IA, dal 23 ottobre controlli e multe: il decreto 179 riguarda anche le PMI

1Cosa cambia per la mia azienda?

Dal 23 ottobre 2026 è in vigore il decreto legislativo 179/2026. Una precisazione utile: il decreto non «recepisce» l'AI Act, che è un regolamento europeo e si applica già direttamente in Italia. Lo adegua, cioè stabilisce chi vigila, con quali poteri e con quali sanzioni. Sono 54 articoli che attuano la delega della legge 132/2025 sull'intelligenza artificiale. Si applicano a fornitori, importatori, distributori e anche alle aziende che semplicemente utilizzano sistemi di IA.

Il controllore principale è l'Agenzia per la cybersicurezza nazionale (ACN). Può avviare verifiche d'ufficio, dopo la segnalazione di un incidente grave, su reclamo non manifestamente infondato o su segnalazione di un'altra autorità. Chiunque ritenga violato l'AI Act può presentare reclamo, e se lo invia all'autorità sbagliata viene girato a quella competente. Per i sistemi ad alto rischio nel credito, nella finanza e nelle assicurazioni intervengono Banca d'Italia, CONSOB e IVASS. AgID non controlla le aziende: vigila sugli organismi che certificano i sistemi di IA. Il Garante privacy interviene solo in casi specifici. Per i prodotti con marcatura CE che contengono IA, come le macchine, ACN e autorità di settore fanno i controlli insieme.

La parte che tocca quasi tutte le imprese riguarda il lavoro. Assunzioni, modifiche e cessazioni del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non possono basarsi solo su un trattamento automatico: la decisione finale spetta a una persona con un potere effettivo e autonomo, e il consenso del lavoratore non basta a superare questo limite. La ricerca e lo screening dei candidati non contano come decisione finale. Prima di usare questi strumenti va data l'informativa prevista dal d.lgs. 152/1997, e il dipendente può chiedere una motivazione comprensibile, fornita da una persona, su quanto ha pesato l'IA. Inoltre ogni IA che incide su organizzazione del lavoro, ritmi o sicurezza va inserita nel documento di valutazione dei rischi, con informazione e formazione dei dipendenti.

Ci sono anche novità a favore delle imprese. Dati, algoritmi e metodi di addestramento sviluppati in azienda sono ora espressamente tutelabili come segreti commerciali. Nasce uno spazio di sperimentazione nazionale gestito da AgID e ACN con priorità per PMI e start-up, ma i criteri di accesso non sono ancora stati fissati. Gli ordini professionali dovranno inserire la formazione sull'IA nei loro regolamenti entro aprile 2027: un aspetto che riguarda le PMI anche come clienti di commercialisti, consulenti e avvocati.

Chi usa l'IA per decidere su un dipendente deve poter indicare la persona che ha preso davvero la decisione.

2Cosa fare nei prossimi 90 giorni?

1. Settimane 1–4: Fare l'inventario degli strumenti di IA in uso, compresi quelli integrati nei gestionali, nei software per il personale e nei chatbot rivolti ai clienti. Per ciascuno annotare fornitore, versione, chi lo usa e per quali decisioni. Nominare un responsabile interno e capire in quale area ricade ogni strumento: gestione del personale, rapporti con i clienti, prodotti marcati CE, servizi finanziari.
2. Settimane 5–8: Rivedere i processi del personale: per ogni decisione su assunzioni, valutazioni o provvedimenti disciplinari stabilire e mettere per iscritto chi decide davvero. Predisporre l'informativa ai lavoratori prima di usare l'IA, aggiornare il DVR e il piano di formazione. Verificare gli obblighi di trasparenza per chatbot e contenuti generati con l'IA, che rientrano nella seconda fascia di sanzioni.
3. Settimane 9–13: Chiedere ai fornitori la documentazione sui sistemi acquistati e verificare che la supervisione umana funzioni nella pratica, non solo sulla carta. Raccogliere tutto in un fascicolo utilizzabile in caso di controllo. Proteggere dati e modelli proprietari come segreti commerciali. Seguire i provvedimenti in arrivo: entro circa il 21 gennaio 2027 è atteso il DPCM sui costi dei controlli; ispezioni e sandbox attendono ancora i loro atti.

3Cosa rischio se non mi muovo?

Le sanzioni sono su quattro livelli: fino a 35 milioni o al 7% del fatturato mondiale per le pratiche vietate; 15 milioni o 3% per gli obblighi sui sistemi ad alto rischio, la trasparenza e la segnalazione di incidenti gravi; 7,5 milioni o 1% per informazioni inesatte date alle autorità; 1 milione o 0,5% per valutazione d'impatto e diritto alla spiegazione. Per PMI, microimprese e start-up innovative vale l'importo più basso tra cifra fissa e percentuale. Una PMI con 10 milioni di fatturato rischia quindi al massimo 700.000 euro per una pratica vietata, 300.000 per una violazione del secondo livello e 50.000 per una del quarto. Nel fissare l'importo l'autorità considera anche se l'obbligo violato era sostanziale o solo formale.

Il rischio non è solo economico. Le sanzioni vengono pubblicate per estratto sul sito dell'autorità. Per le violazioni lievi l'autorità può ordinare di rimediare entro un termine, ma se l'ordine non viene rispettato la multa può crescere fino a un terzo. Se un prodotto risulta non conforme, i costi dei controlli possono ricadere sull'impresa. Il rischio più concreto per una PMI è però un altro: il licenziamento deciso violando le regole sull'intervento umano è nullo, e lo sono anche le altre decisioni sul personale prese allo stesso modo. Chi usa l'IA per decidere su un dipendente deve poter indicare la persona che ha preso davvero la decisione.

Le modalità delle ispezioni dell'ACN saranno fissate da un regolamento che il decreto non lega a una scadenza, e la macchina dei controlli non è ancora completa. Questo non autorizza ad aspettare: i reclami sono già possibili, l'ACN può muoversi su segnalazione e la nullità delle decisioni sul personale vale da subito. L'Italia è tra i pochi Paesi europei, nove secondo le fonti, ad aver completato la designazione delle autorità. Chi documenta oggi cosa usa e come lo controlla affronterà eventuali verifiche con meno costi e meno incertezza.