Il 23 ottobre 2026 entra in vigore il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre, che adegua l’ordinamento italiano alle disposizioni del regolamento europeo 2024/1689 sull’intelligenza artificiale. Il provvedimento dà attuazione alle deleghe contenute nella legge 23 settembre 2025, n. 132, e definisce l’organizzazione delle autorità nazionali incaricate di applicare, controllare e far rispettare le prescrizioni dell’AI Act, introducendo disposizioni specifiche per i procedimenti di vigilanza, le sanzioni, gli spazi di sperimentazione normativa e l’impiego delle tecnologie intelligenti in alcuni settori di particolare rilevanza. La disciplina attribuisce all’Agenzia per l’Italia Digitale, AgID, le funzioni di autorità nazionale di notifica, con competenze relative alle procedure di designazione e supervisione degli organismi chiamati a valutare la conformità dei sistemi di intelligenza artificiale. L’Agenzia per la Cybersicurezza Nazionale, ACN, assume invece il ruolo generale di autorità di vigilanza del mercato, con funzioni ispettive, di accertamento e sanzionatorie nei limiti stabiliti dalla normativa. L’ACN opera inoltre come punto di contatto unico nazionale per il coordinamento con le istituzioni europee. La separazione delle competenze distingue quindi le attività riguardanti gli organismi di valutazione della conformità da quelle relative alla sorveglianza dei sistemi immessi sul mercato o utilizzati dagli operatori economici, prevedendo forme di collaborazione tra le agenzie e le autorità già competenti in ambiti regolamentati.
Il decreto mantiene un sistema di supervisione differenziato per il settore bancario, finanziario e assicurativo, nel quale l’impiego dell’intelligenza artificiale si inserisce all’interno di attività già soggette a obblighi di controllo e vigilanza. La Banca d’Italia conserva le competenze sui sistemi di intelligenza artificiale ad alto rischio utilizzati nei servizi bancari e finanziari ricadenti nella propria sfera di attribuzione, mentre la Consob esercita le funzioni previste per i sistemi impiegati nei servizi di investimento sottoposti alla sua supervisione. All’IVASS spettano le competenze riguardanti le attività assicurative, riassicurative e di distribuzione dei prodotti assicurativi. Sono inoltre salvaguardate le attribuzioni del Garante per la protezione dei dati personali nei casi previsti dal regolamento europeo e dalla disciplina applicabile. Per le imprese che sviluppano, distribuiscono o utilizzano soluzioni di intelligenza artificiale, l’organizzazione dei controlli richiede una corretta individuazione del ruolo assunto nella catena di fornitura tecnologica, della classificazione di rischio dei sistemi e degli adempimenti documentali pertinenti. La normativa nazionale disciplina anche il coordinamento delle attività ispettive, le procedure di accertamento delle violazioni e l’applicazione delle misure previste dall’ordinamento europeo, che possono comprendere sanzioni amministrative pecuniarie, avvertimenti e altri interventi correttivi. L’entrata in vigore del decreto non comporta tuttavia l’anticipazione generalizzata delle disposizioni dell’AI Act europeo: la decorrenza dei singoli obblighi rimane soggetta al calendario di applicazione stabilito dal regolamento e alle eventuali disposizioni europee successive.
Una delle novità introdotte dal decreto riguarda l’istituzione dello Spazio di sperimentazione italiano per l’intelligenza artificiale, disciplinato dall’articolo 26 e destinato a permettere lo sviluppo e la verifica di sistemi innovativi all’interno di un contesto regolatorio controllato. La gestione è attribuita congiuntamente ad AgID e ACN, con il coinvolgimento delle autorità competenti secondo le caratteristiche delle attività sperimentali. La finalità è consentire agli operatori di confrontarsi con le amministrazioni incaricate dell’applicazione delle regole durante il percorso di progettazione, valutazione e verifica delle tecnologie, prestando particolare attenzione alle possibilità di accesso da parte delle piccole e medie imprese e delle startup. L’istituzione dello spazio di sperimentazione non equivale però all’apertura immediata delle procedure di candidatura: criteri di accesso, modalità operative e ulteriori condizioni di partecipazione devono essere definiti mediante i provvedimenti attuativi previsti. Il decreto interviene anche nel settore dell’istruzione e della formazione, prevedendo attività rivolte alla comprensione e all’utilizzo consapevole dell’intelligenza artificiale all’interno delle istituzioni scolastiche, universitarie e formative. Gli articoli 36 e 38 disciplinano rispettivamente le iniziative didattiche e la formazione degli insegnanti e degli studenti, mentre al Ministero dell’Istruzione e del Merito viene attribuito il compito di definire, entro novanta giorni, specifici criteri e modalità per la formazione dei docenti. Le disposizioni mirano a sviluppare competenze relative al funzionamento dei sistemi algoritmici, alla valutazione critica dei risultati e alla protezione delle informazioni personali.
Il testo comprende inoltre misure sull’utilizzo dell’intelligenza artificiale nel lavoro, nella sanità e nella pubblica amministrazione. In particolare, l’articolo 41 introduce garanzie per le decisioni che incidono direttamente sulla posizione dei lavoratori, stabilendo che le determinazioni definitive in materia di assunzione, licenziamento, procedimenti disciplinari e valutazione delle prestazioni non possano essere affidate esclusivamente a trattamenti automatizzati. La decisione finale deve essere assunta da una persona fisica dotata di effettiva autonomia, evitando che la supervisione umana si riduca a una conferma formale di risultati prodotti dal sistema. Per la pubblica amministrazione, l’articolo 40 affida al ministro competente il coordinamento delle iniziative formative e la definizione delle competenze minime in materia di intelligenza artificiale per il personale pubblico. Le disposizioni devono essere applicate in coordinamento con il GDPR, con la normativa nazionale in materia di protezione dei dati personali e con gli obblighi previsti per i sistemi ad alto rischio, compresa la valutazione dell’impatto sui diritti fondamentali nei casi individuati dall’articolo 27 dell’AI Act. Il decreto 179/2026 definisce pertanto l’infrastruttura amministrativa e procedurale attraverso la quale l’Italia applicherà le disposizioni europee, attribuendo le competenze di controllo alle autorità nazionali, mantenendo i presidi di vigilanza settoriali e introducendo strumenti destinati a sostenere lo sviluppo tecnologico all’interno del quadro regolatorio comunitario.