AI Act: approvati in via definitiva i decreti di attuazione in Italia

La regolamentazione dell’intelligenza artificiale è uno dei temi più delicati dell’epoca attuale: la tecnologia avanza e stare dietro alla sua evoluzione è qualcosa di tutt’altro che semplice e scontato.

In questo scenario, l’UE si è mossa approvando il cosiddetto AI Act.

Su questa scia, l’Italia è stata la prima ad adottare una legge definitiva sull’intelligenza artificiale (già il 17 settembre 2025) nonché i decreti per l’attuazione della normativa europea (5 agosto 2026).

Si tratta di un passaggio importante, che analizziamo in questo approfondimento.

Cos’è l’AI Act: una panoramica della normativa europea sull’intelligenza artificiale

L’AI Act, detto anche Artificial Intelligence Act o EU AI Act – ovvero il Regolamento UE 2024/1689 – viene definito da IBM nel modo seguente:

“è una legge che regolamenta lo sviluppo e/o l'utilizzo dell'intelligenza artificiale (AI) nell'Unione Europea (UE). La legge adotta un approccio alla regolamentazione basato sul rischio, applicando regole diverse alle AI in base al rischio che rappresentano.”

IBM evidenzia inoltre che si tratta del “primo quadro normativo completo al mondo per l’AI”: appare dunque un documento centrale in termini di governance ed è stato sviluppato in maniera affine al GDPR, il Regolamento Generale sulla Protezione dei Dati.

Gli organi comunitari hanno lavorato all’EU AI Act per anni, per la precisione dal 21 aprile 2021, quando è stato proposto come regolamento presso la Commissione.

Gli obiettivi alla base dell’UE AI Act

L’intento che ha portato l’UE a diramare l’Artificial Intelligence Act è prima di tutto tutelare i cittadini, i lavoratori e quanti fruiscono delle nuove tecnologie, così da limitare i rischi correlati all’uso e alla natura stessi dei sistemi e, di pari passo, incentivare una maggiore fiducia verso l’IA.

Non si tratta tuttavia soltanto di un approccio cautelativo: uno degli obiettivi è promuovere la competitività nel settore e dunque l’innovazione, seguendo tuttavia binari ben precisi; i parametri adottati sono di matrice etica e di cybersecurity.

La regolamentazione è basata sul rischio e su un meccanismo sanzionatorio tutt’altro che rigido, a fronte delle molteplici variabili che possono di volta in volta verificarsi.

Le tempistiche di applicazione

L’AI Act è entrato in vigore il 1° agosto 2024.

La sua applicazione è stata strutturata in maniera progressiva, attraverso diverse scadenze distribuite nel tempo, nell’ottica di permettere a PA, professionisti e imprese un reale adeguamento.

L’ultima deadline è stata quella del 2 agosto 2026, predisposta per attuare l’operatività generale.

Ed è in questo percorso, di tempistiche e obiettivi, che si è mosso il legislatore italiano.

La legge italiana sull’intelligenza artificiale: il primo passo verso l’adeguamento

Come già accennato nell’introduzione, il primo passo compiuto dall’Italia per l’adozione dell’EU AI Act è stato fatto con l’approvazione in via definitiva da parte del Senato della legge sull’intelligenza artificiale, intercorsa il 17 settembre 2025.

Da quanto riportato sul portale del Dipartimento per la trasformazione digitale del Governo Italiano emerge che:

• La legge si concentra sullo “sviluppo, adozione e governance dei sistemi di IA nel rispetto dei principi costituzionali e dei diritti fondamentali e in piena coerenza con l’AI Act europeo”.
• I principi a fondamento della normativa sono quelli per un “uso antropocentrico, trasparente e sicuro dell’IA”.
• Viene inoltre ribadito che il focus è su “innovazione, cybersicurezza, accessibilità e tutela della riservatezza”.
• L’intervento del legislatore interessa i molteplici settori che possono trarre beneficio dalle nuove tecnologie, tra cui PA, sanità, giustizia, formazione, ecc.

Il ruolo di ACN e AgID

La legge italiana si muove, lato governance, designando due organi di vigilanza specifici:

• AgID (Agenzia per l’Italia Digitale): si interessa dell’uso corretto da parte di cittadini e imprese.
• ACN (Agenzia per la Cybersicurezza Nazionale): ha poteri ispettivi e si occupa della sicurezza e adeguatezza dei vari sistemi.

La Strategia nazionale per l’IA

La legge nazionale per l’IA ha stabilito una programmazione strategica denominata Strategia nazionale per l’IA, disposta secondo una cadenza biennale.

È previsto il coordinamento tra Presidenza del Consiglio, ACN e AgID, insieme a un monitoraggio annuale da parte del Parlamento.

I decreti di attuazione dell’AI Act approvati il 5 agosto 2026

Come già anticipato nell’introduzione, il passaggio successivo alla legge sull’IA è arrivato il 5 agosto 2026, data in cui il Consiglio dei Ministri ha approvato in via definitiva i decreti legislativi di adeguamento dell’ordinamento italiano all’AI Act europeo.

Si tratta di un intervento che entra maggiormente nel merito dell’applicazione concreta della normativa, definendo regole e competenze su alcuni dei temi più delicati connessi all’utilizzo dell’intelligenza artificiale. Entriamo più nei dettagli.

Cosa prevedono le nuove regole

Gli aspetti su cui si soffermano maggiormente i nuovi decreti attuativi della Legge italiana sull’intelligenza artificiale nonché dell’EU AI Act risultano sostanzialmente i seguenti:

• Riconoscimento biometrico: viene consentito unicamente in casi ritenuti eccezionali e per tempi contenuti. Occorre ricevere debita autorizzazione dalle autorità e viene predisposto il divieto di creare archivi biometrici.
• Sistemi ad alto rischio: chi effettua violazioni si espone alle pene stabilite nel nuovo articolo 437.bis del Codice penale. Le misure adottabili variano a seconda che venga messa a rischio la sicurezza pubblica oppure la vita di una persona, per fare degli esempi.
• Accessibilità della documentazione per chi subisce un danno: i dati permettono di ricostruire quanto avvenuto.
• Presunzione del nesso di causalità: si tratta di una novità importante introdotta dal decreto, legata alle caratteristiche delle nuove tecnologie e alla loro imprevedibilità.
• Vigilanza: viene confermato il ruolo centrale di AgID e ACN, a cui si aggiunge l’intervento di autorità più settoriali quali Ivass, Consob e Banca d’Italia.

I nuovi decreti prevedono un approccio sanzionatorio impostato sui criteri di proporzionalità, a fronte di massimali più bassi rispetto a quelli del legislatore comunitario.

Le sanzioni saranno effettivamente in vigore soltanto a partire dall’applicazione degli obblighi/divieti europei, in coordinamento con il legislatore comunitario.

Questa norma, come ben esplicitato sul portale AI4Business, “evita che una condotta venga punita in Italia prima dell’entrata in vigore della disposizione europea violata.”L’attenzione alla formazione

Una menzione particolare merita l’attenzione riservata alla formazione e alla scuola: ambiti per i quali sono stati stanziati 100 milioni di euro a favore degli insegnanti nonché della prevenzione dei rischi correlati all’IA.

Ciò si inserisce nell’ottica di una promozione a un utilizzo più consapevole dell’IA nonché a una sua supervisione.

Nota finale: verso una governance dell’AI sempre più definita

L’approvazione dei decreti italiani e più in generale delle normative a essi correlate rappresenta un tassello importante verso una governance dell’intelligenza artificiale sempre più definita, ma certamente non conclusa.

La vera sfida sarà infatti osservare come le regole riusciranno ad accompagnare nel concreto l’evoluzione di una tecnologia che cambia molto rapidamente, mantenendo un equilibrio tra tutela dei diritti, sicurezza e possibilità di innovare.

Siamo dunque di fronte a uno scenario destinato quindi a evolversi ulteriormente, nel quale sarà essenziale monitorare non soltanto come verranno applicate le nuove disposizioni, ma anche come il quadro normativo saprà adattarsi alle prossime trasformazioni dell’IA.