La Legge 23 settembre 2025 n. 132 in materia di intelligenza artificiale è stata pubblicata sulla G.U. del 25 settembre al termine di un iter di gestazione lungo e fortemente voluto dal Governo.
La Legge italiana invero si inserisce in un contesto regolativo già abbastanza ricco. Il Regolamento 2024/1689 AI Act è in vigore dal 1° agosto 2024 e si applica direttamente a tutti gli Stati membri, sebbene con cadenze temporali progressive e postergate per la parte più rilevante, cioè quella dei sistemi ad alto rischio, al 2 agosto 2027.
Ne deriva che la Legge 132/2025 si aggiunge all’AI Act per coloro che, in Italia, sono impegnati nella ricerca, nella sperimentazione, nello sviluppo, nell’adozione, nell’applicazione e nell’utilizzo di sistemi di AI (v. art. 1 e 2 della Legge).
Indice degli argomenti:
L’integrazione fra la legge italiana e l’AI Act
Integrare le due fonti, tuttavia, non è semplice e pone diversi interrogativi non semplici da risolvere. Inoltre, il quadro regolativo a livello italiano introdotto con la Legge 132 si deve ancora completare, in quanto la Legge contiene, oltre a norme immediatamente precettive, anche deleghe al Governo per l’emanazione di ulteriori disposizioni, che dovranno essere adottate con successivi decreti legislativi e atti regolamentari. Tali atti riguardano, tra l’altro: l’apparato sanzionatorio e la disciplina di nuove fattispecie di responsabilità penali, civili e amministrative connesse alla violazione di norme sull’uso improprio e illecito della AI; la riforma dei criteri di imputazione delle responsabilità penale e civile e di ripartizione dell’onere della prova; la definizione di una disciplina organica relativa “all’utilizzo di dati, algoritmi e metodi matematici per l’addestramento di sistemi di intelligenza artificiale” (art. 16); la puntualizzazione dei poteri, anche di vigilanza e sanzionatori, delle autorità nazionali per l’AI.
Il quadro delle norme italiane andrà così ad arricchire l’AI Act che, dal canto suo, reca una disciplina poderosa, dettagliata e sin troppo complessa da tradurre a livello applicativo concreto, con i suoi 180 “considerando”, 113 articoli e 13 allegati (in tutto 144 pagine di provvedimento).
AI Act, cosa richiede agli Stati nazionali
Va ricordato che la scelta della UE di ricorrere a uno strumento regolativo immediatamente cogente e auto-applicativo (self executing), quale è il Regolamento, è stata dettata proprio dall’esigenza di dotarsi di una fonte unica e uniforme a livello europeo, senza rimettersi agli atti di recepimento degli Stati membri. La tensione dell’AI Act per l’uniformità non solo regolativa, ma anche interpretativa e attuativa, inoltre è stata affidata alla ricca architettura di governance europea disegnata dal Regolamento (Capo VII) che, invero, lascia poco spazio alle iniziative dei singoli Stati e che vuole evitare, evidentemente, fughe in avanti e disomogeneità applicative/interpretative a livello nazionale.
L’AI Act richiede, piuttosto, agli Stati nazionali di attivarsi principalmente per: a) tradurre a livello nazionale le sanzioni previste dal Regolamento; b) istituire per ciascun Stato membro almeno uno spazio di sperimentazione normativa (le c.d. sandbox regolative al fine di promuovere innovazioni e sperimentazioni in ambiente controllato); c) individuare l’Autorità nazionale di notifica degli organismi di valutazione della conformità al Regolamento e l’Autorità di vigilanza del mercato della AI.
Rispetto a questi demandi, la Legge 132 individua le autorità nazionali per l’AI nell’AgID (Agenzia per l’Italia digitale) e nell’ACN (Agenzia per la cybersicurezza nazionale), delegando peraltro il Governo ad adottare con successivi decreti il sistema sanzionatorio. Introduce nuove fattispecie di reato per i deep fake e l’Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale (art. 26) e una specifica rilevanza penale per fatti compiuti mediante l’impiego di sistemi di intelligenza artificiale.
Riguardo le sandbox regolative per promuovere sperimentazioni, si prevede un rinvio a AgID e ACN per “l’istituzione e la gestione congiunta di spazi di sperimentazione finalizzati alla realizzazione di sistemi di intelligenza artificiale conformi alla normativa nazionale e dell’Unione europea” (art. 20, comma 1, lett. c) e si rinvia alla decretazione delegata il coinvolgimento del sistema dell’università e ricerca nella realizzazione di “spazi di sperimentazione normativa in collaborazione con il sistema produttivo (art. 24, comma 1, lett. l).
I costi impliciti della regolazione
La Legge 132 rischia di lasciare all’Italia il primato della regolazione in materia di AI che, come si sa, non è mai priva di costi per il sistema economico e inevitabilmente introduce vincoli di adeguamento. Pertanto, nonostante la Legge 132 puntualizzi che essa “non produce nuovi obblighi rispetto a quelli previsti dal regolamento (UE) 2024/1689 per i sistemi di intelligenza artificiale e per i modelli di intelligenza artificiale per finalità generali” (art. 3, comma 5), non vanno affatto trascurati i costi impliciti della regolazione, tanto più se le norme introdotte non aggiungono chiarezza, ma incertezza applicativa. È fondamentale, quindi, guardare alla successiva implementazione della Legge, anche grazie al lavoro dell’Osservatorio sull’adozione dell’AI nel mondo del lavoro (art. 12) e al Comitato di coordinamento di indirizzo (art. 19), affinchè la nuova regolazione si traduca in un guadagno complessivo di certezza, giustizia e sostegno all’innovazione e alla sperimentazione in un campo oggettivamente complesso e in continua trasformazione.
La prevalente impronta regolativa della Legge 132 sembra essere quella di voler fornire risposte alle molte preoccupazioni connesse all’uso della IA in diversi contesti d’uso, che polarizzano ormai da mesi il dibattito pubblico e scientifico. La Legge avrebbe l’ambizione di creare un quadro più chiaro e orientare l’applicazione dei sistemi di AI, fissando regole di principio e criteri di utilizzo fair dell’AI.
Il Regolamento europeo da questo punto di vista, dal canto suo, non aiuta molto: è, sì, direttamente applicabile come disciplina uniforme per gli Stati dell’UE, ma allo stesso tempo non è di semplice gestione, in quanto impostato come regolazione di sicurezza del prodotto che addossa le principali responsabilità ai provider (produttori dei sistemi).
Viceversa, la Legge italiana trascina l’apparato regolativo essenzialmente sul piano dell’adozione e utilizzazione dei sistemi (quindi nella prospettiva dei deployers pubblici e privati), intervenendo sulle finalità d’uso in generale e in diversi ambiti specifici: sanità, lavoro, professioni intellettuali, pubblica amministrazione, attività giudiziaria e copyright e si rinvia alla decretazione delegata l’adeguamento in materia di servizi bancari, finanziari, assicurativi e di pagamento.
Non è una scelta banale. Nel fare ciò costruisce un vero e proprio codice nazionale di criteri di impiego della AI, che si sovrappone a quello europeo (e quindi deve tener conto anche del complesso sistema regolativo dell’AI Act fondato sul rischio). Tutto ciò si deve, chiaramente, integrare con la disciplina nazionale già vigente. Questo provoca non pochi problemi interpretativi e qualche cortocircuito regolativo. La battuta d’arresto che sembra ora subire a livello europeo l’implementazione dello stesso AI Act avrebbe forse suggerito un maggior attendismo da parte del nostro legislatore e una maggiore ponderazione degli effetti di spiazzamento che una regolazione tutta nazionale potrebbe provocare sugli operatori economici nella competizione nazionale e internazionale, già appesantiti da molti vincoli che ne frenano la spinta innovativa
I vincoli all’utilizzo dell’AI e la problematica individuazione delle finalità d’uso
La Legge italiana sulla AI si presenta come un provvedimento articolato. In primo luogo, contiene alcune disposizioni di principio, molte delle quali invero sono in parte ripetitive di principi ordinamentali interni e sovranazionali che potevano considerarsi pienamente applicabili agli impieghi della AI. Ciò ubbidisce, come detto, ad un proposito rassicurante più che autenticamente dispositivo del nostro legislatore, evidentemente con l’ambizione di creare quella fiducia nell’AI e garanzia di antropocentrismo, diventate ormai un mantra a livello nazionale ed europeo.
Si veda, ad esempio, il richiamo dell’art. 1 all’“utilizzo corretto, trasparente e responsabile, in una dimensione antropocentrica, dell’intelligenza artificiale, volto a coglierne le opportunità”.
Il richiamo dell’art. 3 al “rispetto dei diritti fondamentali e delle libertà previste dalla Costituzione, del diritto dell’Unione europea e dei princìpi di trasparenza, proporzionalità, sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione, parità dei sessi e sostenibilità”.
Il richiamo nell’art. 4 a un utilizzo della AI che garantisca “il trattamento lecito, corretto e trasparente dei dati personali e la compatibilità con le finalità per le quali sono stati raccolti, in conformità al diritto dell’Unione europea in materia di dati personali e di tutela della riservatezza”.
Le regole precettive contenute nella Legge
Più problematiche sono le regole precettive sull’utilizzo della AI contenute nel provvedimento, sia di carattere generale, sia di carattere settoriale per gli usi in alcuni campi.
Il principale problema che pone la Legge 132 consiste nel fatto che sembra circoscrivere obiettivamente gli utilizzi dell’AI, mentre l’approccio europeo è piuttosto quello di considerare leciti tutti i sistemi di AI, salve le ipotesi tassativamente vietate perché considerate a rischio inaccettabile (come, ad esempio, il social scoring e l’inferenza delle emozioni tramite la biometria nei luoghi di formazione e di lavoro). L’impostazione della legge italiana, al contrario, quasi in un rovesciamento della piramide del rischio, è quella di circoscrivere e ridisegnare il perimetro dell’impiego legittimo dei sistemi di AI, in senso più restrittivo di quello ammesso a livello europeo. Non è dato comprendere fino a che punto ciò sia stato fatto con una precisa finalità restrittiva o risulti soltanto come l’effetto indiretto di norme tese a sottolineare gli utilizzi fair dell’AI.
Fatto sta che la Legge 132, da un lato, introduce veri e propri limiti all’utilizzo della AI e, dall’altro lato, pone norme che, indicando le finalità d’uso della AI, finiscono per funzionalizzazione l’impiego verso scopi predefiniti dallo stesso legislatore.
Esempi di veri e propri limiti di utilizzo li troviamo in ambito giudiziario, dove la sperimentazione e l’impiego dei sistemi di intelligenza artificiale negli uffici giudiziari ordinari viene subordinata alla preventiva autorizzazione del Ministero della giustizia, sentite le Autorità nazionali per l’AI almeno fino alla piena applicazione dell’AI Act (art. 15); laddove fino ad oggi esperienze, anche virtuose e molto positive, di impiego in ambito giudiziario sono avvenute per iniziativa spontanea e pioneristica in talune magistrature.
Anche per le professioni intellettuali si pongono limiti di impiego, consentendo l’utilizzo dell’IA soltanto per “l’esercizio delle attività strumentali e di supporto all’attività professionale e con prevalenza del lavoro intellettuale oggetto della prestazione d’opera” (art. 13), difficile poi stabilire come verrà misurata la prevalenza.
Le norme con finalità d’uso in settori specifici
Più complicata invece è l’interpretazione delle norme che pongono finalità d’uso in certi settori con l’effetto – almeno apparente – di funzionalizzare l’impiego dell’AI a scopi specifici. Così, ad esempio per il lavoro l’art. 11 afferma che l’AI è impiegata “per migliorare le condizioni di lavoro, tutelare l’integrità psicofisica dei lavoratori, accrescere la qualità delle prestazioni lavorative e la produttività delle persone in conformità al diritto dell’Unione europea”. Ne parrebbero di converso esclusi tutti i numerosi e ulteriori impieghi, ammessi dall’Allegato III dell’AI Act, ad esempio per l’incontro tra domanda e offerta di lavoro, per la valutazione dei cv dei candidati, per il miglioramento della programmazione dei turni di lavoro e gestione del rapporto e più in generale per l’efficienza dei processi aziendali.
Norme di questo tipo, che ritroviamo anche se in forma meno problematica in ambito sanitario e di uso nella p.a., pongono due questioni interpretative non trascurabili. Innanzitutto, c’è da chiedersi se utilizzi diversi da quelli espressamente contemplati dalla norma italiana siano a questo punto legittimi, il che è davvero paradossale per una Legge che dichiara di voler promuovere lo sviluppo e l’utilizzo dell’intelligenza artificiale … nei settori produttivi, la produttività in tutte le catene del valore e le funzioni organizzative, nonché quale strumento utile all’avvio di nuove attività economiche e di supporto al tessuto nazionale produttivo…” (art. 5).
Il secondo problema, da non trascurare, consiste nel fatto che norme incomplete di questo tipo rischiano di indebolire la base giuridica di liceità del trattamento dei dati personali, che rappresenta un presupposto fondamentale del Codice Privacy e del GDPR e che potrebbe creare più problemi di quanto già non porti con sé, in generale, la difficile integrazione tra l’AI Act e il GDPR.
Il nodo della governance multi-Authority dell’AI
La Legge 132 prevede un’articolata governance dei sistemi di AI che non mancherà di creare conflitti di attribuzione tra i diversi soggetti e autorità coinvolti.
Forse uno dei punti strategici e nodali della Legge 132 è rappresentato proprio dalla chiara scelta politica di individuare le Autorità nazionali dell’intelligenza artificiale nell’AgID e nell’ACN; attribuendo, alla prima, competenze – oltre che di promozione e sviluppo della AI – in materia di notifica, valutazione, accreditamento e monitoraggio dei soggetti certificatori dei sistemi di AI e, alla seconda, competenze in materia di vigilanza, poteri sanzionatori e garanzia della cybersicurezza.
Il tentativo è quello di tenere l’AI sotto l’ombrello delle autorità competenti in materia di digitalizzazione del sistema Paese, cybersecurity e sicurezza nazionale e di non cedere ai tentativi del Garante della protezione dei dati personali di rivendicare a sé la competenza naturale sulla materia dell’AI in considerazione del suo impatto sui diritti fondamentali. La contesa di competenze era iniziata da tempo (sin dalla prima Segnalazione del Garante al Parlamento e al Governo sull’Autorità per l’IA del 25 aprile 2024 immediatamente successiva all’approvazione dell’AI Act), ma alla fine la Legge 132 ha fatto una scelta di campo precisa, pur lasciando ferme “le competenze, i compiti e i poteri del Garante per la protezione dei dati personali e dell’Autorità per le garanzie nelle comunicazioni, quale Coordinatore dei Servizi Digitali” (art. 20, comma 4) e prevedendo l’acquisizione preventiva del parere del Garante per l’emanazione della decretazione delegata.
È indicativo di questo approccio il fatto che la Legge 132 preveda la costituzione presso la Presidenza del Consiglio dei Ministri del Comitato per assicurare il coordinamento e la collaborazione ed ogni opportuno raccordo tra AgID e ACN con le pubbliche amministrazioni e le autorità indipendenti, cui sono invitati a partecipare Consob, Banca d’Italia e Ivass, ma non anche il Garante della protezione dei dati personali (art. 20, comma 3).
Il difficile equilibrio fra rispetto della privacy e innovazione
Inutile nascondere, però, che uno dei punti nodali e più critici dell’immissione della AI in qualsiasi contesto d’uso e specialmente nei luoghi di lavoro, riguarda inevitabilmente la questione dell’equilibrio tra rispetto della privacy, spinta all’innovazione digitale e sicurezza cibernetica, laddove i sistemi di AI implicano la gestione, l’uso e il riuso di masse crescenti di dati, anche personali. Il problema della intersezione tra nuclei normativi con ispirazioni differenti si è già posto, del resto, per l’attuazione della normativa NIS 2.
Il rispetto dei vincoli della normativa privacy con riferimento al principio di minimizzazione del trattamento dei dati e la limitazione temporale di conservazione dei dati di log pone seri problemi operativi quotidiani per i datori di lavoro pubblici e privati chiamati a comprendere, banalmente, in quale misura le esigenze di sicurezza e cybersicurezza possano consentire di adattare la normativa privacy alle finalità specifiche di protezione del patrimonio aziendale e di sicurezza nazionale. In un contesto, è bene ricordarlo, in cui gli orientamenti del Garante privacy sono molto restrittivi e portano, ad esempio, a limitare la conservazione dei metadati delle mail aziendali per un periodo di norma non superiore ai 21 giorni (v. il Documento di indirizzo del Garante del 6 giugno 2024 in materia di programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati) e a ritenere eccedente un utilizzo proporzionato, anche a motivi di sicurezza informatica, la conservazione dei log di navigazione internet dei dipendenti superiore a 90 giorni (v. il Provvedimento del Garante n. 243 del 29 aprile 2025 verso la regione Lombardia sull’eccessiva conservazione dei metadati di posta elettronica, dei log di navigazione internet e dei dati raccolti tramite sistemi di ticketing informatico).
In tale contesto, prima di immaginare futuribili sviluppi applicativi della AI ai contesti di lavoro, occorre affrontare questioni di base, che sono di estrema urgenza eppure, purtroppo, ancora senza risposta univoca.
È essenziale quindi che nella implementazione operativa della Legge possano essere sciolte questioni con cui tutti i datori di lavoro pubblici e privati sono chiamati oggi a confrontarsi e rispetto ai quali l’adozione di qualsiasi sistema di AI, anche il più semplice, risulta inevitabilmente foriera di molte incertezze. C’è da augurarsi, dunque, che l’Osservatorio dell’art. 12 possa farsi carico della questione delle interferenze e del coordinamento tra normativa di protezione dei dati, normativa giuslavoristica, specie relativa al controllo tecnologico datoriale sui lavoratori (art. 4 dello Statuto dei lavoratori), normativa sulla cybersecurity e impieghi legittimi della AI nei contesti di lavoro.
Del resto la Legge 132 mostra di essere ben consapevole del difficile equilibrio tra privacy, cybersecurity e innovazione digitale, come testimoniano i diversi richiami incrociati al Codice Privacy, ora per salvaguardarne i principi, ora per tentarne un adattamento, che tuttavia avrà esiti ancora da verificare e da mettere alla prova di resistenza dell’Autorità Garante, il cui potere, nonostante i tentativi di contingentamento della Legge 132, trova fonte diretta nel Regolamento europeo sulla privacy e nello stesso AI Act.
Servono indirizzi chiari e univoci che infondano certezze
È a tutti noto, peraltro, la forte capacità di incidenza e condizionamento che il Garante della privacy ha esplicato sull’operatività delle aziende e delle pubbliche amministrazioni negli ultimi anni. E come gli orientamenti e i provvedimenti del Garante costituiscano ormai per gli attori economici una fonte di indirizzo più incisiva della stessa autorità giudiziaria (anche per le pesanti sanzioni cui sono esposti gli operatori economici).
Quindi il nodo che rimane aperto e che probabilmente decreterà le vere sorti della diffusione della AI in Italia e della propensione delle aziende alla sperimentazione e all’investimento in sistemi di AI, è rappresentato dalla effettiva capacità del sistema di governance immaginato dalla Legge 132 di trovare sintesi a monte, con norme e indirizzi chiari e univoci, in grado di infondere vere certezze al di là delle declamazioni di principio.
Tutto dipenderà dalla capacità del Governo di farsi carico tempestivamente di quell’indispensabile coordinamento tra le molte Autority che ormai, a vario titolo, hanno modo di rivendicare proprie competenze e poteri in materia di AI.
