D.Lgs. 179/2026: le sanzioni italiane sull'IA sono in vigore e un licenziamento deciso solo dall'algoritmo è nullo. Cosa cambia per la tua azienda

Dal 23 ottobre 2026 l'Italia ha le sue regole per far rispettare l'AI Act: il D.Lgs. 179/2026 stabilisce chi controlla, quali sanzioni si applicano e come va usata l'IA nei rapporti di lavoro. La novità più concreta per le aziende è che le decisioni finali su assunzioni, licenziamenti, provvedimenti disciplinari e valutazioni non possono più essere prese solo da un sistema automatico, pena la nullità.

Il decreto ha 54 articoli e tocca scuola, sanità, pubblica amministrazione e professioni. Qui ci concentriamo su ciò che interessa imprese e studi: autorità, sanzioni, lavoro, sicurezza. Tutti i riferimenti sono al testo pubblicato in Gazzetta Ufficiale.

Chi controlla l'uso dell'intelligenza artificiale in Italia?

Il decreto completa il quadro disegnato dall'art. 20 della Legge 132/2025:

• ACN (Agenzia per la cybersicurezza nazionale) è l'autorità di vigilanza del mercato per i sistemi di IA e il punto di contatto unico (artt. 5 e 6). Ha i poteri di vigilanza e ispezione previsti dall'AI Act (art. 15) e gestisce i reclami.
• AgID è l'autorità di notifica: valuta, designa e controlla gli organismi che certificano i sistemi ad alto rischio (art. 4).
• Banca d'Italia, Consob e IVASS vigilano sui sistemi ad alto rischio usati per finanziamenti, servizi di investimento e attività assicurativa.
• Il Garante privacy è autorità di vigilanza del mercato nei casi dell'art. 74, paragrafo 8, dell'AI Act e mantiene tutte le sue competenze sul GDPR.

Le autorità devono scambiarsi dati e informazioni tramite accordi, e l'ACN si coordina anche con Guardia di Finanza e forze di polizia nei limiti delle loro competenze (art. 7).

Quanto rischi se non rispetti l'AI Act?

L'art. 23 traduce in norma italiana gli importi dell'art. 99 dell'AI Act, con una fascia in più per due obblighi specifici:

Tre regole attenuano il quadro per le piccole realtà:

• per PMI, microimprese e start-up innovative si applica il criterio dell'art. 99, paragrafo 6, dell'AI Act: vale l'importo più basso tra cifra fissa e percentuale (art. 23, comma 7);
• l'autorità tiene conto anche della natura sostanziale o formale dell'obbligo violato (art. 23, comma 6);
• per le violazioni di scarsa offensività, invece della multa, l'autorità può ordinare di eliminare l'infrazione entro un termine o, se è già cessata, fare una dichiarazione pubblica sulla violazione (art. 22). Se non rispetti l'ordine, la sanzione pecuniaria aumenta fino a un terzo.

Una precisazione utile: l'art. 23 non elenca l'art. 4 dell'AI Act (formazione sull'IA) tra le violazioni con una sanzione pecuniaria dedicata. L'obbligo però resta, le autorità lo verificano dal 2 agosto 2026 e le misure dell'art. 22, come l'ordine di mettersi in regola, valgono per qualsiasi violazione del regolamento. Inoltre una formazione mancante pesa in tutti gli altri casi: un dipendente che inserisce dati di clienti in un servizio non autorizzato espone l'azienda a contestazioni GDPR.

L'intelligenza artificiale può decidere un licenziamento?

No. L'art. 41 stabilisce che, quando il datore di lavoro usa sistemi di IA nei processi decisionali sul rapporto di lavoro, le decisioni finali non possono essere adottate unicamente sulla base di un trattamento automatizzato. Riguarda:

• la costituzione del rapporto (l'assunzione);
• le modifiche del rapporto;
• la cessazione, cioè il licenziamento;
• i provvedimenti disciplinari;
• le valutazioni delle prestazioni.

La decisione definitiva spetta sempre a una persona fisica con un potere effettivo e autonomo: un responsabile che si limita a confermare ciò che propone il software non basta. Il consenso del lavoratore non è un'eccezione. Le decisioni prese in violazione della regola sono nulle, e così il licenziamento.

Ci sono anche diritti nuovi per il lavoratore:

• prima di iniziare il trattamento devi dare l'informativa prevista dall'art. 1-bis del D.Lgs. 152/1997, come già richiesto dall'art. 11 della Legge 132/2025;
• il lavoratore può ottenere, tramite una persona, una motivazione comprensibile della decisione, con l'indicazione di quanto ha inciso l'IA e dei principali parametri considerati;
• restano fermi i diritti di accesso del GDPR (artt. 13, 15 e 22).

Attenzione al confine: la ricerca e la selezione delle candidature non rientrano tra le «decisioni finali», anche se escludono qualcuno dalle fasi successive. Non sono però prive di regole: GDPR, informativa e, dal 2 dicembre 2027, gli obblighi dell'AI Act per i sistemi di selezione del personale. Ne parliamo nella guida su cosa deve dire il datore di lavoro che usa l'IA.

L'IA va inserita nel documento di valutazione dei rischi?

Sì, quando incide sul lavoro. L'art. 42 prevede che l'uso di sistemi di IA che incidono su organizzazione del lavoro, ritmi produttivi, modalità di esecuzione della prestazione o decisioni rilevanti per la sicurezza sia valutato nella valutazione dei rischi dell'art. 28 del D.Lgs. 81/2008.

Esempi tipici: software che assegnano i turni o i carichi di lavoro, sistemi che dettano i tempi in magazzino, strumenti che guidano gli operatori in produzione. Il datore di lavoro deve anche garantire informazione e formazione dei lavoratori sui rischi specifici legati all'IA e sulle misure di prevenzione adottate. Coinvolgi RSPP e medico competente.

Cosa cambia per i professionisti?

• Formazione obbligatoria (art. 47): gli ordini devono inserire percorsi sull'IA nella formazione continua, con aree tecnica, giuridica e deontologica e un monte ore minimo. I consigli nazionali hanno sei mesi, fino al 23 aprile 2027. Tutti i dettagli nella guida sulla formazione IA per i professionisti.
• Equo compenso (art. 49): l'uso dell'IA da parte del professionista può modulare l'equo compenso in base alla classe di rischio del sistema usato. I parametri saranno fissati nei decreti ministeriali entro dodici mesi.
• Professioni sanitarie (art. 51): la formazione sull'IA entra nell'ECM, con una quota dell'obbligo triennale definita dalla Commissione nazionale entro sei mesi.

Quali altre novità interessano le imprese?

• Segreti commerciali (art. 52): dati, algoritmi e metodi usati per addestrare sistemi di IA (architetture, funzioni di ottimizzazione, configurazioni di addestramento) possono essere protetti come informazioni aziendali riservate dall'art. 98 del Codice della proprietà industriale.
• Spazio di sperimentazione italiano per l'IA (artt. 26-31): un ambiente controllato gestito da AgID e ACN dove i fornitori possono testare i sistemi, con priorità per PMI e start-up. Le regole di accesso arriveranno con un decreto congiunto.
• Registrazione nazionale (art. 14): l'ACN gestisce la registrazione dei sistemi ad alto rischio legati alle infrastrutture critiche.

E il D.Lgs. 160/2026?

È il primo decreto attuativo della Legge 132/2025, in vigore dal 30 settembre 2026. Riguarda soprattutto l'uso dell'IA da parte delle forze di polizia (l'identificazione biometrica in tempo reale è ammessa solo nei casi previsti e con autorizzazione dell'autorità giudiziaria), la responsabilità penale e il risarcimento del danno. Per le imprese la norma da conoscere è il nuovo art. 437-bis del codice penale, che punisce chi omette o rimuove le misure di sicurezza nei sistemi di IA ad alto rischio, quando ne deriva un pericolo concreto. Il testo è su Normattiva.

Cosa fare oggi in 5 passi

1. Mappa i processi HR in cui un software propone o calcola qualcosa: selezione, turni, valutazioni, provvedimenti. Per ognuno indica chi prende la decisione finale e documentalo.
2. Aggiorna l'informativa ai lavoratori ex art. 1-bis D.Lgs. 152/1997 e prepara una procedura per fornire, su richiesta, la motivazione della decisione.
3. Chiedi all'RSPP di valutare nel DVR gli strumenti di IA che incidono su ritmi e organizzazione del lavoro.
4. Forma il personale e conserva le prove: oltre all'art. 4 dell'AI Act, ora c'è anche l'obbligo di informazione e formazione sui rischi dell'art. 42.
5. Verifica il resto con la checklist gratuita e la pagina sugli obblighi per le aziende.