Decreto 179/2026, in vigore dal 23 ottobre: chi controlla l’AI in Italia, quanto si rischia, chi dovrà formarsi

Un regolamento di condominio senza amministratore è un elenco di buone intenzioni. Dice che le biciclette non si lasciano nell’androne, ma a chi ce le lascia nessuno può fare niente. Poi l’assemblea nomina l’amministratore e gli consegna le chiavi, e il regolamento diventa un’altra cosa senza che ne sia cambiata una riga. In Italia l’AI Act l’amministratore ce l’aveva dall’ottobre 2025, quando la legge 132 ha designato le autorità, ma senza chiavi: dal 23 ottobre è in vigore il decreto che dice con quali poteri controllano e con quali multe.

È il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre e consultabile su Normattiva articolo per articolo. Attua la delega dell’articolo 24 della legge 132/2025, la legge italiana sull’intelligenza artificiale, e conta 54 articoli divisi in cinque capi. Il Consiglio dei ministri l’aveva approvato in via preliminare il 10 giugno e in via definitiva il 4 agosto, lo stesso giorno del decreto 160, quello sul reato e sulle cause per danni.

Chi controlla

La divisione dei compiti era già scritta nella legge 132; il decreto la mette in pratica (articoli 1, 4, 5 e 6). Le autorità nazionali per l’IA sono due agenzie, con mestieri diversi.

L’AgID è l’autorità di notifica. Valuta, designa e sorveglia gli organismi di valutazione della conformità, cioè chi dovrà verificare alcuni sistemi ad alto rischio prima che arrivino sul mercato. Ha un potere sanzionatorio suo, limitato a questo ruolo (articolo 20).

L’ACN vigila sul mercato. L’Agenzia per la cybersicurezza nazionale controlla i sistemi di AI in circolazione ed è il punto di contatto unico con le istituzioni dell’Unione. Ha i poteri ispettivi del regolamento e, sulle prove di sistemi in condizioni reali, può fare ispezioni a distanza o sul posto «anche senza preavviso» (articolo 15). Le modalità concrete le fisserà un regolamento adottato con decreto del Presidente del Consiglio, su proposta dell’ACN.

Accanto all’ACN ci sono tre autorità di settore. Banca d’Italia, Consob e Ivass vigilano sui sistemi ad alto rischio usati, rispettivamente, nel credito e nei servizi bancari, nei servizi di investimento e nelle assicurazioni. Il Garante per la protezione dei dati personali entra solo nei casi dell’articolo 74, paragrafo 8, dell’AI Act: i sistemi ad alto rischio usati da forze dell’ordine, nella gestione delle frontiere, nell’amministrazione della giustizia e nei processi democratici. Per l’AI dentro prodotti già regolati (dispositivi medici, giocattoli, ascensori) l’ACN vigila insieme alle autorità di quei settori, che devono avvisarla quando trovano un sistema di AI (articolo 8).

C’è anche una porta per i cittadini. Chi ritiene che un sistema violi il regolamento può presentare reclamo all’autorità di vigilanza competente, e se sbaglia indirizzo il reclamo viene girato d’ufficio a quella giusta (articolo 18). La procedura dell’ACN la stabilirà un decreto del suo direttore generale.

Quanto si rischia

Le multe stanno nell’articolo 23, in quattro fasce. Ogni fascia ha due soglie, una in euro e una in percentuale del fatturato mondiale annuo, e per le grandi imprese vale la più alta.

Due correttivi contano più delle cifre. Per piccole e medie imprese, microimprese comprese, e startup innovative vale la soglia più bassa delle due: lo dice il decreto (articolo 23), applicando l’articolo 99, paragrafo 6, del regolamento. Dopo l’Omnibus lo stesso vale, per effetto del regolamento, per le piccole imprese a media capitalizzazione, tranne che per le pratiche vietate. E per le violazioni di scarsa offensività l’autorità può evitare la multa: ordinare di rimediare entro un termine, oppure, se la violazione è cessata, renderla pubblica con il nome del responsabile (articolo 22). Chi non rispetta l’ordine paga la multa aumentata fino a un terzo, sempre entro i massimali.

Non tutto l’elenco morde subito. Gli obblighi di chi fornisce e di chi usa sistemi ad alto rischio, dopo l’Omnibus digitale, si applicano dal 2 dicembre 2027 o dal 2 agosto 2028. Il decreto non rinvia le multe, ma un obbligo che non si applica ancora non si può violare, e fino ad allora quella parte della tabella resta sulla carta. Il comunicato del governo del 4 agosto parlava di un rinvio delle sanzioni legato ai singoli obblighi: nel testo pubblicato una clausola così non c’è, ma il risultato pratico è lo stesso. Oggi contano i divieti, in vigore dal febbraio 2025, e la trasparenza: dal 2 agosto 2026 un chatbot deve dire di essere una macchina e un deepfake va etichettato, come abbiamo spiegato parlando dell’articolo 50. Le multe sui grandi modelli per finalità generali, invece, non passano da qui: sono della Commissione europea.

Un dettaglio che molti cercano: l’articolo 4, l’obbligo di alfabetizzazione, non compare nell’elenco delle multe. Resta un obbligo per chi fornisce e chi usa sistemi di AI, riformulato dall’Omnibus (prima chiedeva misure «per garantire nella misura del possibile un livello sufficiente» di competenze, ora misure «volte a sostenere lo sviluppo» dell’alfabetizzazione), ma il decreto non gli dedica una sanzione propria.

La parte che pochi hanno letto: la formazione

Il titolo del decreto parla anche di «utilizzo dell’intelligenza artificiale nella formazione», e il capo III gli dedica sedici articoli, dalla scuola alle professioni, dalla sanità al lavoro. Qui le scadenze cadono quasi tutte nei prossimi mesi.

Docenti. La formazione sull’AI per gli insegnanti, in ingresso e in servizio, seguirà criteri e modalità fissati da un decreto del Ministro dell’istruzione e del merito da adottare entro novanta giorni, quindi entro il 21 gennaio 2027 (articolo 38). Fino ad allora valgono le linee guida del ministero dell’agosto 2025 (decreto n. 166). Gli uffici scolastici regionali potranno promuovere comitati tecnico-etici fra reti di scuole, senza compensi per chi ne fa parte. Un altro articolo destina fino a 100 milioni di euro, dal programma PN Scuola e Competenze 2021-2027, all’«emergenza educativa» dell’uso eccessivo dei social e delle dipendenze da piattaforme e da «ambienti relazionali basati su sistemi di intelligenza artificiale» (articolo 37).

Professioni. La formazione iniziale e continua degli ordini professionali dovrà includere percorsi sull’AI, su tre fronti: come funzionano i sistemi del proprio settore, che cosa dicono le regole, e le responsabilità deontologiche, compreso l’obbligo di informare il cliente. Con un monte ore minimo per ogni periodo di formazione continua (articolo 47). I consigli nazionali di ordini e collegi hanno sei mesi per adeguare i regolamenti, quindi fino al 23 aprile 2027, e la regola vale anche per le associazioni delle professioni non regolamentate, quando l’AI riguarda la loro attività. Per medici e professionisti sanitari, entro la stessa data, la Commissione nazionale per la formazione continua fisserà una quota dei crediti ECM del triennio da dedicare all’AI (articolo 51). Un articolo a parte prevede che l’uso dell’AI possa far variare l’equo compenso del professionista, secondo la classe di rischio del sistema usato: i parametri arriveranno entro dodici mesi (articolo 49).

Lavoro. Qui non c’è niente da aspettare. Se un datore di lavoro usa l’AI per decidere un’assunzione, una modifica del rapporto, un licenziamento, un provvedimento disciplinare o una valutazione, la decisione finale non può poggiare solo su un trattamento automatico: spetta a una persona «che eserciti un potere effettivo e autonomo» (articolo 41). Il consenso del lavoratore non basta a fare eccezione. Il lavoratore va informato prima e ha diritto, se lo chiede, a una motivazione comprensibile, data da una persona, che dica quanto ha pesato l’AI. Il licenziamento deciso in violazione di questa regola è nullo, come le altre decisioni. Con un’eccezione che pesa: la ricerca e la selezione delle candidature non contano come decisione finale, anche quando escludono un candidato dalle fasi successive. Lo scarto automatico dei curriculum, insomma, resta fuori da questa regola, anche se non dall’articolo 22 del GDPR sulle decisioni interamente automatizzate, che il comma richiama in apertura.

Sicurezza sul lavoro. Anche qui l’obbligo vale da subito, ed è la cosa più vicina a un «corso obbligatorio» che il decreto contenga. L’AI che incide sull’organizzazione del lavoro, sui ritmi, sul modo di svolgere la prestazione o sulle decisioni rilevanti per la sicurezza entra nella valutazione dei rischi prevista dal decreto legislativo 81/2008, e i datori di lavoro devono assicurare un’adeguata informazione e formazione dei lavoratori sui rischi specifici di quei sistemi e sulle misure di prevenzione adottate (articolo 42).

Che cosa manca

Il decreto è un telaio. Molti ingranaggi arriveranno con atti successivi: il regolamento sui poteri ispettivi dell’ACN, il decreto sui costi della vigilanza (entro novanta giorni), la procedura per i reclami, il decreto del Ministero dell’istruzione, i regolamenti di ciascun ordine. Fino ad allora sappiamo chi farà che cosa, ma non sempre come. E due capitoli meritano un pezzo a sé: gli spazi di sperimentazione normativa (articoli 26-31) e la tutela come segreto industriale di dati e algoritmi (articoli 52 e 53).

E c’è la clausola finale, l’articolo 54: a parte i 100 milioni per le scuole, che vengono da un programma già esistente, le amministrazioni faranno tutto «senza nuovi o maggiori oneri» per la finanza pubblica, con il personale e i mezzi che hanno. È una formula frequente nei decreti italiani. Ma ACN e AgID ricevono un mestiere nuovo con le risorse di prima, a cui si aggiungeranno i proventi delle multe che il decreto riassegna loro (articolo 25), e quanto controllo ne uscirà davvero si vedrà dai primi provvedimenti, non dal testo.

Per chi usa l’AI in un’azienda, in uno studio professionale o in una scuola, il calendario conta più delle cifre delle multe. Le regole su lavoro, divieti e trasparenza valgono già adesso (i generatori già sul mercato hanno tempo fino al 2 dicembre per marcare gli output). La formazione prende forma fra gennaio e aprile: per i professionisti con un monte ore minimo nei corsi degli ordini e nei crediti ECM, per i docenti con il decreto del ministero. L’amministratore del condominio, insomma, adesso ha le chiavi e il regolamento in mano, e i primi controlli diranno quanto prende sul serio il suo lavoro.