecutivo il compito di coordinare le norme italiane con quelle europee.
Indice degli argomenti:
L’intelligenza artificiale nelle attività di polizia
Il primo decreto introduce una disciplina organica per l’impiego dei sistemi di intelligenza artificiale nelle attività di polizia. Il principio centrale è la responsabilità dell’operatore: la tecnologia può analizzare dati, individuare corrispondenze o sostenere un’indagine, ma la decisione finale deve restare attribuibile a una persona.
Il decreto esclude che un provvedimento capace di produrre effetti giuridici negativi possa essere adottato esclusivamente sulla base di un’elaborazione automatizzata. Un sistema, per esempio, non potrà determinare da solo l’adozione di una misura nei confronti di un cittadino. L’operatore dovrà valutare il risultato, verificarne l’attendibilità e assumersi la responsabilità dell’atto.
La sorveglianza umana assume così un valore operativo e giuridico. Non basta prevedere formalmente la presenza di un funzionario: il controllo deve consentire di comprendere il funzionamento del sistema, contestarne il risultato e interromperne l’utilizzo quando emergono errori, anomalie o rischi per i diritti delle persone.
Riconoscimento biometrico solo in casi eccezionali
L’identificazione biometrica a distanza in tempo reale sarà consentita soltanto in casi eccezionali, per periodi limitati e con la preventiva autorizzazione dell’autorità giudiziaria. La misura riguarda strumenti che confrontano i volti ripresi da telecamere con immagini contenute in una banca dati per identificare una persona mentre si trova in uno spazio accessibile al pubblico.
Il decreto vieta inoltre la creazione di archivi biometrici attraverso la raccolta massiva e non mirata di fotografie o immagini disponibili online. Non sarà quindi possibile costruire banche dati estraendo indiscriminatamente volti da siti internet, social network o riprese di videosorveglianza.
Le regole italiane si inseriscono nella disciplina europea, che considera particolarmente invasivi i sistemi di identificazione biometrica e ne ammette l’uso in tempo reale da parte delle forze dell’ordine entro condizioni rigorose. L’AI Act distingue queste attività da altri impieghi dell’intelligenza artificiale e richiede garanzie rafforzate per proteggere libertà personali e dati sensibili.
Dopo i pareri ricevuti, il Governo ha precisato anche la disciplina del riconoscimento facciale a posteriori. In questo caso il confronto non avviene durante la ripresa, ma successivamente, utilizzando immagini già raccolte.
Il testo definitivo definisce i requisiti minimi della banca dati impiegata per il confronto, gli obblighi di cancellazione delle informazioni e le misure necessarie per impedire che l’archivio venga ampliato durante l’operazione. L’obiettivo è circoscrivere il confronto biometrico ai dati autorizzati e impedire l’inserimento progressivo di nuove immagini senza una base giuridica specifica.
Nuovo reato per i sistemi ad alto rischio
Il decreto interviene anche sul Codice penale con il nuovo articolo 437-bis. La disposizione punisce chi omette di adottare le misure di sicurezza richieste per i sistemi di intelligenza artificiale classificati ad alto rischio e chi altera illecitamente tali misure.
La pena sarà graduata in relazione al bene giuridico esposto al pericolo. La valutazione potrà quindi cambiare quando l’omissione o la manomissione mette a rischio la vita, l’incolumità, la sicurezza pubblica o altri interessi protetti dall’ordinamento.
Il testo definitivo dedica una previsione autonoma all’utilizzatore professionale che omette intenzionalmente di adottare le misure di sorveglianza umana previste per i sistemi ad alto rischio. La norma distingue così le responsabilità del produttore da quelle del soggetto che impiega concretamente il sistema nella propria attività.
La scelta segue l’impostazione dell’AI Act, che distribuisce gli obblighi lungo la catena di progettazione, fornitura e utilizzo. Chi mette in servizio o adopera un sistema non può limitarsi a fare affidamento sulle valutazioni del produttore, ma deve rispettare le istruzioni, controllare il funzionamento e intervenire quando il sistema genera risultati anomali.
Più strumenti per chi subisce un danno
Il primo decreto rafforza anche la posizione di chi sostiene di aver subito un danno provocato da un sistema di intelligenza artificiale. Il danneggiato potrà accedere alla documentazione tecnica necessaria per ricostruire il funzionamento del sistema e verificare quali dati, parametri e procedure abbiano contribuito al risultato contestato.
L’accesso alla documentazione risponde a un problema tipico delle controversie algoritmiche: chi subisce la decisione spesso non dispone delle informazioni necessarie per dimostrare l’errore. Il funzionamento del sistema, i dati di addestramento e i registri delle operazioni rimangono infatti sotto il controllo del produttore o dell’utilizzatore professionale.
Il decreto introduce anche una presunzione sul nesso di causalità, destinata ad alleggerire l’onere probatorio quando la violazione degli obblighi previsti dalla normativa rende plausibile il collegamento tra il comportamento contestato e il danno.
Sono previsti inoltre un foro alternativo vicino alla residenza del danneggiato e la possibilità di agire direttamente nei confronti dell’impresa assicuratrice. Le misure puntano a ridurre i costi e gli ostacoli che potrebbero rendere ineffettiva la richiesta di risarcimento.
Agid e Acn al centro dei controlli
Il secondo decreto definisce l’assetto delle autorità italiane. L’Agenzia per l’Italia digitale, Agid, assume il ruolo di autorità di notifica, mentre l’Agenzia per la cybersicurezza nazionale, Acn, diventa autorità di vigilanza del mercato.
Agid dovrà occuparsi, tra l’altro, degli organismi incaricati di valutare la conformità dei sistemi. Acn controllerà invece il rispetto delle regole da parte dei prodotti e dei servizi immessi sul mercato, con particolare attenzione ai requisiti di sicurezza.
Il sistema prevede anche autorità settoriali. Banca d’Italia, Consob e Ivass eserciteranno funzioni di vigilanza sui sistemi ad alto rischio collegati ai servizi bancari, finanziari e assicurativi. Il Garante per la protezione dei dati personali avrà competenze sui sistemi impiegati nelle attività di contrasto, nella gestione delle frontiere, nella giustizia e nei processi democratici.
Dopo i pareri, il testo ha precisato i poteri del Garante e il suo coinvolgimento negli spazi di sperimentazione normativa. Sono state chiarite anche le condizioni per trattare dati operativi sensibili nelle attività di ricerca e sperimentazione.
Sanzioni graduate e sperimentazioni per le imprese
Il quadro sanzionatorio nazionale segue criteri di proporzionalità. I limiti massimi saranno inferiori a quelli previsti direttamente dal regolamento europeo e, per le violazioni meno offensive, le autorità potranno applicare misure non pecuniarie.
La disciplina dovrà però coordinarsi con il regolamento Ue 2026/1744 dell’8 luglio 2026, pubblicato il 24 luglio. Il provvedimento europeo ha modificato il calendario di applicazione di alcuni obblighi dell’AI Act, in particolare per i sistemi ad alto rischio.
Il decreto italiano prevede quindi che le sanzioni entrino in vigore soltanto quando diventeranno effettivamente applicabili i corrispondenti obblighi e divieti europei. La norma evita che una condotta venga punita in Italia prima dell’entrata in vigore della disposizione europea violata.
Il provvedimento anticipa inoltre l’attivazione degli spazi di sperimentazione normativa, ambienti controllati nei quali imprese e amministrazioni possono sviluppare e verificare sistemi innovativi sotto la supervisione delle autorità. Piccole e medie imprese e aziende in fase di avvio riceveranno un trattamento preferenziale nell’accesso.
Cento milioni per scuola e formazione
Una parte ampia del secondo decreto riguarda la formazione. Le indicazioni nazionali per le scuole dovranno essere aggiornate per includere l’intelligenza artificiale, mentre la preparazione dei docenti dovrà diventare stabile.
Il Governo ha previsto 100 milioni di euro per la formazione degli insegnanti e per il contrasto dei rischi collegati all’abuso di piattaforme digitali, reti sociali e strumenti di intelligenza artificiale. La misura era già contenuta negli schemi approvati in esame preliminare il 10 giugno.
Anche i dipendenti pubblici dovranno ricevere percorsi di alfabetizzazione, riqualificazione e alta formazione, con il coinvolgimento della Scuola nazionale dell’amministrazione e di Formez. La Scuola superiore della magistratura curerà invece la formazione dei magistrati.
Per i professionisti sanitari, la preparazione sull’intelligenza artificiale entrerà obbligatoriamente nel programma di Educazione continua in medicina. Medici e operatori dovranno conoscere possibilità, limiti e rischi dei sistemi utilizzati nella diagnosi, nella prevenzione e nelle decisioni cliniche.
Un algoritmo non potrà decidere un licenziamento
Il decreto stabilisce che le decisioni sulla costituzione, la modifica o la risoluzione del rapporto di lavoro non possano essere adottate unicamente sulla base di un trattamento automatizzato. Il divieto comprende i provvedimenti disciplinari e i licenziamenti.
Un licenziamento deciso soltanto da un sistema automatizzato sarà nullo. Il datore di lavoro dovrà assicurare un intervento umano effettivo, capace di esaminare le circostanze del caso e di motivare la decisione.
Dopo i pareri parlamentari e istituzionali, il Governo ha escluso da questa disciplina le attività di ricerca e selezione delle candidature. La mancata ammissione di un candidato alle fasi successive della selezione non viene considerata una decisione finale sulla costituzione del rapporto di lavoro.
La distinzione riduce la portata del divieto nella fase precedente all’assunzione. Restano però applicabili le norme europee sui sistemi ad alto rischio utilizzati per selezionare, valutare o classificare i candidati, oltre alle disposizioni sulla protezione dei dati e contro le discriminazioni.
Regioni coinvolte e responsabilità ancora umana
Il testo definitivo riconosce un ruolo più ampio alle Regioni e alle Province autonome. Gli enti territoriali parteciperanno alle attività previste dal decreto e potranno mettere a disposizione esperienze, programmi e soluzioni già sviluppate, favorendone il riuso da parte di altre amministrazioni.
Specifiche modalità pattizie regoleranno inoltre la partecipazione degli enti locali all’installazione e alla manutenzione delle componenti di intelligenza artificiale e delle tecnologie biometriche collegate ai sistemi di videosorveglianza utilizzati per contrastare i reati.
I due decreti distribuiscono competenze e responsabilità tra produttori, utilizzatori, autorità nazionali e organismi territoriali. Il limite comune riguarda il potere decisionale: nei rapporti di lavoro, nelle attività di polizia e nei procedimenti pubblici, l’elaborazione automatizzata potrà sostenere la valutazione, ma non cancellare la responsabilità di chi firma e applica il provvedimento.
L’efficacia delle nuove regole dipenderà ora dalla qualità dei controlli, dall’accesso alla documentazione tecnica e dalla capacità delle amministrazioni di formare il personale. Senza competenze adeguate, la sorveglianza umana rischia di ridursi a una conferma formale del risultato prodotto dalla macchina. I decreti richiedono invece che l’operatore possa capire, verificare e, quando necessario, respingere quel risultato.
Partecipa alla community