Nota di metodo. I decreti sono stati approvati in via definitiva ma, alla data di pubblicazione di questo articolo, non risultano ancora pubblicati in Gazzetta Ufficiale. Le indicazioni che seguono si basano sui comunicati ufficiali e sui testi circolati durante l'iter; i dettagli andranno confermati sul testo definitivo. Questa pagina verrà aggiornata alla pubblicazione.
Da dove arrivano
I due decreti attuano la delega contenuta nella legge 132/2025, la legge italiana sull'intelligenza artificiale. Erano stati approvati in esame preliminare il 10 giugno 2026 e poi sottoposti ai pareri delle Commissioni parlamentari, della Conferenza unificata e del Garante per la protezione dei dati personali. L'approvazione definitiva è del 4 agosto 2026.
- Primo decreto — impiego dell'intelligenza artificiale nelle attività di polizia e profili di responsabilità civile e penale
- Secondo decreto — poteri delle autorità nazionali e uso dell'IA nella formazione, nel lavoro, nella sanità e nella pubblica amministrazione
È il secondo a toccare la vita quotidiana di aziende, studi professionali ed enti.
Chi vigila: il disegno della governance
| Soggetto | Ruolo | Su cosa |
|---|
| AgID | Autorità di notifica | Designazione e sorveglianza degli organismi di valutazione della conformità |
| ACN | Autorità di vigilanza del mercato | Controlli sui sistemi immessi sul mercato e in uso, poteri ispettivi e sanzionatori |
| Banca d'Italia, Consob, IVASS | Vigilanza settoriale | Sistemi ad alto rischio collegati ai servizi finanziari e assicurativi |
| Garante privacy | Competenza propria | Resta l'autorità sul trattamento dei dati personali, che l'AI Act non sostituisce |
Sulle sanzioni, l'impianto nazionale gradua gli importi in base alla gravità, con massimali che in alcune fattispecie risultano inferiori a quelli europei, e prevede misure non pecuniarie per le violazioni meno offensive. Restano ferme le soglie del Regolamento per le pratiche vietate.
Lavoro: niente decisioni interamente automatizzate sulle persone
È il passaggio con l'impatto più ampio e più immediato. Costituzione, modifica e risoluzione del rapporto di lavoro — inclusi provvedimenti disciplinari e licenziamenti — non possono discendere unicamente da un trattamento automatizzato.
Non è un principio nuovo in assoluto: l'art. 22 del GDPR già limita le decisioni interamente automatizzate che producono effetti giuridici significativi. La novità è l'esplicitazione nel contesto lavorativo, che toglie spazio alle interpretazioni elastiche.
Dove sta il rischio concreto. Quasi nessuna azienda licenzia “con un algoritmo”. Molte però usano strumenti che
producono un esito e lo fanno solo ratificare: screening automatico dei curriculum, punteggi di produttività, sistemi di assegnazione dei turni, indicatori di rischio sui dipendenti. Se chi firma la decisione non ha né le informazioni né l'autonomia per discostarsi dall'esito, quella decisione è automatizzata nella sostanza, comunque sia formalizzata. Lo stesso ragionamento vale per i
punteggi di affidabilità assegnati ai clienti, che il Garante ha appena sanzionato con 7,7 milioni di euro.
Sanità, scuola e PA: la formazione diventa strutturale
Il filo comune dei tre settori è lo stesso: l'obbligo di alfabetizzazione all'IA smette di essere un adempimento astratto e viene agganciato ai circuiti formativi che già esistono.
- Sanità — l'intelligenza artificiale entra nell'Educazione Continua in Medicina, quindi nel percorso formativo obbligatorio degli operatori sanitari
- Pubblica amministrazione — la formazione del personale si raccorda con la Scuola Nazionale dell'Amministrazione
- Scuola e formazione — aggiornamento delle indicazioni nazionali e formazione stabile dei docenti, con uno stanziamento di 100 milioni di euro destinato anche al contrasto dei rischi legati all'abuso delle piattaforme e delle reti sociali digitali
Per chi lavora in questi settori il messaggio pratico è chiaro: la formazione documentata sull'IA non è più rinviabile a “quando usciranno le regole”. Le regole sono uscite, e passano dai canali formativi ordinari. Vale la pena rileggere gli obblighi settoriali su sanità, pubblica amministrazione e scuole.
Un chiarimento che serve, perché genera confusione ogni volta:
i decreti non spostano le scadenze dell'AI Act. Il calendario resta quello del Regolamento (UE) 2024/1689. L'obbligo di alfabetizzazione del personale è applicabile dal 2 febbraio 2025 e lo era già prima di questi decreti; gli obblighi di trasparenza dell'art. 50 sono scattati il 2 agosto 2026. Il quadro completo è nella
guida alle scadenze.
Cosa fare adesso, in concreto
Indipendentemente dalla pubblicazione in Gazzetta Ufficiale, tre attività sono già dovute e non cambieranno con il testo definitivo.
- Censire i sistemi di IA realmente in uso. Non quelli acquistati come “soluzioni IA”: quelli che ci sono dentro il gestionale, il CRM, il centralino, gli strumenti generativi usati dal personale. Nella maggior parte delle organizzazioni il censimento restituisce il doppio dei sistemi attesi.
- Documentare la formazione. L'art. 4 richiede un livello sufficiente di alfabetizzazione per chi utilizza questi sistemi. La differenza tra adempiuto e non adempiuto è la documentazione: chi, quando, su cosa, con quale verifica.
- Mappare i processi decisionali sulle persone. Dove un sistema produce un punteggio, una classifica o una raccomandazione che riguarda dipendenti, candidati, clienti o utenti, va verificato se l'intervento umano è effettivo e va messo per iscritto come funziona.
Il resto — classificazione dei sistemi, documentazione tecnica, valutazioni — dipende da cosa emerge dal censimento. È il motivo per cui conviene partire da lì e non dai documenti: l'assessment dice quali obblighi ti riguardano davvero, e quasi sempre sono meno di quanti si temono.
Domande frequenti
Quali sono i decreti attuativi dell'AI Act in Italia?
Due decreti legislativi approvati in via definitiva dal Consiglio dei Ministri il 4 agosto 2026, in attuazione della delega della legge 132/2025. Il primo riguarda l'IA nelle attività di polizia e i profili di responsabilità civile e penale; il secondo i poteri delle autorità nazionali e l'uso dell'IA in formazione, lavoro, sanità e pubblica amministrazione.
Quali sono le autorità italiane per l'AI Act?
AgID è l'autorità di notifica, ACN l'autorità di vigilanza del mercato. Per i sistemi ad alto rischio collegati ai servizi finanziari la vigilanza spetta a Banca d'Italia, Consob e IVASS. Il Garante privacy mantiene la propria competenza sul trattamento dei dati personali.
Si può licenziare o sanzionare un dipendente sulla base di un algoritmo?
No. Le decisioni su costituzione, modifica o risoluzione del rapporto di lavoro, compresi provvedimenti disciplinari e licenziamenti, non possono essere adottate unicamente sulla base di un trattamento automatizzato. L'intervento umano deve essere effettivo, non una ratifica formale.
I decreti cambiano le scadenze dell'AI Act?
No. Il calendario resta quello del Regolamento (UE) 2024/1689. I decreti definiscono chi vigila, come si applicano le sanzioni in Italia e come l'IA va gestita in alcuni settori. Gli obblighi già applicabili, a partire dall'alfabetizzazione del personale, restano tali.
Le sanzioni italiane sono più basse di quelle europee?
Il quadro nazionale gradua le sanzioni in base alla gravità, con massimali che in alcune fattispecie risultano inferiori a quelli del Regolamento, e prevede misure non pecuniarie per le violazioni meno offensive. Restano ferme le soglie europee per le pratiche vietate.
Cosa deve fare un'impresa adesso?
Censire i sistemi di IA effettivamente in uso, documentare la formazione del personale che li utilizza, verificare se qualche processo decisionale sulle persone è interamente automatizzato. Sono adempimenti già dovuti, indipendentemente dalla pubblicazione dei decreti in Gazzetta Ufficiale.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting affianca imprese, studi professionali e pubbliche amministrazioni sull'AI Act e sul GDPR in tutta Italia. Chi sono.
Fonti: Presidenza del Consiglio dei Ministri, comunicato della seduta del 4 agosto 2026; Regolamento (UE) 2024/1689; legge 132/2025. I testi dei decreti non risultavano pubblicati in Gazzetta Ufficiale alla data di redazione.
Vuoi sapere quali obblighi riguardano davvero la tua organizzazione?
Si parte dal censimento dei sistemi: in una call breve capiamo cosa usi, come si classifica e cosa serve documentare.
Studio Cravero Consulting