Entrata in vigore del nuovo quadro normativo

Il 23 ottobre 2026 entra in vigore il decreto legislativo n. 179/2026, che recepisce il Regolamento (UE) 2024/1689, noto come AI Act. Questo provvedimento completa il panorama di controllo italiano sull’intelligenza artificiale, definendo con precisione chi vigila, quali pratiche sono sanzionate e quali importi sono previsti per le violazioni.

Il punto focale è la cifra massima di sanzione: 35 milioni di euro o il 7 % del fatturato mondiale per le pratiche vietate, come la manipolazione subliminale, il punteggio sociale e il riconoscimento delle emozioni in ambito lavorativo o scolastico.

Struttura normativa di riferimento

Il sistema italiano si basa su due testi fondamentali: la legge n. 132/2025, che individua le autorità competenti, e il d.lgs. 179/2026, che ne specifica poteri, procedure e sanzioni. L’obiettivo è garantire coerenza con l’AI Act europeo, evitando disparità tra gli Stati membri.

Le autorità di vigilanza in Italia

Il perno centrale è l’ACN – Agenzia per la cybersicurezza nazionale, responsabile della vigilanza generale e punto di contatto con le autorità europee. Accanto ad essa operano:

    • AgID – Agenzia per l’Italia digitale: abilita e sorveglia gli enti certificatori.
    • Banca d’Italia, CONSOB e IVASS: controllano i sistemi ad alto rischio usati rispettivamente nel credito, nei servizi finanziari e nelle assicurazioni.
    • Garante per la protezione dei dati personali: vigila sull’AI ad alto rischio impiegata in attività di polizia, gestione delle frontiere, giustizia e processi democratici.

Quando l’AI è parte di un prodotto già regolato (macchine industriali, dispositivi medici, giocattoli, ecc.), la vigilanza è condivisa tra l’ACN e l’autorità di sorveglianza specifica del prodotto. Per i modelli generali di IA e i grandi sistemi integrati, la competenza è dell’AI Office europeo.

Coordinamento interautorità

Un Comitato di coordinamento presso la Presidenza del Consiglio, composto dai direttori di AgID, ACN e dal capo del Dipartimento per la trasformazione digitale, assicura l’allineamento tra le diverse autorità. Il comitato è aperto alle autorità finanziarie per le questioni di loro competenza.

Se un reclamo viene inoltrato all’autorità sbagliata, questo viene automaticamente girato a quella competente. L’ACN ha inoltre il potere di effettuare ispezioni in condizioni reali anche senza preavviso, garantendo una risposta rapida alle irregolarità.

Quadro sanzionatorio: le quattro fasce

Il decreto suddivide le violazioni in quattro fasce, ognuna con una soglia di sanzione fissa o percentuale più alta rispetto al fatturato mondiale dell’anno precedente.

    • Fascia 1 – Pratiche vietate: manipolazione subliminale, punteggio sociale, riconoscimento delle emozioni sul lavoro e a scuola. Sanzione fino a 35 milioni di euro o al 7 % del fatturato.
    • Fascia 2 – Violazioni di obblighi ad alto rischio: obblighi di produzione, importazione, distribuzione o uso professionale di sistemi ad alto rischio, trasparenza su chatbot e deepfake, segnalazione di incidenti gravi. Sanzione fino a 15 milioni di euro o al 3 % del fatturato.
    • Fascia 3 – Informazioni inesatte: fornire a autorità o enti di certificazione dati incompleti, fuorvianti o falsi. Sanzione fino a 7,5 milioni di euro o all’1 % del fatturato.
    • Fascia 4 – Valutazione d’impatto e spiegazioni: mancata valutazione d’impatto sui diritti fondamentali o mancata fornitura di spiegazioni alle persone interessate. Sanzione fino a 1 milione di euro o allo 0,5 % del fatturato.

Per le PMI e le start‑up innovative, la sanzione applicata è il valore più basso tra la cifra fissa e la percentuale, tenendo conto di gravità, durata, intenzionalità, cooperazione e natura dell’obbligo violato.

Mezzi alternativi alle multe

Per violazioni di scarsa offensività, l’autorità può, anziché imporre una multa, ordinare la correzione entro un termine stabilito o, se la violazione è cessata, pubblicare una dichiarazione che la renda pubblica. Il mancato rispetto dell’ordine può comportare un aumento della multa fino a un terzo.

Tutte le sanzioni devono essere motivate e accompagnate da una contestazione degli addebiti, garantendo trasparenza procedurale.

Il contesto europeo: una vigilanza frammentata

Nonostante l’AI Act sia un regolamento europeo, la sua attuazione dipende dalle autorità nazionali. Attualmente, solo nove Stati membri hanno completato le designazioni richieste, mentre altri stanno ancora definendo i propri modelli di vigilanza.

Il regolamento prevede che ogni Stato designi almeno un’autorità di notifica (che abilita gli enti certificatori) e una di vigilanza del mercato (che controlla, ispeziona e sanziona). Una di queste autorità funge da punto di contatto unico verso Bruxelles e il pubblico (art. 70).

Il numero stimato di autorità coinvolte è di circa 2 000 enti, comprendendo sia le autorità di vigilanza settoriale sia più di duecento organi di tutela dei diritti fondamentali con poteri di accesso alla documentazione (art. 77).

Disparità tra gli Stati membri

Le categorie di prodotti già armonizzate sono 38 e, in ciascuno Stato, le autorità competenti possono variare, includendo anche organismi regionali. Questa molteplicità porta a una “mappa” complessa per le imprese che operano a livello transfrontaliero.

Nel 2023 il Parlamento europeo aveva proposto una singola autorità nazionale di supervisione per ciascuno Stato, con eccezioni per finanza e polizia, al fine di semplificare l’interfaccia per imprese e cittadini. Tuttavia, nella fase finale di negoziazione è stato preferito mantenere le autorità esistenti, lasciando libertà agli Stati di organizzarsi secondo le proprie strutture.

Le recenti evoluzioni normative

Nel luglio 2026 la Commissione ha introdotto il Digital Omnibus (Regolamento UE 2026/1744), assegnando all’AI Office della Commissione la competenza esclusiva su due categorie: i sistemi costruiti da chi sviluppa anche il modello di IA per finalità generali e i sistemi integrati in piattaforme e motori di ricerca “molto grandi”. Questa modifica semplifica la vigilanza per i grandi operatori, ma non elimina la frammentazione per le PMI.

Il nuovo assetto evidenzia la differenza rispetto al GDPR, dove esiste un’autorità capofila per le imprese che operano in più Paesi. L’AI Act non prevede un interlocutore unico a livello europeo; il coordinamento è affidato al Comitato europeo per l’AI e a una procedura di valutazione delle misure nazionali contestate dalla Commissione (art. 81).

Prospettive per le imprese italiane

Le aziende devono ora adeguarsi a un panorama più strutturato ma complesso. È fondamentale:

    • Identificare l’autorità competente per il proprio settore (es. Banca d’Italia per il credito, Garante per la privacy in ambito di sorveglianza).
    • Implementare procedure di risk assessment e valutazioni d’impatto sui diritti fondamentali.
    • Garantire trasparenza su chatbot, deepfake e sistemi ad alto rischio, con documentazione pronta per eventuali ispezioni.
    • Stabilire canali di segnalazione rapida per incidenti gravi, conformi all’obbligo di notifica.

In caso di dubbio, è consigliabile rivolgersi a enti di certificazione abilitati da AgID o a consulenti specializzati in diritto digitale, per evitare sanzioni che, per le grandi imprese, possono raggiungere cifre a doppia cifra in milioni di euro.

Conclusioni

Il 23 ottobre 2026 segna una svolta per l’Italia: il paese dispone ora di un sistema di controllo completo, con autorità ben definite, poteri chiari e un regime sanzionatorio severo. Tuttavia, la frammentazione europea rimane una sfida per le imprese che operano oltre i confini nazionali. La capacità di orientarsi tra le diverse autorità, di rispettare gli obblighi di trasparenza e di gestire gli incidenti sarà determinante per evitare pesanti multe e per costruire fiducia nell’uso responsabile dell’intelligenza artificiale.