Decreto attuativo AI Act: ACN e AgID diventano le autorità di controllo sull’intelligenza artificiale. Poteri, sanzioni e cosa fare subito in azienda

Dal 23 ottobre 2026 l’AI Act ha in Italia un controllore. Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre, individua le autorità incaricate di vigilare sull’uso dell’intelligenza artificiale, attribuisce loro poteri ispettivi e disciplina le sanzioni. Per un’impresa il cambiamento più concreto è questo: le regole europee sull’IA, fino a ieri percepite come un tema lontano, hanno ora qualcuno che può verificarle e farle rispettare.

Il decreto non sposta le date del Regolamento (UE) 2024/1689 e non introduce un certificato obbligatorio per chi usa strumenti di IA. Rende però sanzionabili da subito alcuni obblighi già applicabili e ne aggiunge di nuovi, soprattutto nei rapporti di lavoro. Per questo conviene capire chi controlla, che cosa e con quali conseguenze, prima che sia un’ispezione o un reclamo a porre la domanda.

Il nuovo organo di controllo: come funziona la vigilanza sull’IA in Italia

Il cuore del decreto è l’assetto delle autorità. L’Agenzia per la cybersicurezza nazionale (ACN) diventa l’autorità di vigilanza del mercato sui sistemi di IA e il punto di contatto unico con le istituzioni europee: è il soggetto che controlla, ispeziona e sanziona. L’Agenzia per l’Italia digitale (AgID) è invece l’autorità di notifica, che designa e monitora gli organismi incaricati di verificare la conformità dei sistemi. Accanto a loro restano le autorità di settore: Banca d’Italia, CONSOB e IVASS per i sistemi ad alto rischio usati in credito, investimenti e assicurazioni, e il Garante privacy negli ambiti previsti dal regolamento europeo.

I poteri di ACN non sono solo formali. Il decreto richiama i poteri di vigilanza previsti dall’AI Act e dalla normativa europea sulla sorveglianza del mercato, compresa la possibilità di chiedere documentazione e svolgere verifiche; per le prove in condizioni reali sono previste anche ispezioni a distanza o sul posto senza preavviso. Le modalità operative saranno definite da un successivo regolamento, ma la competenza è già attribuita. Inoltre chiunque ritenga che l’AI Act sia stato violato può presentare reclamo all’autorità di vigilanza: un cliente, un dipendente o un concorrente possono quindi far partire un controllo.

Che cosa diventa sanzionabile dal 23 ottobre

Le sanzioni riprendono i massimali europei, con un tetto in euro e uno in percentuale del fatturato mondiale annuo. Per le PMI, le microimprese e le start-up innovative si applica il più basso dei due valori: non è un’esenzione, è un criterio di proporzionalità.

Un esempio aiuta a capire la portata. L’obbligo di informare le persone che stanno interagendo con un sistema di IA si applica dal 2 agosto 2026 e, con l’entrata in vigore del decreto, ACN ha ora il potere di sanzionarlo. Un’impresa con 5 milioni di euro di fatturato che usa sul sito o nel customer care un chatbot senza dichiararlo rischia fino al 3% del fatturato, cioè fino a 150.000 euro; con 20 milioni di fatturato il tetto sale a 600.000 euro. Anche applicando il criterio più favorevole previsto per le PMI, la cifra è tutt’altro che simbolica.

C’è poi un aspetto che spesso pesa più della multa. Per le violazioni di scarsa gravità l’autorità può ordinare di eliminare l’infrazione entro un termine oppure, se è già cessata, limitarsi a una dichiarazione pubblica della violazione e del responsabile; chi non rispetta l’ordine paga la sanzione aumentata fino a un terzo. I provvedimenti sanzionatori vengono inoltre pubblicati per estratto sul sito dell’autorità. Per un’azienda con un marchio da proteggere e punti vendita in cui il cliente entra di persona, l’esposizione reputazionale è un rischio concreto.

Lavoro e formazione: gli obblighi che valgono subito

Alcune regole del decreto non aspettano il calendario europeo e si applicano dal 23 ottobre. Chi usa sistemi di IA nella gestione del personale deve riservare a una persona fisica, con potere effettivo, la decisione finale su assunzioni, cessazioni, provvedimenti disciplinari e valutazioni delle prestazioni. Le decisioni prese solo in modo automatizzato sono nulle, anche con il consenso del lavoratore, e il dipendente può chiedere una spiegazione comprensibile del peso che l’IA ha avuto nella decisione.

Il decreto interviene anche sulla sicurezza sul lavoro. I sistemi di IA che incidono su organizzazione, ritmi o modalità della prestazione entrano nella valutazione dei rischi prevista dal D.Lgs. 81/2008, e il datore di lavoro deve informare e formare i lavoratori sui rischi specifici dell’IA in uso e sulle misure di prevenzione adottate. È un obbligo di formazione autonomo, che si aggiunge a quello europeo.

Sul fronte europeo, l’obbligo di alfabetizzazione previsto dall’art. 4 dell’AI Act è stato riscritto dall’Omnibus digitale: oggi chiede a fornitori e utilizzatori professionali di adottare misure per sostenere le competenze del personale, senza imporre un livello specifico, e non rientra tra le violazioni punite con sanzione pecuniaria dal decreto italiano. Sarebbe però un errore leggerlo come un via libera: la formazione resta obbligatoria per il datore di lavoro sul versante della sicurezza, ed è il modo più semplice per dimostrare, in caso di controllo, che l’IA in azienda è usata con consapevolezza e sotto supervisione.

Che cosa non cambia (ancora)

Il 23 ottobre non è una scadenza unica entro cui adeguare tutto. È il momento in cui entra in funzione il sistema nazionale dei controlli, mentre gli obblighi dell’AI Act continuano a seguire le date europee, in parte rinviate dall’Omnibus. Le tappe principali da tenere presenti sono queste:

• 2 dicembre 2026: nuovi divieti sui sistemi che generano immagini intime non consensuali e termine per la marcatura dei contenuti generati da sistemi già in commercio;
• entro aprile 2027: ordini e collegi professionali adeguano i regolamenti per inserire l’IA nella formazione continua degli iscritti;
• 2 dicembre 2027: obblighi sui sistemi ad alto rischio dell’Allegato III, tra cui quelli usati per selezionare, valutare e monitorare il personale.

Non cambia nemmeno il rapporto con le altre normative. Il decreto non sostituisce il GDPR: essere conformi all’AI Act non rende lecito un trattamento di dati personali, e viceversa. E non esiste un “bollino” AI Act da esporre: né il regolamento né il decreto prevedono un certificato unico per chi usa strumenti di IA. Conta la capacità di dimostrare, con documenti e procedure, come l’IA viene scelta, usata e controllata.

Come prepararsi a un controllo

La domanda che un’autorità può porre è semplice: quali sistemi di IA usate, per fare cosa e chi li controlla? Per rispondere servono alcune attività ordinate:

• Mappare i sistemi in uso. Chatbot, strumenti generativi, CRM con funzioni predittive, moduli di IA integrati nei gestionali: anche quelli adottati autonomamente dai singoli reparti.
• Individuare il proprio ruolo. Sviluppare, distribuire o semplicemente usare un sistema comporta obblighi diversi.
• Verificare la trasparenza verso i clienti. Chatbot e contenuti generati devono essere riconoscibili come tali nei casi previsti.
• Garantire il controllo umano sulle decisioni HR. Stabilire chi decide, chi verifica gli output e come si conserva traccia delle ragioni.
• Aggiornare la valutazione dei rischi. Inserire nel documento di valutazione i sistemi che incidono su organizzazione e ritmi di lavoro.
• Formare le persone in modo mirato. Chi usa l’IA, chi ne controlla i risultati e chi decide sulla base di essi ha bisogno di competenze diverse; un registro interno della formazione aiuta a documentarla.
• Rivedere i contratti con i fornitori. Controllare documentazione tecnica, gestione dei dati e aggiornamenti dei sistemi acquistati.

Errori da evitare

• Pensare che le PMI siano escluse: le sanzioni sono proporzionate, non assenti; sopra i 5 milioni di fatturato il tetto in percentuale vale già centinaia di migliaia di euro, e il reclamo può arrivare da chiunque.
• Considerare il 23 ottobre una data lontana o futura: i poteri di controllo e sanzione sono già operativi.
• Affidarsi solo alla dichiarazione del fornitore: la conformità del software non copre il modo in cui l’impresa lo usa.
• Ignorare la “shadow AI”: strumenti adottati dai dipendenti senza un processo formale restano sotto la responsabilità dell’azienda.
• Fare formazione generica e non documentata: un corso una tantum, non collegato agli strumenti realmente usati, difficilmente dimostra una supervisione efficace.
• Confondere gli obblighi: non attribuire all’AI Act regole che derivano dal GDPR o dalla normativa sul lavoro, e viceversa.

Come la MarketRock AI Academy aiuta a mettersi in regola

Con l’entrata in vigore del decreto, la conformità all’AI Act smette di essere un tema da rinviare: c’è un’autorità con poteri di controllo, un sistema di sanzioni operativo e obblighi di formazione già applicabili. Il corso AI Act della MarketRock AI Academy, organizzato da Pietro Tibaldeschi e Fabienne Vigna accompagna imprenditori, manager e team nell’allineamento alla normativa. Se vuoi informazioni sul corso o capire come allinearti alla normativa scrivi un’email a info@fabiennevigna.it

Domande frequenti

Il decreto riguarda anche le piccole imprese che usano solo un chatbot o uno strumento generativo?
Sì, se l’IA è usata in ambito professionale. Gli obblighi dipendono dal tipo di sistema e dall’uso: per un chatbot rivolto ai clienti, per esempio, è centrale l’obbligo di trasparenza, oggi sanzionabile

Esiste un certificato AI Act da ottenere?
No, né l’AI Act né il decreto italiano prevedono un certificato unico per chi usa sistemi di IA. È importante invece poter documentare quali sistemi si usano, come vengono controllati e quale formazione è stata svolta.

La formazione sull’IA è obbligatoria?
Per il datore di lavoro sì: il decreto impone di informare e formare i lavoratori sui rischi specifici dei sistemi di IA in uso. A questo si aggiunge l’obbligo europeo di adottare misure di alfabetizzazione per chi usa l’IA per conto dell’impresa.