Il contesto normativo e i principali attori

Con l’entrata in vigore dell’AI Act a livello europeo, l’Italia ha dovuto recepire la disciplina entro il 2025. I due decreti legislativi attuativi della legge 132/2025 hanno definito il ruolo di tre organi chiave: l’Autorità per la Concorrenza e il Mercato (ACN), l’Agenzia per l’Italia Digitale (AgID) e il Garante per la protezione dei dati personali.

L’ACN è stata incaricata della vigilanza ordinaria sul mercato dei sistemi di intelligenza artificiale, con poteri di ispezione, sanzione e obbligo di pubblicare report periodici. AgID, invece, gestisce le notifiche obbligatorie dei sistemi ad alto rischio, fornendo un punto di ingresso digitale per le imprese che vogliono conformarsi. Infine, il Garante conserva la competenza esclusiva sui settori ritenuti “sensibili” per i diritti fondamentali, come il riconoscimento facciale, la profilazione dei dipendenti e i sistemi di valutazione automatica in ambito giudiziario.

Indipendenza delle autorità: il nodo critico

Il modello italiano è conforme al principio europeo che consente la suddivisione delle funzioni di vigilanza, ma la scelta di affidare la maggior parte del controllo a un ente governativo – l’ACN – solleva interrogativi sull’indipendenza operativa. L’ACN, pur dotata di poteri sanzionatori, dipende dal Ministero dello Sviluppo per la nomina dei dirigenti, il che potrebbe compromettere la capacità di agire in maniera autonoma contro grandi operatori con forti legami politici.

Il Garante, al contrario, è un’autorità amministrativa indipendente, ma la sua competenza è limitata a settori “sensibili”. Questo crea un gap di copertura dove sistemi di AI a medio rischio, ma comunque impattanti – ad esempio gli algoritmi di raccomandazione nei media online – rimangono sotto la supervisione di un ente potenzialmente soggetto a pressioni governative.

Esempio pratico: il riconoscimento facciale nelle stazioni ferroviarie

Nel 2024, la società TechVision ha installato telecamere con riconoscimento facciale nelle principali stazioni ferroviarie italiane. Secondo il nuovo quadro, la notifica è stata gestita da AgID, ma la valutazione della conformità ai diritti fondamentali è spettata al Garante. Il Garante ha imposto una revisione dell’algoritmo, richiedendo la rimozione di tutti i dati biometrici non strettamente necessari, ma la procedura di verifica periodica è rimasta a carico dell’ACN, che ha dovuto bilanciare l’interesse pubblico alla sicurezza con le preoccupazioni sulla privacy.

Coordinamento interistituzionale: sfide operative

Per garantire una vigilanza efficace, è fondamentale che ACN, AgID e Garante collaborino in maniera fluida. I decreti prevedono la creazione di un “Comitato di Coordinamento AI”, con rappresentanti di ciascuna autorità, ma finora i protocolli di scambio informazioni rimangono poco dettagliati. Senza un sistema di condivisione dati automatizzato, il rischio di duplicazione degli interventi o di “buchi” normativi è elevato.

Un caso emblematico riguarda le piattaforme di micro‑targeting politico. AgID riceve le notifiche di utilizzo di algoritmi di profilazione, ma la valutazione dell’impatto sui diritti elettorali è demandata al Garante. L’ACN, invece, ha la facoltà di sanzionare pratiche commerciali scorrette, ma non dispone di competenze specifiche per valutare la manipolazione dell’opinione pubblica. La mancanza di un flusso di lavoro integrato ha rallentato le indagini su campagne di disinformazione condotte da gruppi stranieri nel 2025.

Effettività della tutela: dati e prime sanzioni

Nel primo semestre del 2025, l’ACN ha avviato 37 ispezioni su sistemi di AI ad alto rischio, emettendo 12 ammonizioni e 4 sanzioni superiori a 200.000 euro per mancata conformità alle norme di trasparenza. Il Garante, invece, ha ricevuto 58 segnalazioni relative al riconoscimento facciale, con 15 provvedimenti correttivi, ma solo 2 casi hanno portato a sanzioni pecuniarie, evidenziando una tendenza più cauta nell’applicare il potere sanzionatorio.

Questi dati suggeriscono che, sebbene il quadro normativo sia robusto, la capacità di far rispettare le regole dipende ancora dalla volontà politica di attribuire risorse adeguate e di rafforzare l’autonomia dell’ACN. L’assenza di un budget specifico per le attività di vigilanza rischia di ridurre l’efficacia delle ispezioni, soprattutto per le piccole e medie imprese che potrebbero non avere le risorse per gestire le notifiche.

Prospettive e raccomandazioni per il futuro

Per superare le criticità emerse, gli esperti propongono tre linee d’azione:

    • Rafforzare l’indipendenza dell’ACN: introdurre un meccanismo di nomina dei dirigenti con maggiori garanzie di autonomia, simile a quello del Garante.
    • Implementare un sistema di scambio dati digitale tra AgID, ACN e Garante, con protocolli di sicurezza certificati, per garantire una visione unificata dei rischi.
    • Ampliare la competenza del Garante includendo anche i sistemi di AI a medio rischio, così da ridurre il “gap” di tutela e migliorare la coerenza delle decisioni.

In conclusione, i nuovi decreti rappresentano un passo importante verso l’allineamento con l’AI Act, ma la loro efficacia dipenderà dalla capacità delle autorità italiane di operare in modo indipendente, coordinato e sufficientemente finanziato. Solo così sarà possibile garantire una tutela reale dei diritti dei cittadini in un panorama tecnologico in rapida evoluzione.