Il 23 ottobre 2026 entra in vigore il decreto legislativo 7 ottobre 2026, n. 179, che definisce l’assetto italiano di attuazione dell’AI Act europeo. Il provvedimento, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre, attribuisce alle autorità nazionali i poteri necessari per controllare l’applicazione delle regole sull’intelligenza artificiale, coordinare la vigilanza e intervenire in caso di violazioni.
Il decreto dà seguito alla legge 23 settembre 2025, n. 132, e al regolamento europeo 2024/1689. Interessa direttamente imprese tecnologiche, operatori finanziari, amministrazioni pubbliche, scuole e organizzazioni che sviluppano o utilizzano sistemi di intelligenza artificiale.
Indice degli argomenti:
AgID e ACN, come cambia il sistema dei controlli
La nuova disciplina conferma l’Agenzia per l’Italia digitale (AgID) e l‘Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionali per l’intelligenza artificiale, secondo l’assetto previsto dalla legge 132/2025.
L’AgID assume il ruolo di autorità nazionale di notifica, con competenze sulle procedure relative agli organismi incaricati di valutare la conformità dei sistemi di intelligenza artificiale.
L’ACN esercita invece le funzioni generali di vigilanza del mercato, comprese le attività ispettive e sanzionatorie, ed è il punto di contatto unico con le istituzioni europee.
La ripartizione distingue i compiti di verifica della conformità dalla sorveglianza sui sistemi immessi sul mercato o utilizzati. Le due agenzie devono inoltre collaborare con le altre amministrazioni e autorità indipendenti, evitando sovrapposizioni nell’esercizio delle rispettive competenze.
Banche, mercati finanziari e assicurazioni mantengono autorità dedicate
Il decreto conserva un assetto specifico per il settore finanziario. L’articolo 5 attribuisce alla Banca d’Italia la vigilanza sui sistemi di intelligenza artificiale ad alto rischio utilizzati nei servizi bancari e finanziari di propria competenza.
La Consob mantiene la responsabilità sui sistemi ad alto rischio impiegati nei servizi di investimento sottoposti alla sua supervisione. L’IVASS conserva le funzioni relative all’attività assicurativa e riassicurativa e alla distribuzione dei prodotti assicurativi.
Il testo riconosce inoltre le competenze del Garante per la protezione dei dati personali nei casi previsti dal regolamento europeo.
Per gli operatori regolamentati, l’applicazione dell‘AI Act si inserisce quindi nei sistemi di controllo già esistenti. Banche, intermediari e assicurazioni dovranno tenere conto sia delle prescrizioni europee sull’intelligenza artificiale sia delle disposizioni settoriali applicabili.
Ispezioni e sanzioni, i poteri delle autorità
Una parte centrale del decreto riguarda gli strumenti attraverso i quali le autorità possono verificare il rispetto delle norme.
La disciplina nazionale organizza i poteri di vigilanza, le procedure sanzionatorie e le forme di collaborazione fra amministrazioni. Le autorità competenti possono intervenire secondo le rispettive attribuzioni e le condizioni stabilite dall’AI Act.
Il sistema comprende sanzioni amministrative, avvertimenti e misure non pecuniarie, con modalità di applicazione disciplinate dal decreto e dal regolamento europeo.
Per le imprese diventa quindi importante individuare i sistemi utilizzati, verificarne la classificazione normativa, conservare la documentazione richiesta e definire responsabilità interne per la gestione della conformità.
L’entrata in vigore del decreto nazionale non modifica, tuttavia, il calendario europeo di applicazione delle diverse disposizioni dell’AI Act, che resta regolato dalle norme dell’Unione.
Sandbox regolatorie, uno spazio per sperimentare l’AI
L’articolo 26 istituisce lo Spazio di sperimentazione italiano per l’intelligenza artificiale, gestito congiuntamente da AgID e ACN.
Le imprese potranno sviluppare e verificare sistemi innovativi in un ambiente controllato, confrontandosi con le autorità competenti. La disciplina prevede particolare attenzione alle piccole e medie imprese e alle startup.
Le modalità operative, i criteri di ammissione e le priorità di accesso saranno definiti attraverso successivi provvedimenti. L’istituzione dello spazio non coincide quindi con l’immediata apertura delle procedure di partecipazione.
Scuola e università, nuove competenze sull’intelligenza artificiale
Il decreto dedica diversi articoli alla formazione. L’articolo 36 consente alle scuole di promuovere attività didattiche sull’intelligenza artificiale, mentre l’articolo 38 disciplina la formazione degli insegnanti e degli studenti.
Il ministero dell’Istruzione e del Merito dovrà adottare entro novanta giorni un decreto per definire criteri e modalità della formazione dei docenti.
Le disposizioni coinvolgono anche università, istituzioni di alta formazione e centri per l’istruzione degli adulti, con attenzione alla comprensione dei sistemi algoritmici, alla protezione dei dati e alla valutazione critica dei risultati.
Lavoro, sanità e pubblica amministrazione
L’articolo 41 introduce garanzie specifiche per i lavoratori. Le decisioni definitive riguardanti assunzioni, licenziamenti, provvedimenti disciplinari e valutazioni delle prestazioni non possono essere affidate esclusivamente a trattamenti automatizzati. Il decreto prevede che la decisione finale sia riservata a una persona fisica dotata di effettiva autonomia.
Per la pubblica amministrazione, l’articolo 40 affida al ministro competente il coordinamento delle politiche formative e la definizione delle competenze minime sull’intelligenza artificiale per i dipendenti pubblici.
Il provvedimento comprende inoltre disposizioni relative all’utilizzo dell’IA in ambito sanitario e alla tutela della salute e della sicurezza nei luoghi di lavoro.
Decreto 179/2026, cosa ne pensano le imprese
Con l’entrata in vigore del decreto 179/2026, l’Italia dispone di una disciplina nazionale per l’esercizio delle funzioni di controllo previste dall’AI Act.
L’applicazione operativa richiederà ulteriori atti, tra cui quelli destinati a regolare le sandbox e i percorsi formativi. Per imprese e amministrazioni, il lavoro riguarda ora la ricognizione dei sistemi utilizzati, l’individuazione delle responsabilità e la verifica degli obblighi applicabili. Le autorità dovranno rendere operative le procedure di vigilanza e coordinamento previste dalla nuova disciplina.
Per le imprese, la sfida non si esaurisce nell’adeguamento alle disposizioni di legge. Richiede di ripensare policy interne, modelli di governance e percorsi di formazione, definendo responsabilità e criteri per un impiego dell’intelligenza artificiale coerente con i rischi e le caratteristiche delle diverse attività. Un percorso che coinvolge tanto le funzioni legali e compliance quanto le risorse umane, i responsabili IT e il management.
A delineare alcuni dei principali aspetti è l’avv. Ugo Ettore Di Stefano, senior Partner presso Lexellent, che richiama l’attenzione sugli adempimenti e sulle ricadute concrete per le imprese. “Il decreto chiede alle imprese, in più punti, interventi di governance e compliance che non siano solo documentali. Per esempio, l’art. 41 riserva a una persona fisica con potere effettivo e autonomo le decisioni finali su costituzione, modifica e cessazione del rapporto, inclusi i provvedimenti disciplinari e le valutazioni delle prestazioni. Il consenso del lavoratore non opera come esimente e la violazione rende nulla la decisione, licenziamento compreso. Operativamente occorre quindi mappare i processi HR in cui interviene l’IA e formalizzare ruolo e tracciabilità del decisore umano. Prima dell’avvio devono essere rese le informative obbligatorie ai sensi di legge e, su richiesta, il lavoratore ha diritto a una motivazione intelligibile che indichi l’incidenza dell’IA e i principali parametri considerati. È un obbligo da trasferire quindi anche nei contratti con i fornitori, per non rischiare poi di non essere in grado di gestire correttamente le predette richieste. Per la compliance in ambito sicurezza sul lavoro, l’art. 42 porta l’IA nel DVR: una valutazione carente incide sulla responsabilità penale di datore di lavoro e RSPP in caso di infortunio. Dati, algoritmi e configurazioni di addestramento sono tutelabili come segreti commerciali solo in presenza di misure di protezione ragionevolmente adeguate che bisogno disciplinare e formalizzare. Inoltre, il decreto deve essere letto insieme al d.lgs. 160/2026, che ha inserito il nuovo art. 437-bis c.p. tra i reati presupposto 231: ne discende l’esigenza di aggiornare i modelli organizzativi. Su alcuni aspetti il decreto presenta dubbi interpretativi o criticità come: l’esclusione della preselezione delle candidature, pur ricompresa tra gli usi ad alto rischio nell’AI Act o il riferimento al solo «lavoratore» per il diritto alla motivazione o ancora gli aspetti sanzionatori connessi con gli adempimenti della FRIA (la valutazione di impatto dell’AI sui diritti fondamentali, che le aziende devono redigere) e della violazione al diritto alla spiegazione”.
Equilibrio tra tutela e capacità di innovazione
L’attuazione della normativa rappresenta un passaggio importante, che dovrà accompagnare concretamente le organizzazioni nel percorso di adozione dell’IA, mantenendo un equilibrio tra tutela e capacità di innovazione. “Perché attribuisce alle autorità nazionali poteri di vigilanza e sanzionatori e definisce un quadro più preciso di responsabilità – spiega l’avv. Aurora Agostini, partner di LEXIA -. A mio avviso, resta però un interrogativo importante: il sistema che stiamo costruendo sarà davvero in grado di accompagnare le imprese nell’adozione dell’intelligenza artificiale o rischierà di aggiungere ulteriori livelli di complessità? La pluralità delle autorità coinvolte rende essenziale un coordinamento effettivo, soprattutto per evitare interpretazioni divergenti e incertezze applicative. Le imprese hanno bisogno di sapere non soltanto quali obblighi rispettare, ma anche come tradurli in misure organizzative proporzionate e sostenibili. In questo contesto, ritengo particolarmente importante il ruolo della formazione, che non dovrebbe essere considerata un semplice adempimento, ma uno strumento per sviluppare consapevolezza e capacità di governo delle nuove tecnologie: la sfida, in definitiva, sarà evitare che la regolamentazione dell’intelligenza artificiale diventi un esercizio prevalentemente burocratico, anziché una garanzia per il suo utilizzo responsabile”.
Gestione dei dati e tutela delle persone
Accanto alla definizione delle responsabilità e dei processi decisionali, la governance dell’intelligenza artificiale coinvolge direttamente la gestione dei dati e la tutela delle persone. La diffusione di assistenti capaci di registrare e trascrivere le conversazioni apre nuove opportunità organizzative, ma richiede anche regole chiare su informazione, accessi e conservazione.
Come sottolinea Marta Bonzanini, head of Italy di Plaud, “in questo contesto, la privacy rappresenta il punto d’incontro tra la dimensione normativa e quella culturale. Il GDPR, l’AI Act e, in Italia, le norme sul controllo a distanza dei lavoratori stabiliscono obblighi precisi; tuttavia, la conformità è solo il punto di partenza. Pensiamo, per esempio, al ruolo degli assistenti basati sull’intelligenza artificiale durante le riunioni. Diventa qui fondamentale garantire un grado di tutela alle persone: se i partecipanti non sanno quando uno strumento è attivo, cosa registra o chi potrà accedervi, tenderanno a essere più reticenti, facendo perdere alla riunione il suo scopo. Per le organizzazioni, ciò significa tradurre i principi in regole concrete: informare preventivamente tutti i presenti, inclusi clienti e fornitori, e definire per iscritto chi può accedere alle trascrizioni, per quanto tempo vengono conservate e come possono essere eliminate. Comporta inoltre la scelta di strumenti che rendano la registrazione un atto consapevole: l’avvio deve essere un’azione intenzionale dell’utente, segnalata, per esempio, da una spia luminosa che indica quando la registrazione è in corso. La nostra linea guida è chiara: le persone devono essere informate quando una conversazione viene registrata, comprenderne il motivo e avere la possibilità di esprimere il proprio consenso. Se ci si sposta continuamente in contesti in cui non è possibile informare adeguatamente le persone circostanti, allora non si dovrebbe procedere alla registrazione. In definitiva, il principio non differisce da quello che si applica quando si usa uno smartphone per registrare una conversazione: il semplice fatto di disporre della tecnologia necessaria non conferisce il diritto di registrare qualcuno a sua insaputa. Spetta a chi utilizza il dispositivo la responsabilità di rispettare la privacy altrui, ottenere il consenso laddove richiesto e conformarsi alle leggi locali. Se comunicate chiaramente, queste scelte trasformano la conformità in fiducia, condizione essenziale affinché la tecnologia possa offrire i benefici attesi”.
Interpretare i risultati, valutarne l’affidabilità e inserirli in processi condivisi
La capacità di governare l’AI passa, tuttavia, anche dalle persone e dalle competenze che le organizzazioni sono in grado di sviluppare. La familiarità con i nuovi strumenti rappresenta soltanto una prima tappa: il salto di qualità si misura nella capacità di interpretarne i risultati, valutarne l’affidabilità e inserirli in processi condivisi. È su questo aspetto che si concentra Monica Neboli, head of Custom Projects di Digit’Ed, che invita a ripensare anche le finalità della formazione aziendale. “Nelle organizzazioni, l’AI sta entrando progressivamente nelle attività quotidiane, pur con livelli di adozione diversi e una cautela ancora presente. Le diverse dimensioni di questa trasformazione, però, non maturano allo stesso ritmo: la familiarità con gli strumenti può crescere a un ritmo diverso da quello con cui si sviluppa la capacità delle persone di valutare criticamente ciò che l’AI restituisce, comprendere le implicazioni delle decisioni prese con il suo supporto e assumersene pienamente la responsabilità. È in questo divario che molte imprese rischiano di sovrastimare il proprio livello di avanzamento, misurandolo sulla diffusione d’uso anziché sulla qualità del giudizio che le persone esercitano e sul contesto organizzativo in cui lo esercitano. Oggi, peraltro, l’AI viene impiegata soprattutto a livello individuale, mentre il valore per l’organizzazione emerge quando queste esperienze si trasformano in pratiche condivise, sostenute da linguaggi comuni, criteri decisionali espliciti e una chiara attribuzione delle responsabilità all’interno dei team. Il punto, però, va oltre la tecnologia: se l’AI è ormai parte integrante del modo di lavorare, il baricentro della formazione si sposta dalle singole competenze, tecniche o trasversali che siano, alle operazioni cognitive che le orientano, come inquadrare un problema, porre le domande giuste, valutare informazioni e alternative, riflettere sui propri processi di ragionamento. È su questa dimensione metacognitiva che si costruisce la capacità di persone e organizzazioni di apprendere e adattarsi a un modo di lavorare in continua evoluzione”.
La voce del mercato pubblicitario e del fintech
L’importanza delle competenze e della responsabilità umana emerge anche nei settori in cui l’intelligenza artificiale influenza direttamente decisioni con ricadute economiche e reputazionali. Nel mercato pubblicitario, ad esempio, la qualità dei dati e la possibilità di verificare il funzionamento dei sistemi diventano elementi centrali per assicurare affidabilità e fiducia. “Integrare l’intelligenza artificiale nelle imprese richiede persone capaci di comprenderne i limiti, valutarne i risultati e sapere quando intervenire – commenta Elisa Lupo, managing director Italia e Iberia di IAS – Integral AD Science –. Nel mercato pubblicitario, le decisioni automatizzate incidono sugli investimenti e sulla reputazione dei brand: servono quindi dati di qualità, responsabilità chiare e una supervisione umana effettiva. La formazione deve sviluppare questa capacità di giudizio, mentre controlli continui e verifiche indipendenti devono rendere misurabile l’affidabilità dei sistemi. È il percorso che abbiamo intrapreso in IAS anche attraverso le certificazioni sull’AI responsabile: tradurre i principi in pratiche verificabili, per costruire fiducia e generare valore per tutto il mercato”.
La trasformazione investe anche le attività finanziarie, dove l’intelligenza artificiale può contribuire a semplificare operazioni e processi analitici, liberando risorse da destinare alla pianificazione e al supporto alle decisioni. “Soprattutto per le PMI – interviene Michele Sansone, country manager per l’Italia di iBanFirst -. dove attività come il monitoraggio della liquidità, l’analisi dei flussi di cassa e la gestione delle operazioni in valuta richiedono ancora un significativo lavoro manuale. La sfida è quella di riuscire a trasformare rapidamente i dati a disposizione in informazioni utili per prendere decisioni. L’IA può contribuire a superare questo limite, riducendo il tempo dedicato alla raccolta e alla rielaborazione delle informazioni e permettendo ai professionisti finanziari di concentrarsi maggiormente sull’analisi e sulla pianificazione. Questa evoluzione richiede, però, un cambiamento che va al di là della tecnologia. L’adozione dell’intelligenza artificiale deve essere accompagnata da attenzione alla sicurezza dei dati, da regole chiare per il suo utilizzo e da un investimento nelle competenze delle persone. È fondamentale che chi lavora con questi strumenti sappia valutarne i risultati, comprenderne i limiti e mantenere il controllo sui processi decisionali. In questo senso, l’AI Act rappresenta un’occasione per riflettere anche sulle condizioni necessarie per integrare l’IA in modo consapevole e responsabile nelle organizzazioni. In iBanFirst questo cambiamento si traduce già in applicazioni concrete: abbiamo integrato Claude attraverso un connettore MCP che consente di interrogare i dati di pagamento e di tesoreria in linguaggio naturale, rendendo più immediato l’accesso alle informazioni e la loro analisi all’interno dei flussi di lavoro quotidiani”.
Dall’analisi dei dati all’esecuzione delle operazioni, il fintech si sta inoltre confrontando con l’evoluzione verso sistemi di intelligenza artificiale capaci di coordinare attività articolate. In questo scenario, la progettazione tecnologica e i meccanismi di controllo assumono un ruolo determinante, soprattutto in un settore in cui l’integrità delle transazioni e la fiducia degli utenti sono imprescindibili.
“Il mondo fintech sta attraversando un profondo cambiamento di paradigma, superando rapidamente il modello dei software tradizionali per entrare in una nuova era in cui l’intelligenza artificiale è al centro dello sviluppo – aggiunge Daria Rumiantseva, lead product manager – Finom AI -. In Finom siamo convinti che il futuro dei servizi bancari per le PMI risieda nell’AI agentic: sistemi capaci di andare oltre la semplice organizzazione dei dati finanziari, per gestire ed eseguire in sicurezza flussi operativi complessi. In ecosistemi finanziari altamente regolamentati, un simile livello di automazione richiede un’architettura tecnologica d’eccellenza. La vera innovazione consiste nel coniugare funzionalità all’avanguardia con la massima integrità delle transazioni, assicurando che ogni processo automatizzato avanzato preveda obbligatoriamente una conferma da parte dell’utente prima dell’esecuzione, così da garantire piena conformità normativa e consolidare la fiducia degli utenti. È proprio questa filosofia di sviluppo del prodotto che consente a Finom di definire nuovi standard in materia di compliance e innovazione, in vista dell’entrata in vigore dell’AI Act europeo. La nostra infrastruttura è progettata per trasformare i vincoli normativi in vantaggi competitivi. Un esempio concreto è Finom AI: anziché proporre un semplice chatbot conversazionale, abbiamo sviluppato un’interfaccia intelligente che consente agli utenti di attivare e coordinare in modo intuitivo operazioni complesse relative a carte aziendali, fatturazione automatizzata e pagamenti attraverso diversi circuiti, utilizzando il linguaggio naturale. L’IA predispone ogni operazione, che viene poi esplicitamente confermata dall’utente prima di essere eseguita. Integrando un’automazione così avanzata e conforme alle normative direttamente nel DNA del prodotto, Finom dimostra come l’IA di nuova generazione possa ridurre in sicurezza gli oneri amministrativi e semplificare i processi, ridefinendo i parametri di riferimento in termini di efficienza per il mercato fintech B2B e di supporto concreto agli imprenditori attraverso l’intelligenza artificiale”.
Fonte normativa primaria
decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale, Serie Generale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026. Gazzetta Ufficiale · Testo su Normattiva. Riferimenti: articoli 5, 19-26 e 36-46.
Partecipa alla community