Il 23 ottobre 2026 entra in vigore il decreto legislativo n. 179/2026 – Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione.
Con esso l’Italia completa il proprio sistema di controllo sull’intelligenza artificiale: sa chi vigila, che cosa si sanziona e quanto si rischia. La cifra che fa notizia è quella massima: 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate.
La domanda più interessante, però, è un’altra: chi controlla l’intelligenza artificiale in Europa? La risposta non sta in un solo nome, ma in un elenco piuttosto lungo.
Indice degli argomenti:
Italia: chi controlla, che cosa, le sanzioni
Il sistema italiano poggia su due testi: la legge n. 132/2025, che ha scelto le autorità, e il d.lgs. n. 179/2026, che ne ha definito poteri, sanzioni e procedure.
Chi controlla
Il perno è l’ACN, l’Agenzia per la cybersicurezza nazionale: è l’autorità di vigilanza generale e il punto di contatto con l’Europa. L’AgID, l’Agenzia per l’Italia digitale, abilita e sorveglia gli enti che certificano i sistemi. Accanto a loro, alcuni ambiti hanno un controllore dedicato.
Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati, rispettivamente, nel credito e nei servizi bancari, nei servizi finanziari e nelle assicurazioni.
Il Garante per la protezione dei dati personali è autorità di vigilanza ai sensi dell’AI Act negli ambiti individuati dall’art. 74, par. 8, cioè l’AI ad alto rischio impiegata in attività di polizia, gestione delle frontiere, giustizia e processi democratici. Restano ferme tutte le sue competenze in materia di protezione dei dati personali.
Quando l’AI è parte di un prodotto già regolato, vigilano insieme l’ACN e l’autorità di sorveglianza di quel prodotto. Sui modelli di IA per finalità generali e sui grandi sistemi integrati è competente l’AI Office europeo.
A tenere insieme il tutto è un Comitato di coordinamento presso la Presidenza del Consiglio, composto dai direttori di AgID e ACN e dal capo del Dipartimento per la trasformazione digitale, aperto alle autorità finanziarie per le questioni di loro competenza.
Come nasce un controllo
Il procedimento può partire in quattro modi:
- la segnalazione di un incidente grave da parte del fornitore,
- il reclamo di chiunque ritenga violate le regole,
- la segnalazione di un’altra autorità,
- l’iniziativa d’ufficio.
Un reclamo inviato all’autorità sbagliata viene girato d’ufficio a quella giusta. Per le prove dei sistemi in condizioni reali l’ACN può ispezionare anche senza preavviso.
Che cosa si sanziona e quanto
Il decreto distribuisce le violazioni su quattro fasce. In ciascuna vale la cifra fissa o, se più alta, la percentuale del fatturato mondiale dell’anno precedente.
Al gradino più alto stanno le pratiche vietate, come la manipolazione subliminale, il «punteggio sociale» o il riconoscimento delle emozioni sul lavoro e a scuola: fino a 35 milioni di euro o al 7% del fatturato. Seguono, fino a 15 milioni o al 3%, le violazioni degli obblighi di chi produce, importa, distribuisce o usa professionalmente sistemi ad alto rischio, degli obblighi di trasparenza su chatbot e deepfake e dell’obbligo di segnalare gli incidenti gravi.
Chi fornisce ad autorità o enti di certificazione informazioni inesatte, incomplete o fuorvianti rischia fino a 7,5 milioni o l’1%.
Chiude la scala, con un massimo di 1 milione o dello 0,5%, la violazione degli obblighi sulla valutazione d’impatto sui diritti fondamentali e sul diritto della persona a ricevere una spiegazione della decisione che la riguarda.
Per piccole e medie imprese e start-up innovative vale l’importo più basso tra cifra fissa e percentuale. Nel graduare la sanzione l’autorità considera gravità, durata, intenzionalità, cooperazione e anche la natura sostanziale o formale dell’obbligo violato.
Per le violazioni di scarsa offensività, in alternativa alla multa, l’autorità può ordinare di rimediare entro un termine oppure, se la violazione è cessata, pubblicare una dichiarazione che la rende nota. Chi non esegue l’ordine rischia una multa aumentata fino a un terzo.
Con quale procedura
Valgono per tutti la contestazione degli addebiti e un provvedimento motivato. Per il resto, ogni autorità applica le regole proprie:
- regolamento per AgID e ACN,
- Testo unico bancario per la Banca d’Italia,
- Testo unico della finanza per la CONSOB,
- Codice delle assicurazioni per l’IVASS,
- Codice privacy per il Garante.
- In via residuale si applica la legge n. 689/1981 sulle sanzioni amministrative, tranne la norma sul pagamento in misura ridotta: non è possibile, quindi, chiudere la partita pagando una somma minore. I provvedimenti sono pubblicati per estratto sul sito dell’autorità.
Un regolamento unico, molti arbitri
L’AI Act, il Regolamento (UE) 2024/1689, è stato scelto in forma di regolamento proprio per evitare che ogni Stato si facesse le proprie regole. Un regolamento, a differenza di una direttiva, si applica direttamente in tutta l’Unione, con le stesse parole e gli stessi obblighi. Nel 2021 la Commissione lo motivava proprio così: evitare un mosaico di norme nazionali divergenti.
Le regole, dunque, sono uniche. A farle rispettare, però, l’AI Act chiama le autorità nazionali. Ogni Stato deve designare almeno un’autorità di notifica, che abilita gli enti incaricati di certificare i sistemi più delicati, e almeno un’autorità di vigilanza del mercato, che controlla, ispeziona e sanziona. Una di queste fa da punto di contatto unico verso Bruxelles e verso il pubblico (art. 70).
Il numero che circola, circa 2.000 autorità, va maneggiato con cura ma non è un’esagerazione. L’art. 74 stabilisce che, quando l’AI è incorporata in un prodotto già regolato (una macchina industriale, un dispositivo medico, un giocattolo, un ascensore), il controllo spetti all’autorità che già sorveglia quel prodotto. Le categorie di prodotti armonizzati sono 38, e in ciascuno Stato ognuna ha le sue autorità, talvolta anche regionali.
Sommandole, si arriva appunto a circa duemila enti potenzialmente competenti; a questi si aggiungono oltre duecento autorità di tutela dei diritti fondamentali, con poteri di accesso alla documentazione (art. 77).
Tra i controllori potenziali dell’intelligenza artificiale europea figurano così, ciascuno nel proprio ambito, l’agenzia greca per il riciclo e l’ispettorato delle attività economiche di Madeira. Il mercato unico ha finalmente regole uniche; i controllori, invece, sono un po’ meno unici.
Si poteva fare diversamente?
In parte sì. Nel giugno 2023 il Parlamento europeo aveva proposto che ogni Stato avesse una sola autorità nazionale di supervisione dell’AI, con poche eccezioni per la finanza e le attività di polizia. Sarebbe stato un interlocutore unico per imprese e cittadini, e un tavolo europeo più ordinato.
Nel negoziato finale ha prevalso un’altra impostazione, già presente nella proposta della Commissione del 2021. Non creare nuovi enti, ma servirsi delle autorità esistenti, e lasciare a ciascuno Stato la libertà di organizzarsi secondo le proprie caratteristiche.
Una parte della pluralità, va detto, era inevitabile. L’intelligenza artificiale non è un settore ma una tecnologia trasversale: entra nelle banche, negli ospedali, nelle fabbriche, nei tribunali. Il regolamento stesso affida ai supervisori finanziari l’AI delle banche e delle assicurazioni (art. 74, par. 6) e ai garanti della privacy o ad altre autorità indipendenti l’IA usata in polizia, frontiere e giustizia (art. 74, par. 8).
C’è poi una differenza con il GDPR, il regolamento sulla protezione dei dati. Lì, per chi opera in più Paesi, esiste un’autorità capofila che fa da sportello unico. L’AI Act non prevede nulla di simile: ogni autorità vigila sul proprio territorio, e il coordinamento è affidato al Comitato europeo per l’AI e a una procedura con cui la Commissione può valutare le misure nazionali contestate (art. 81).
Il Digital Omnibus
Nel luglio 2026 Bruxelles ha corretto parzialmente la rotta. Il cosiddetto Digital Omnibus, il Regolamento (UE) 2026/1744, ha attribuito all’AI Office della Commissione la competenza esclusiva su due categorie: i sistemi costruiti da chi sviluppa anche il modello di AI per finalità generali su cui si basano, e quelli integrati nelle piattaforme e nei motori di ricerca «molto grandi». È una semplificazione reale, ma tagliata su misura dei grandi operatori. Le piccole e medie imprese restano nel sistema nazionale.
La riforma ha inoltre rinviato al dicembre 2027 e all’agosto 2028 l’applicazione di una parte fondamentale degli obblighi relativi ai sistemi ad alto rischio: la prima data vale per i sistemi impiegati in ambiti sensibili come lavoro, credito o istruzione, la seconda per quelli incorporati in prodotti già regolati. Il sistema dei controlli è quindi non soltanto frammentato tra autorità diverse, ma anche destinato a entrare progressivamente a regime.
Un’Europa a tre velocità
Gli Stati avrebbero dovuto designare le proprie autorità entro il 2 agosto 2025. Secondo l’elenco pubblicato dalla Commissione europea, aggiornato al 7 settembre 2026, la situazione è questa.
Solo nove Stati hanno completato la designazione: Danimarca, Finlandia, Grecia, Irlanda, Italia, Lettonia, Lituania, Malta e Polonia. Altri dodici, tra cui Francia, Germania, Spagna e Paesi Bassi, hanno indicato un’autorità ma attendono l’atto definitivo. Sei, cioè Austria, Belgio, Bulgaria, Croazia, Slovacchia e Ungheria, non ne hanno ancora segnalata alcuna.
L’elenco va letto con qualche cautela, perché non sempre segue il passo delle leggi nazionali: la Germania vi figura ancora «in attesa» benché la sua legge sia in vigore dal 29 luglio 2026, e l’Ungheria non compare affatto, pur avendo una legge in vigore da dicembre 2025.
I modelli scelti sono molto diversi fra loro
Alcuni Paesi affidano tutto a un’unica autorità: Cipro e Portogallo al regolatore delle comunicazioni, la Polonia a un organo collegiale nuovo, la KRiBSI, l’Ungheria al Ministero dell’economia. Altri puntano su un’autorità guida con riserve di settore. La Germania ha scelto la Bundesnetzagentur, il regolatore delle reti, lasciando ai Länder la vigilanza sulle proprie amministrazioni. La Spagna ha scelto un’agenzia nata apposta, l’AESIA, ma la sua legge è ancora all’esame del Parlamento.
Altri ancora distribuiscono le competenze tra molte autorità, con un coordinatore. I Paesi Bassi ne prevedono dieci, tra cui perfino il Procuratore generale presso la Corte suprema; l’Irlanda ha istituito un AI Office nazionale che coordina, ma non sanziona.
Intanto, dal 2 agosto 2026 si applicano gli obblighi di trasparenza, per esempio quello di dire alle persone che stanno parlando con un chatbot. In diversi Stati, però, la legge che consente di sanzionarne la violazione non c’è ancora: Paesi Bassi, Spagna, Francia, Lussemburgo, Austria, Belgio. Le regole valgono, il fischietto non ancora.
Stessa violazione, conseguenze diverse
I massimi delle sanzioni sono uguali ovunque, perché li fissa l’art. 99 dell’AI Act. Il regolamento lascia però agli Stati alcune scelte che pesano molto sull’esito concreto di un procedimento.
La prima riguarda la pubblica amministrazione, perché ogni Stato decide se e quanto multarla (art. 99, par. 8). La legge tedesca esclude le multe a enti e organismi pubblici; il progetto spagnolo prevede per il settore pubblico solo ammonimenti e misure correttive. Lo stesso uso di un sistema vietato può così costare una sanzione in un Paese e un semplice richiamo in un altro.
Cambia poi chi decide. L’AI Act consente di affidare la sanzione a un giudice (art. 99, par. 9). In Danimarca la multa è una sanzione penale; in Finlandia le più pesanti spettano a un collegio indipendente, separato da chi indaga; in Irlanda decidono giudicatori indipendenti, con conferma del tribunale. Altrove provvede, di regola, la stessa autorità di vigilanza.
Anche le regole di procedura variano: la Spagna ne scrive una sola nella legge sull’AI, la Germania applica quelle generali sugli illeciti amministrativi, l’Italia rinvia alle procedure proprie di ciascuna autorità.
Diverse, infine, sono le risorse. Nel 2021 la Commissione stimava che a ogni Stato sarebbero servite da 1 a 25 persone; secondo la stampa spagnola la sola AESIA conta di assumere 50 analisti, mentre altri Paesi, Italia compresa, affidano i nuovi compiti alle risorse già disponibili.
Per un’impresa che opera in più Paesi, quindi, la stessa norma può tradursi in rischi di intensità diversa. Un’impresa in cerca di certezze dovrà mappare non solo gli obblighi, ma anche gli arbitri di ciascun campo.
Regole indispensabili, percorso a ostacoli
Sia chiaro: un quadro europeo comune sull’intelligenza artificiale è un risultato importante, anzi necessario. Senza l’AI Act avremmo avuto ventisette discipline diverse, nessuna tutela uniforme per i cittadini e nessuna prevedibilità per chi investe. Che l’Europa abbia scelto di regolare per prima una tecnologia di questa portata resta un merito, non un difetto.
Il punto è un altro. Una volta scritte le regole comuni, il compito di farle rispettare è stato restituito agli Stati, e ciascuno lo ha interpretato a modo suo: chi con un’autorità sola, chi con dieci, chi ancora con nessuna. Ne deriva una geografia del controllo che cambia da confine a confine, con autorità, procedure, tempi e perfino destinatari delle sanzioni diversi.
Per l’operatore economico, soprattutto per la piccola e media impresa che non rientra nel perimetro accentrato a Bruxelles, è l’ennesima complessità da gestire. Non basta più chiedersi «quali obblighi ho?»: bisogna chiedersi anche «chi mi controlla, con quale procedura, in quale Paese?». Ancora una volta, la conformità richiede non solo di conoscere la norma, ma di orientarsi tra chi la applica.
Si dirà che tanti controllori non sono di per sé un male: chi vigila sulle banche conosce le banche, chi sorveglia i dispositivi medici conosce i dispositivi medici. È vero, ed è la ragione per cui il regolamento ha scelto questa strada. Ma il sapere di settore non dispensa da una competenza comune sull’AI, che andrebbe costruita centinaia di volte; e soprattutto non dice all’impresa a quale porta bussare quando lo stesso sistema attraversa più settori. Il punto, allora, non è avere meno controllori, ma un solo ingresso e le stesse regole del gioco.
La via d’uscita non sta nel rinunciare alle regole, ma nel completarle: un vero coordinamento europeo tra le autorità, criteri interpretativi comuni e, quando l’esperienza lo consentirà, qualche passo ulteriore verso uno sportello unico anche per chi non è un colosso tecnologico.
Partecipa alla community