Decreto AI, perché le sanzioni non bastano senza una governance forte

La bozza di decreto legislativo sull’AI definisce il ruolo di ACN e AgID, introduce un Comitato di coordinamento e disciplina il sistema sanzionatorio collegato all’AI Act. Restano centrali la frammentazione delle competenze, il ruolo del Garante, gli obblighi dei deployer e il nodo delle risorse.

I due schemi di decreto legislativo

Approvati nella seduta del Consiglio dei Ministri del 10 giugno 2026, in via preliminare, gli schemi di decreto legislativo attuativi della Legge 23 settembre 2025, n. 132, rappresentano una prima mossa concreta verso la disciplina nazionale sull’Intelligenza Artificiale. Si tratta in particolare di due testi: il primo riguarda il potere delle autorità nazionali e il ruolo dell’IA nella formazione; il secondo si incentra sull’uso dell’IA per le attività investigative e sulle responsabilità civile e penale.

Questi testi si inquadrano all’interno del contesto più largo del Regolamento UE 2024/1689 (AI Act), che l’Italia sta implementando per rispettare le normative comunitarie sull’Intelligenza Artificiale. I due schemi di decreto sono destinati a passare per diverse fasi di verifica da parte delle Commissioni parlamentari, della Conferenza Unificata e delle autorità competenti prima dell’approvazione finale e della pubblicazione in Gazzetta Ufficiale.

L’importanza della governance e del sistema sanzionatorio

Molto ampie sono le tempistiche per l’approvazione, data la complessità della materia. In questo contesto, l’articolo si concentra sul primo schema di decreto, in particolare sui temi della governance istituzionale e del sistema sanzionatorio.

Il governo italiano sta quindi delineando la struttura della disciplina nazionale sull’IA, fondandosi sull’architettura fornita dall’AI Act e adattandola alle realtà locali. Si evidenzia il ruolo centrale di due autorità: AgID e ACN, che saranno responsabili di coordinare l’implementazione e gestire le infrastrutture operative.

AgID: Il punto focale per la conformity assessment

AgID è nominata “autorità nazionale di notifica” nel testo del decreto (art. 4), assumendo la responsabilità di valutare, nominare e notificare agli organismi di conformità. Questi ultimi sono i “guardiani” del rispetto delle norme: dove il regolamento richiede un’approvazione di terza parte – ad esempio per i sistemi di riconoscimento biometrico e l’IA applicata ai dispositivi medici – è proprio l’organismo notificato ad attestare la conformità, permettendo l’accesso al mercato.

L’incarico di AgID non si limita alla nomina; essa dovrà effettuare controlli regolari su questi organismi con audit periodici, e potrà, in caso di inadempienze, sospenderli o revocarli. Gli organismi notificati sono quindi un pilastro fondamentale dell’implementazione nazionale dell’AI Act, perché senza di loro, sistemi non conformi potrebbero comunque finire sul mercato.

ACN: La vigilanza del mercato

Accanto ad AgID, ACN (Agenzia per la CyberSicurezza Nazionale) assume un ruolo centrale. Come previsto dagli articoli 5 e 6 del decreto, ACN sarà responsabile della supervisione del mercato e della comunicazione con la Commissione europea e gli Stati membri.

Nel testo, ACN ottiene poteri di ispezione, incluso l’accesso a dati e informazioni, la richiesta di rettifiche e persino lo smetto da remoto o senza preaviso, come stabilito nell’art. 60 dell’AI Act. Questa funzione non verrà però implementata immediatamente: il modo con cui le ispezioni saranno gestite rimarrà definito attraverso un decreto del Presidente del Consiglio, come previsto al comma 3 dell’art. 15.

Il Comitato di coordinamento

Un elemento nuovo introdotto dal decreto è la creazione di un Comitato di coordinamento, istituito presso la Presidenza del Consiglio dei ministri. Questo Comitato si compone di autorità nazionali – ACN e AgID – e di rappresentanti dei ministeri coinvolti, con particolare riferimento alle questioni in cui interviene la banca d'italia.

Il ruolo del Comitato è di assicurare il coordinamento tra le diverse autorità, definire gli accordi strategici e gestire l’Spazio di sperimentazione istituito in base all’art. 57 dell’AI Act. L’inserimento di questo organo dimostra l’intento del governo di evitare una frammentazione istituzionale.

Le sanzioni e loro differenziazione

Sul piano delle normative sanzionatorie, il testo si ispira alle previsioni dell’AI Act, e in particolare all’art. 99 del Regolamento UE 2024/1689, mantenendone le tre fasce principali e adattandole a una struttura nazionale. L’art. 23 del testo italiano stabilisce che:

• la violazione del divieto di pratiche di alto rischio, disciplinato nell’art. 5 dell’AI Act, è punita fino a 35 milioni di euro o al 7% del fatturato globale annuale;
• la seconda fascia, fino a 15 milioni o 3%, è ulteriormente suddivisa con una scala discendente:";
  • fino a 15 milioni o 3% per i fornitori e i segnalatori;
  • fino a 12 milioni o 2% per i rappresentanti;
  • fino a 10 milioni o 2% per gli importatori;
  • fino a 7 milioni o 1% per i distributori;
  • fino a 5 milioni o 1,5% per le segnalazioni;
  • fino a 3 milioni o 1,5% per gli organismi notificati;
  • fino a 1 milione o 0,5% per gli obblighi dei deployer;

Si precisa infine che non è previsto il pagamento ridotto in sede di oblazione, poiché il decreto esclude l’applicazione dell’art. 16 della Legge 689/1981, che consentiva la riduzione dell’importo pagabile nel caso di ammissione anticipata.

I nodi aperti

Il testo si concentra per ora sul “quadro generale” e manda in sospeso molteplici dettagli operativi. La gestione delle ispezioni, la definizione dell’Spazio di sperimentazione, le procedure sanzionali e molti altri aspetti concreti saranno decisi da ulteriori decreti, regolamenti e direttive, adott