Negli ultimi dodici mesi il quadro normativo sull’intelligenza artificiale applicabile alle imprese italiane si è arricchito di due tasselli fondamentali: il Regolamento (UE) 2024/1689 – AI Act, che ha raggiunto un’ulteriore tappa di applicazione lo scorso 2 agosto, e la Legge 23 settembre 2025, n. 132, prima normativa italiana organica in materia di IA, in vigore dal 10 ottobre 2025.
Per due anni la data del 2 agosto 2026 è stata indicata come il momento in cui sarebbero entrati in vigore gli obblighi più gravosi dell’AI Act, quelli relativi ai sistemi ad alto rischio (selezione del personale, valutazione del merito creditizio, biometria, istruzione, giustizia). Il “Digital Omnibus” approvato in via definitiva dal Consiglio UE lo scorso giugno ha in realtà rinviato questo regime: gli obblighi di conformità per i sistemi ad alto rischio “autonomi” dell’Allegato III slittano al 2 dicembre 2027, mentre quelli per i sistemi ad alto rischio integrati in prodotti già regolamentati (Allegato I) sono fissati al 2 agosto 2028.
Il 2 agosto 2026 sono invece diventati pienamente operativi:
- gli obblighi di trasparenza dell’articolo 50, che impongono di rendere riconoscibile l’interazione con un chatbot o con altri sistemi di IA rivolti a clienti o dipendenti, e di dichiarare la natura artificiale di contenuti sintetici e deepfake;
- l’obbligo, già vigente da tempo ma ora concretamente verificabile, di alfabetizzazione in materia di IA del personale che utilizza questi strumenti;
- il pieno impianto sanzionatorio e di governance, con poteri di enforcement operativi sia per la Commissione (in particolare verso i fornitori di modelli GPAI) sia per le autorità nazionali di vigilanza, incluse le sanzioni già previste per le pratiche vietate dall’articolo 5.
In sintesi: le imprese che utilizzano sistemi di IA “a rischio minimo” o “limitato” devono concentrarsi sugli obblighi di trasparenza e formazione, mentre l’obbligo di conformità stringente per i sistemi ad alto rischio resta un adempimento da pianificare, non da eseguire nell’immediato.
Parallelamente al percorso europeo, la Legge 132/2025 ha introdotto una serie di previsioni che riguardano da vicino le aziende italiane, e che non vengono meno per effetto dei rinvii disposti a livello UE:
Trasparenza verso i lavoratori. L’articolo 11 impone al datore di lavoro di informare espressamente i dipendenti quando strumenti basati sull’intelligenza artificiale sono utilizzati nei processi produttivi o nella gestione del personale (selezione, valutazione delle performance, organizzazione del lavoro). L’uso deve avvenire secondo criteri di correttezza, evitando discriminazioni e garantendo un trattamento dei dati conforme al GDPR.
Impatto sui Modelli 231. L’articolo 26 introduce nuove fattispecie di reato e aggravanti connesse all’uso illecito dell’IA, che entrano nel catalogo dei reati presupposto del D.Lgs. 231/2001. Per le società dotate di un Modello di organizzazione, gestione e controllo, questo comporta la necessità di aggiornare la mappatura dei rischi includendo l’IA come variabile trasversale, con particolare attenzione alla tracciabilità delle decisioni assistite da sistemi automatizzati e alla documentazione della supervisione umana.
Osservatorio nazionale. Viene istituito presso il Ministero del Lavoro un Osservatorio sull’adozione dei sistemi di IA nel mondo del lavoro, con compiti di monitoraggio dell’impatto occupazionale e organizzativo e di individuazione dei fabbisogni formativi.
In concreto, prescindere dalla categoria di rischio dei sistemi utilizzati, per un’azienda che sta adottando l’IA oggi è importante muoversi su quattro direttrici:
- Censire i sistemi di IA effettivamente in uso, inclusi quelli introdotti “dal basso” da singoli reparti o dipendenti senza un processo di autorizzazione formale; e ciò al fine di evitare violazioni della disciplina privacy;
- Classificarli rispetto alle categorie di rischio dell’AI Act, per capire quali obblighi sono già attuali e quali diventeranno rilevanti nel 2027-2028;
- Formalizzare l’informativa ai lavoratori prevista dalla Legge 132/2025 e verificare la coerenza con la normativa su privacy e i controlli a distanza (art. 4 St. Lav.);
- Aggiornare il Modello 231, ove adottato, integrando l’uso dell’IA nella mappatura dei rischi-reato e nei protocolli di controllo;
- Formalizzare l’informativa ai lavoratori prevista dalla Legge 132/2025 e verificarne la coerenza e la compatibilità con la normativa su privacy e controlli a distanza (art. 4 St. Lav.).