Argo's New Dreams

TL;DR — Il 23 ottobre 2026 entra in vigore il D.Lgs. 179/2026 (GU n. 234 dell’8 ottobre). Da quella data l’AI Act ha in Italia un’autorità di vigilanza (ACN), un’autorità di notifica (AgID), sanzioni nazionali fino a 35 milioni di euro o al 7% del fatturato, uno Spazio di sperimentazione e una regola sul lavoro: le decisioni finali su assunzioni, licenziamenti, provvedimenti disciplinari e valutazioni restano a una persona fisica.

<

p class=”wp-block-paragraph”>Nella mia esperienza, una norma diventa reale il giorno in cui qualcuno può bussare alla porta. Per due anni l’AI Act è stato un regolamento europeo con obblighi veri ma senza un indirizzo italiano a cui scrivere, reclamare o essere convocati. Il 30 settembre 2026 il D.Lgs. 160/2026 ha portato il riconoscimento facciale e la responsabilità penale; ne ho scritto in due pezzi collegati sotto. Il D.Lgs. 179/2026 chiude il cerchio: dice chi vigila, chi sanziona, come si fa un reclamo e cosa non può fare un algoritmo in azienda. L’ho letto articolo per articolo sul testo di Normattiva, perché le sintesi che circolano in questi giorni saltano proprio i commi che toccano chi, come me, progetta agenti AI per le imprese. Qui li metto in fila.

Cos’è il D.Lgs. 179/2026 e da quando si applica?

Il decreto legislativo 7 ottobre 2026, n. 179 adegua la normativa italiana al Regolamento (UE) 2024/1689 (AI Act) in materia di poteri delle autorità nazionali e di uso dell’intelligenza artificiale nella formazione, nelle professioni, nel lavoro, nella sanità e nella pubblica amministrazione. È pubblicato nella Gazzetta Ufficiale, Serie generale n. 234 dell’8 ottobre 2026 ed entra in vigore il 23 ottobre 2026 (Normattiva, 2026; Gazzetta Ufficiale, 2026).

È il secondo decreto attuativo della delega contenuta nell’articolo 24 della legge 23 settembre 2025, n. 132, la “legge italiana sull’IA”, dopo il D.Lgs. 9 settembre 2026, n. 160, in vigore dal 30 settembre 2026 (NicFab, 2026). Il testo è lungo 54 articoli in cinque capi: definizioni; poteri delle autorità, notifica, vigilanza, sanzioni, spazi di sperimentazione; IA nella formazione, nelle professioni, nel lavoro, nella sanità e nella PA; segreti aziendali su dati e algoritmi; disposizioni finali. La deliberazione definitiva del Consiglio dei ministri è del 4 agosto 2026, previi pareri di AgID, ACN, Garante privacy, Conferenza unificata e Commissioni parlamentari (Normattiva, 2026).

Un chiarimento terminologico che userò in tutto il pezzo. “Autorità di notifica” è chi designa e controlla gli organismi che certificano i sistemi ad alto rischio; “autorità di vigilanza del mercato” è chi controlla i sistemi già in uso, riceve i reclami e applica le sanzioni; “punto di contatto unico” è l’interlocutore nazionale verso la Commissione europea e gli altri Stati. Sono tre ruoli distinti che l’AI Act impone a ogni Stato membro e che il decreto assegna a enti precisi.

Chi vigila sull’AI Act in Italia dal 23 ottobre 2026?

Dal 23 ottobre 2026 l’Agenzia per la cybersicurezza nazionale (ACN) è l’autorità di vigilanza del mercato sui sistemi di IA e il punto di contatto unico; l’Agenzia per l’Italia digitale (AgID) è l’autorità di notifica; Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio nei rispettivi settori finanziari; il Garante privacy interviene nei limiti dell’articolo 74, paragrafo 8, dell’AI Act (D.Lgs. 179/2026, artt. 4, 5 e 6).

Il dettaglio operativo è nell’articolo 15: l’ACN “esercita i poteri di vigilanza e ispettivi previsti dal regolamento IA” e, per le prove in condizioni reali dei sistemi ad alto rischio, può “effettuare ispezioni a distanza o in loco, anche senza preavviso” (D.Lgs. 179/2026, art. 15, commi 1-2). Le modalità concrete saranno definite con un regolamento adottato con DPCM su proposta dell’ACN (art. 15, comma 3): la norma è in vigore, il manuale delle ispezioni ancora no. L’articolo 14 affida sempre all’ACN la registrazione nazionale dei sistemi ad alto rischio dell’allegato III, punto 2 (infrastrutture critiche), con modalità da fissare con decreto del direttore generale d’intesa con AgID. L’articolo 18 regola i reclami: chi li presenta all’autorità sbagliata non perde nulla, perché il reclamo “è trasmesso d’ufficio all’autorità competente”.

Osservazione personale: la scelta dell’ACN come autorità di vigilanza era già scritta nella legge 132/2025, ma vederla accanto ai poteri ispettivi del regolamento (UE) 2019/1020 sulla vigilanza del mercato cambia il peso specifico. Per chi è già soggetto NIS2, l’interlocutore per l’AI Act è lo stesso che riceve le notifiche di incidente. Nella mia esperienza, questo semplifica la vita a chi ha già un canale aperto con l’Agenzia e la complica a chi non ha mai dovuto parlarle.

Quali sanzioni prevede il decreto e quanto rischia una PMI?

L’articolo 23 riproduce in Italia i massimali dell’articolo 99 dell’AI Act: fino a 35.000.000 di euro o al 7% del fatturato mondiale annuo per le pratiche vietate dell’articolo 5; fino a 15.000.000 di euro o al 3% per la violazione degli obblighi degli articoli 16, 22-26, 31, 33, 34, 50, 73 e 80; fino a 7.500.000 di euro o all’1% per informazioni inesatte alle autorità; fino a 1.000.000 di euro o allo 0,5% per gli articoli 27 e 86. Per PMI, microimprese e start-up innovative si applica il criterio dell’articolo 99, paragrafo 6 (D.Lgs. 179/2026, art. 23).

Violazione (rinvio all’AI Act)	Massimale D.Lgs. 179/2026, art. 23	Chi irroga
Pratiche vietate (art. 5)	35.000.000 € o 7% del fatturato mondiale annuo, se superiore	Autorità di vigilanza del mercato (art. 21)
Obblighi fornitori/deployer alto rischio, organismi notificati, trasparenza art. 50, incidenti gravi art. 73, poteri art. 80	15.000.000 € o 3%	Autorità di vigilanza del mercato; AgID per gli organismi notificati (art. 20)
Informazioni inesatte, incomplete o fuorvianti alle autorità	7.500.000 € o 1%	Autorità di vigilanza del mercato
Obblighi artt. 27 (FRIA) e 86 (spiegazione delle decisioni)	1.000.000 € o 0,5%	Autorità di vigilanza del mercato
Violazioni di scarsa offensività	Ordine di eliminare l’infrazione o dichiarazione pubblica, in alternativa alla multa; +1/3 se l’ordine è disatteso (art. 22)	Autorità di notifica e di vigilanza

Due elementi mi sembrano più importanti dei numeri. Il primo è l’articolo 22: per le violazioni “caratterizzate da scarsa offensività o pericolosità” l’autorità può, invece della multa, ordinare di eliminare l’infrazione entro un termine o, se è già cessata, applicare una “dichiarazione pubblica avente ad oggetto la violazione commessa e il soggetto responsabile”. È il name-and-shame, e per una PMI può pesare più di una sanzione pecuniaria ridotta. Il secondo è l’articolo 24, comma 4: ogni provvedimento sanzionatorio “è pubblicato senza ritardo e per estratto nel sito internet istituzionale” dell’autorità, con anonimizzazione solo in casi tassativi. Chi segue il Garante privacy sa cosa significa una newsletter di provvedimenti.

Una precisazione che devo al rigore. Le sanzioni rinviano agli obblighi dell’AI Act, e il Regolamento (UE) 2026/1744 (il cosiddetto AI Omnibus, in vigore dal 27 luglio 2026) ha spostato al 2 dicembre 2027 gli obblighi sui sistemi ad alto rischio dell’allegato III e al 2 agosto 2028 quelli integrati nei prodotti (Legiscope, 2026; BITIL, 2026). Come scrive NicFab nel suo calendario commentato, le sanzioni dell’articolo 23 “vanno quindi lette insieme al calendario di applicazione di ciascun obbligo: l’entrata in vigore del decreto non anticipa gli obblighi europei che restano differiti” (NicFab, 2026). Quello che invece è già esigibile dal 2 agosto 2026, e dal 23 ottobre sanzionabile da un’autorità italiana, è l’articolo 50 sulla trasparenza: chatbot che si dichiarano, contenuti sintetici etichettati, deepfake dichiarati.

Cosa cambia per chi usa l’AI nelle decisioni sul personale?

L’articolo 41 stabilisce che il datore di lavoro che usa sistemi di IA assicura che “le decisioni finali relative alla costituzione, alla modificazione o alla risoluzione del rapporto, ivi compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non siano adottate unicamente sulla base di un trattamento automatizzato”. La decisione definitiva “è in ogni caso riservata a una persona fisica, che eserciti un potere effettivo e autonomo”; il consenso del lavoratore non è un’eccezione; il licenziamento in violazione è nullo (D.Lgs. 179/2026, art. 41, commi 1 e 4).

Tre dettagli del testo contano per chi progetta questi sistemi. Primo: “non rientrano tra le decisioni finali relative alla costituzione del rapporto di lavoro le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle successive fasi della selezione” (art. 41, comma 1). Lo screening automatico dei CV resta quindi fuori dal divieto nazionale, ferme le regole europee sull’alto rischio quando si applicheranno. Secondo: il lavoratore ha diritto, “mediante l’intervento di una persona fisica”, a “una motivazione intelligibile della decisione che lo riguarda”, con l’indicazione dell’incidenza dei sistemi di IA e “dei principali parametri considerati” (art. 41, comma 3). Terzo: l’articolo 42 porta l’IA dentro il documento di valutazione dei rischi dell’articolo 28 del D.Lgs. 81/2008 quando incide “sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza”, e impone “un’adeguata informazione e formazione dei lavoratori” sui rischi specifici.

Nella mia esperienza, la frase “potere effettivo e autonomo” è quella su cui si giocheranno le cause. Un responsabile che clicca “approva” su una lista generata dal sistema, senza vedere i parametri e senza poter deviare, non esercita un potere autonomo: esegue. Chi costruisce un agente per HR deve progettare il punto in cui l’umano può dire no, e il log che dimostra che poteva dirlo. Questo non è un obbligo nuovo per chi conosce l’articolo 22 del GDPR, richiamato in apertura dell’articolo 41; è una sua versione con la nullità scritta in chiaro.

Che cos’è lo Spazio di sperimentazione italiano per l’IA?

L’articolo 26 istituisce lo Spazio di sperimentazione italiano per l’IA ai sensi dell’articolo 57 dell’AI Act: un ambiente controllato “gestito congiuntamente dall’AgID e dall’ACN”, sotto la vigilanza delle autorità nazionali per l’IA, aperto a fornitori e potenziali fornitori di sistemi di IA, con priorità di accesso per PMI e start-up secondo l’articolo 62 del regolamento (D.Lgs. 179/2026, art. 26, commi 1-2).

Le modalità di accesso, gestione e funzionamento arrivano con un decreto congiunto dei direttori generali di AgID e ACN (art. 26, comma 2); i criteri di ammissione devono essere “oggettivi e trasparenti”, riferiti ai soggetti eleggibili, alle priorità di accesso e “allo stato di maturità delle soluzioni proposte” (art. 26, comma 4). Il decreto, al Capo II, Sezione VI, affianca alla sandbox generale la sperimentazione FinTech già esistente dal 2019. Il termine europeo per avere almeno una sandbox operativa è stato spostato dall’AI Omnibus al 2 agosto 2027 (Lexia, 2026): l’Italia arriva con la cornice legislativa prima della scadenza, ma senza ancora il regolamento attuativo. I dati suggeriscono prudenza: una sandbox è utile se ha personale, tempi di risposta e un’uscita verso il mercato, e nessuno di questi tre elementi è nel testo.

Quali altre scadenze fa partire il decreto?

L’entrata in vigore del 23 ottobre 2026 fa decorrere una serie di termini a cascata: 90 giorni per il piano di formazione dei docenti sull’uso dei social e dell’IA (art. 37) e per il decreto del Ministro dell’istruzione sulla formazione IA di docenti e studenti (art. 38); sei mesi, quindi entro il 23 aprile 2027, per l’adeguamento dei regolamenti di formazione continua degli ordini professionali (art. 47, comma 5) e per l’ECM dei professionisti sanitari (artt. 47, comma 6, e 51); dodici mesi per i parametri dell’equo compenso che tengano conto dell’uso dell’IA (art. 49, comma 2).

1. 23 ottobre 2026 — entrata in vigore: autorità, poteri, sanzioni, articolo 41 sul lavoro e articolo 52 sui segreti aziendali sono operativi.
2. Entro 90 giorni (gennaio 2027) — piano MIM per i docenti (art. 37, finanziato fino a 100 milioni di euro sul PN Scuola e Competenze 2021-2027) e decreto MIM sulla formazione IA (art. 38).
3. Entro sei mesi (23 aprile 2027) — ordini e collegi includono percorsi obbligatori di alfabetizzazione IA nella formazione continua, con monte ore minimo e profili tecnici, giuridici e deontologici (art. 47); stessa finestra per l’ECM (art. 51).
4. Entro dodici mesi (23 ottobre 2027) — integrazione dei decreti sui parametri dell’equo compenso (art. 49).
5. Senza termine — DPCM sulle modalità ispettive dell’ACN (art. 15), decreto AgID-ACN sulla sandbox (art. 26), decreto ACN sulla registrazione nazionale (art. 14), linee guida del Ministro per la PA sul quadro minimo di competenze IA dei dipendenti pubblici (art. 40).

C’è poi un articolo che quasi nessuno cita e che a me interessa molto: l’articolo 52 modifica l’articolo 98 del Codice della proprietà industriale e include tra le informazioni aziendali segrete “i dati, gli algoritmi e i metodi matematici per l’addestramento di sistemi di intelligenza artificiale”, intesi come “le architetture dei modelli, le funzioni di ottimizzazione, le procedure e configurazioni di addestramento”. Per chi fa fine-tuning o costruisce dataset proprietari è la base giuridica per proteggerli come segreto commerciale, con competenza delle sezioni specializzate in materia di impresa (art. 53).

Implicazioni pratiche per le PMI italiane

Il decreto non aggiunge obblighi europei nuovi, ma rende esigibili quelli che c’erano, e lo fa con un’autorità che ha già mostrato, sulla NIS2, di saper produrre determinazioni, FAQ e scadenze in sequenza. Per una PMI che usa l’IA come deployer, le cose da guardare nei prossimi mesi sono tre e nessuna richiede un consulente per il primo passo.

La prima è l’articolo 50 dell’AI Act: se avete un chatbot verso clienti o pubblicate contenuti generati, dal 23 ottobre la mancata trasparenza ha un’autorità italiana competente e un massimale di 15 milioni di euro o il 3%. Su questo blog ogni articolo prodotto con assistenza di un modello generativo chiude con una dichiarazione esplicita: è una scelta editoriale presa prima che fosse obbligatoria, e oggi è anche la cosa più economica da fare. La seconda è l’articolo 41: censite i punti in cui un sistema, anche un semplice punteggio in un gestionale HR, influisce su valutazioni, provvedimenti o cessazioni, e documentate dove un umano decide davvero. La terza è l’articolo 42: aggiornate il DVR se l’IA detta ritmi o modalità di lavoro. L’hype da evitare è il contrario: chi vi vende “la certificazione AI Act” oggi vende qualcosa che le autorità non hanno ancora definito, perché il regolamento ispettivo dell’ACN e il decreto sulla sandbox devono ancora essere scritti. Cosa dice la norma è sopra; cosa conviene fare nel vostro caso specifico è lavoro per un professionista abilitato.

Il D.Lgs. 179/2026 anticipa gli obblighi dell’AI Act sui sistemi ad alto rischio?

No. Le sanzioni dell’articolo 23 rinviano agli obblighi del Regolamento (UE) 2024/1689, le cui date di applicazione restano quelle fissate dal Regolamento (UE) 2026/1744: 2 dicembre 2027 per i sistemi ad alto rischio dell’allegato III e 2 agosto 2028 per quelli integrati nei prodotti. Dal 23 ottobre 2026 sono esigibili in Italia gli obblighi già applicabili, come la trasparenza dell’articolo 50.

A chi presento un reclamo per una violazione dell’AI Act in Italia?

All’autorità di vigilanza del mercato competente: l’ACN per i sistemi di IA in generale; Banca d’Italia, CONSOB o IVASS per i sistemi ad alto rischio usati da istituti finanziari vigilati; il Garante privacy nei limiti dell’articolo 74, paragrafo 8, dell’AI Act. Se il reclamo arriva all’autorità sbagliata, l’articolo 18 del D.Lgs. 179/2026 prevede la trasmissione d’ufficio a quella competente.

Posso usare l’AI per selezionare i CV dopo il 23 ottobre 2026?

Sì, per la legge italiana: l’articolo 41 del D.Lgs. 179/2026 esclude espressamente dalle “decisioni finali” le attività di ricerca e selezione delle candidature, anche se comportano la mancata ammissione alle fasi successive. Restano fermi l’articolo 22 del GDPR, gli obblighi informativi del D.Lgs. 152/1997 e, dal 2 dicembre 2027, gli obblighi europei sui sistemi ad alto rischio in ambito occupazionale.

Le multe del D.Lgs. 179/2026 sono ridotte per le PMI?

Il decreto non fissa importi ridotti, ma l’articolo 23, comma 7, rinvia per PMI, microimprese e start-up innovative al criterio dell’articolo 99, paragrafo 6, dell’AI Act, che applica il minore tra l’importo fisso e la percentuale di fatturato. L’articolo 22 consente inoltre, per violazioni di scarsa offensività, un ordine di rimozione o una dichiarazione pubblica in alternativa alla sanzione pecuniaria.

Cosa devono fare gli ordini professionali entro aprile 2027?

Entro sei mesi dal 23 ottobre 2026 i consigli nazionali di ordini e collegi adeguano i regolamenti di formazione iniziale e continua per includere percorsi obbligatori di alfabetizzazione all’IA, con un monte ore minimo per periodo di valutazione e contenuti tecnici, giuridici e deontologici (art. 47). Per le professioni sanitarie la stessa finestra vale per l’ECM, con un accordo in Conferenza Stato-Regioni (artt. 47 e 51).

Conclusioni

Il D.Lgs. 179/2026 è un decreto di infrastruttura: nomi, poteri, procedure, sanzioni. Non è il tipo di norma che fa titolo, ed è esattamente il tipo di norma che cambia i comportamenti, perché trasforma un regolamento europeo in un’autorità con un sito, un modulo per i reclami e un elenco pubblico di provvedimenti. La mia posizione è che il legislatore italiano abbia fatto due cose bene e una a metà. Bene l’articolo 41, che scrive in chiaro la nullità delle decisioni sul lavoro prese solo dalla macchina e chiude la scappatoia del consenso. Bene l’articolo 52, che dà un nome giuridico ai dati di addestramento come segreto aziendale. A metà la sandbox: istituita sulla carta, operativa quando AgID e ACN troveranno il tempo di scrivere il decreto. Tra il 23 ottobre e il 2 dicembre 2027 c’è un anno abbondante in cui l’unica cosa davvero sanzionabile per la maggior parte delle PMI è la trasparenza. Userei quell’anno per imparare a dichiararla bene, non per aspettare la prossima proroga.

Riferimenti

Fonti verificate al 14 ottobre 2026.

• Decreto legislativo 7 ottobre 2026, n. 179. Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 […] in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione. Normattiva, testo originario in vigore dal 23/10/2026. Livello B. normattiva.it/eli/id/2026/10/08/26G00200/ORIGINAL
• Gazzetta Ufficiale della Repubblica Italiana. (2026, 8 ottobre). Serie Generale n. 234, D.Lgs. 179/2026 (26G00200). Livello B. gazzettaufficiale.it/eli/id/2026/10/08/26G00200/SG
• Parlamento europeo e Consiglio. (2024, 13 giugno). Regolamento (UE) 2024/1689 (AI Act), artt. 5, 50, 57, 70, 74, 85, 99. EUR-Lex. Livello B. eur-lex.europa.eu/eli/reg/2024/1689/oj
• Parlamento europeo e Consiglio. (2026). Regolamento (UE) 2026/1744 (AI Omnibus), in vigore dal 27 luglio 2026. EUR-Lex. Livello B. [verificare URL]
• Legge 23 settembre 2025, n. 132. Disposizioni e deleghe al Governo in materia di intelligenza artificiale, artt. 11, 20, 24. Normattiva. Livello B. [verificare URL]
• NicFab. (2026, 9 ottobre). Scadenze digitali fino a giugno 2027: il calendario commentato. Livello C (analisi di settore con riferimenti normativi puntuali). nicfab.eu/it/posts/digital-deadlines-2026-2027/
• Legiscope. (2026, 30 settembre). AI Act in Italia: scadenze aggiornate e percorso operativo. Livello C. legiscope.com/blog/ai-act-italia-guida.html
• Restaino, C. (2026, 8 settembre). AI Act: obblighi in vigore e scadenze aggiornate. BITIL. Livello C. bitil.com/best-practices/aims/ai-act
• Lexia. (2026, 7 luglio). AI Act e pacchetto “Omnibus VII”: scadenze, semplificazioni, divieti. Livello C. lexia.it/2026/07/07/ai-act-omnibus-vii/
• Federazione ANIE. (2026, 9 ottobre). Intelligenza Artificiale – Pubblicato decreto per adeguamento alle disposizioni dell’AI ACT europeo. Livello C. anie.it

Link correlati su Argos New Dreams

• AI Act e riconoscimento facciale: il D.Lgs. 160/2026 è legge — il primo decreto attuativo della legge 132/2025
• AI e responsabilità: cosa cambia dal 30 settembre 2026 — art. 437-bis c.p., 231 e prove civili
• NIS2: le nuove FAQ ACN, cosa deve approvare il CdA — come lavora l’ACN quando diventa autorità
• L’intelligenza artificiale supererà l’uomo? Appunti su cosa resta di umano — la decisione umana come scelta, prima che come obbligo

Trasparenza sull’uso dell’intelligenza artificiale
Questo articolo è stato redatto con l’assistenza di un sistema di intelligenza artificiale generativa (Claude Sonnet 5, tramite l’agente Argos Newsroom su Microsoft Copilot Studio) per la ricerca delle fonti, la strutturazione e la prima stesura. Il testo è stato successivamente verificato, corretto e approvato da un autore umano, Luca Borio, che ne detiene la responsabilità editoriale ai sensi dell’art. 50 del Regolamento (UE) 2024/1689. Dati, citazioni e link sono stati controllati sulle fonti originali indicate. Eventuali errori residui sono miei.

⚠️ Nessuna consulenza professionale
Questo contenuto ha finalità divulgativa e informativa. Non costituisce consulenza legale, fiscale, sanitaria, finanziaria o giuslavoristica, né sostituisce il parere di un professionista abilitato. Le norme citate sono riportate nella versione vigente alla data di pubblicazione e possono essere modificate: verifica sempre il testo aggiornato sulle fonti ufficiali (per il diritto italiano, Normattiva — https://www.normattiva.it ; per l’AI Act, il portale ufficiale UE — https://artificialintelligence-act.ec.europa.eu/ ). Per la valutazione di un caso concreto rivolgiti a un professionista.