L'8 ottobre 2026 la Gazzetta Ufficiale (n. 234) ha pubblicato il decreto legislativo 7 ottobre 2026, n. 179, che adegua la normativa italiana al regolamento europeo sull'intelligenza artificiale (AI Act) e attua le deleghe della legge italiana sull'AI, la 132/2025. Entra in vigore il 23 ottobre 2026. Il Quotidiano IPSOA lo ha segnalato il 9 ottobre; Innovation Post lo ha spiegato il giorno dopo, punto per punto, dal lato delle imprese.
Il punto che conta per chi gestisce un'azienda è questo: il rinvio europeo delle scadenze sui sistemi ad alto rischio (2 dicembre 2027 per quelli dell'Allegato III, tra cui l'occupazione; 2 agosto 2028 per l'Allegato I) non sospende le norme italiane su lavoro, sicurezza e vigilanza. Quelle partono tra due settimane.
Lavoro: la decisione finale è di una persona (art. 41)
È la parte più concreta del decreto. Le decisioni finali su costituzione, modifica o cessazione del rapporto di lavoro non possono essere prese esclusivamente sulla base di un trattamento automatizzato. Lo stesso vale per i provvedimenti disciplinari e per le valutazioni delle prestazioni.
Quattro dettagli fanno la differenza:
- La persona deve avere un potere vero. Non basta un clic di approvazione su una proposta dell'algoritmo: la decisione spetta a una persona fisica con potere effettivo e autonomo.
- Il consenso del lavoratore non cambia nulla. Non si può aggirare il divieto facendo firmare un'accettazione.
- La sanzione è la nullità. Il testo dice che il licenziamento e le altre decisioni adottate in violazione sono nulli. Non è una multa da mettere a budget: è una decisione che cade.
- Il lavoratore può chiedere una spiegazione. Una motivazione comprensibile, fornita da una persona fisica, che chiarisca anche il ruolo del sistema e i suoi parametri principali. Prima dell'avvio del trattamento il datore deve dare l'informativa prevista dall'art. 1-bis del D.Lgs. 152/1997.
Resta fuori la ricerca e selezione dei candidati: non è considerata decisione finale sulla costituzione del rapporto. Ma non è un via libera. Continuano ad applicarsi GDPR, trasparenza e divieto di discriminazione, e chi usa un sistema per filtrare i curriculum risponde comunque di come lo fa.
Una norma gemella (art. 48) riguarda i servizi per il lavoro: centri per l'impiego e soggetti accreditati possono usare algoritmi per orientamento e incontro tra domanda e offerta, ma con supervisione umana e trasparenza.
Sicurezza: l'AI entra nel DVR (art. 42)
I sistemi di AI che incidono su organizzazione del lavoro, ritmi produttivi, modalità di esecuzione o su decisioni rilevanti per la sicurezza vanno considerati nella valutazione dei rischi dell'art. 28 del D.Lgs. 81/2008. In pratica: compaiono nel Documento di valutazione dei rischi. E i lavoratori devono ricevere informazione e formazione sui rischi specifici di quei sistemi.
Pensate a un software che assegna i turni, a un sistema che calcola la cadenza di una linea o a un assistente che suggerisce operazioni in un magazzino. Se condizionano il ritmo o le modalità del lavoro, il datore di lavoro deve averli messi a fuoco prima che li metta a fuoco un ispettore.
Chi controlla: un'autorità per ogni ambito
Il decreto distribuisce i ruoli previsti dall'AI Act:
- AgID è l'autorità nazionale di notifica: designa e monitora gli organismi che valutano la conformità.
- ACN (Agenzia per la cybersicurezza nazionale) è l'autorità di vigilanza del mercato e il punto di contatto unico.
- Banca d'Italia, Consob e IVASS vigilano sui sistemi ad alto rischio nei rispettivi ambiti finanziario e assicurativo.
- Il Garante per la protezione dei dati personali esercita le funzioni che il regolamento europeo gli attribuisce.
Le sanzioni sono quelle dell'AI Act, e vanno lette come massimali, non come multe automatiche:
| Violazione | Massimale |
|---|---|
| Pratiche vietate (art. 5) | 35 milioni o 7% del fatturato mondiale |
| Obblighi di fornitori, utilizzatori, trasparenza | 15 milioni o 3% |
| Informazioni inesatte o fuorvianti alle autorità | 7,5 milioni o 1% |
| Valutazione d'impatto sui diritti fondamentali e diritto alla spiegazione (artt. 27 e 86) | 1 milione o 0,5% |
Per PMI, microimprese e startup ci sono criteri specifici, e per le violazioni minori sono previste misure non pecuniarie: ordine di far cessare l'infrazione, divieto di ripeterla, dichiarazione pubblica.
La sandbox: un'opportunità che oggi non ha uno sportello
Il decreto istituisce lo Spazio di sperimentazione italiano per l'AI (artt. 26-31), gestito da AgID e ACN: una regulatory sandbox dove sviluppare, addestrare e validare sistemi sotto supervisione. Priorità a PMI e startup, coinvolgimento di università e centri di ricerca.
Tre cose da non fraintendere, tutte sottolineate da Innovation Post:
- L'accesso è per fornitori e potenziali fornitori di sistemi AI, non per le aziende che si limitano a usarli.
- Non è una zona franca. Le regole restano applicabili, e la responsabilità del progetto non passa all'autorità.
- Oggi non si può fare domanda. Per l'apertura concreta servono ulteriori provvedimenti di AgID e ACN, e il testo non indica durata né procedura. L'AI Act chiede a ogni Stato membro almeno uno spazio operativo entro il 2 agosto 2027.
Formazione e segreti commerciali
Gli ordini professionali dovranno inserire nei corsi iniziali e di formazione continua percorsi sull'AI, con tre taglie: tecnica (funzionamento e limiti), giuridica (AI Act e norme nazionali) e deontologica. I consigli nazionali hanno sei mesi, cioè fino al 23 aprile 2027, per adeguare i regolamenti. Il decreto prevede un monte ore minimo ma non lo fissa: lo decideranno i singoli ordini. Per i sanitari i percorsi entrano nell'Educazione continua in medicina. Per la scuola sono previsti fino a 100 milioni di euro per la formazione dei docenti, con i criteri del Ministero da definire entro novanta giorni.
C'è poi un capitolo che i professionisti guarderanno con attenzione: l'equo compenso. L'uso dell'AI potrà portare a modulare i parametri dei compensi in base alla classe di rischio del sistema, ma il decreto non fissa percentuali né sconti automatici legati al tempo risparmiato. I decreti sui parametri vanno integrati entro dodici mesi.
Infine l'art. 52, che per le imprese che sviluppano modelli è forse la norma più utile: dati, algoritmi e metodi matematici per l'addestramento (architetture, funzioni di ottimizzazione, configurazioni) possono essere tutelati come segreti commerciali, a patto di segretezza, valore economico derivante dalla riservatezza e misure adeguate a mantenerla.
Cosa fare prima del 23 ottobre
Il decreto non chiede di spegnere nulla, ma chiede di sapere cosa si è acceso. Una checklist minima, ricavata dalle fonti citate:
- Mappare i sistemi che toccano le decisioni sul personale: selezione, valutazione, turni, produttività, disciplina.
- Assegnare un decisore umano con potere reale a ogni decisione finale, e tenere traccia di come la persona ha deciso.
- Preparare la spiegazione: se un lavoratore la chiede, qualcuno deve saper dire che ruolo ha avuto il sistema e con quali parametri.
- Aggiornare il DVR con i sistemi che incidono su ritmi e modalità del lavoro, e programmare la formazione.
- Rivedere l'informativa ai dipendenti prima che il trattamento parta.
- Per chi produce AI: valutare la tutela come segreto commerciale e seguire i provvedimenti di AgID e ACN sulla sandbox.
Il limite di questa lettura
Il decreto chiude una parte del lavoro, ma ne lascia aperta una ampia: formazione degli ordini, compensi, criteri della sandbox e vigilanza operativa dipendono da atti successivi. E la nullità dell'art. 41 mette alla prova un nodo pratico: dove passa il confine tra una persona che decide e una persona che ratifica? Lo diranno i primi contenziosi, non il testo.
Una nota sulle fonti. Il Quotidiano IPSOA è dietro registrazione e non ho potuto leggere l'articolo per intero: i dettagli qui riportati vengono da Innovation Post e da tre sintesi che citano il testo del decreto (Lavorosì, BibLus, iSimply). Per gli obblighi della propria azienda, il riferimento resta il testo in Gazzetta Ufficiale.