Cosa significa la Legge 132/2025 per la tua azienda
L’Italia è tra i primi Stati membri dell’UE a tradurre l’AI Act europeo in un quadro nazionale concreto. Con l’entrata in vigore della Legge 132/2025, il Paese ha designato ufficialmente due agenzie, ACN (Agenzia per la Cybersicurezza Nazionale) e AgID (Agenzia per l’Italia Digitale), come pilastri della propria governance dell’intelligenza artificiale. Per le piccole e medie imprese che operano in Italia o in Europa, conoscere questa legge non è più facoltativo: è una priorità di conformità.
L’AI Act europeo è entrato in vigore il 1° agosto 2024, ma ha lasciato a ciascuno Stato membro il compito di costruire i meccanismi di applicazione a livello locale. La Legge 132/2025 è la risposta italiana. Stabilisce chi vigila su cosa, come funzionano le sanzioni a livello nazionale e quali strutture di supporto esistono per le aziende che devono orientarsi in questo nuovo scenario normativo.
Se la tua azienda usa chatbot, strumenti decisionali automatizzati, analisi predittive o qualsiasi forma di machine learning nei propri processi, questa normativa ti riguarda direttamente.
ACN e AgID: un modello a doppia autorità
L’Italia ha scelto una governance a due agenzie, dividendo le responsabilità tra controllo e innovazione. La scelta rispecchia l’assetto istituzionale già esistente e offre alle aziende due punti di riferimento distinti.
ACN: controllo e vigilanza sul mercato
L’Agenzia per la Cybersicurezza Nazionale è la principale autorità nazionale competente italiana ai sensi dell’AI Act. In pratica, è l’organismo che effettuerà le ispezioni, indagherà sui reclami e irrogherà le sanzioni ai sistemi di AI non conformi. Si coordina direttamente con l’AI Office dell’UE a Bruxelles e siede nel Comitato europeo per l’intelligenza artificiale (AI Board).
Per le aziende, ACN è l’agenzia con cui si avrà a che fare se i propri sistemi di AI rientrano nella categoria ad alto rischio o se emerge un problema di conformità. Ha il potere di richiedere la documentazione tecnica, accedere al codice sorgente durante gli audit e ordinare il ritiro dei prodotti di AI che non rispettano gli standard normativi.
AgID: indicazioni per la pubblica amministrazione e standard digitali
AgID affianca ACN occupandosi dell’adozione dell’AI nella pubblica amministrazione. Emana linee guida tecniche, gestisce il registro dei sistemi di AI usati dagli enti pubblici e promuove un’innovazione responsabile nei servizi pubblici. Il mandato di AgID riguarda soprattutto il settore pubblico, ma i suoi standard tecnici e le sue buone pratiche sono un riferimento utile anche per le aziende private che vogliono allinearsi alle aspettative italiane in materia di governance dell’AI.
Il quadro basato sul rischio: dove si colloca la tua azienda?
L’AI Act europeo, e di conseguenza la Legge 132/2025 italiana, classifica i sistemi di AI in quattro livelli di rischio. Capire dove ricadono i tuoi strumenti e processi è il primo passo verso la conformità.
Pratiche vietate: rientrano il social scoring, le tecniche di AI manipolative che sfruttano le vulnerabilità delle persone e la maggior parte delle forme di identificazione biometrica in tempo reale negli spazi pubblici. Questi divieti sono in vigore da febbraio 2025.
Sistemi di AI ad alto rischio: sono quelli con gli obblighi più pesanti. Se la tua azienda usa l’AI per la selezione del personale, il credit scoring, la gestione dei lavoratori o per qualsiasi applicazione elencata nell’Allegato III del regolamento, devi implementare un sistema di gestione della qualità, mantenere una documentazione tecnica completa, garantire la sorveglianza umana e registrare il sistema nella banca dati dell’UE. Le valutazioni di conformità sono obbligatorie.
Sistemi a rischio limitato: chatbot rivolti ai clienti o contenuti di marketing generati dall’AI devono rispettare obblighi di trasparenza. Gli utenti devono sapere che stanno interagendo con un’AI e i contenuti sintetici vanno etichettati in modo chiaro.
AI a rischio minimo: non comporta obblighi normativi specifici. La maggior parte degli strumenti di automazione aziendale più comuni, dallo smistamento delle email alle dashboard di analisi di base, rientra in questa categoria.
Secondo i dati Eurostat, nel 2023 circa l’8% delle imprese dell’UE utilizzava tecnologie di AI, con le PMI italiane stimate intorno al 5-6%. Con l’accelerare dell’adozione, sempre più aziende si troveranno soggette a queste classificazioni, che ne siano consapevoli o meno.
Le scadenze di conformità da non perdere
Il regolamento prevede un’applicazione graduale e diverse scadenze sono già alle spalle o molto vicine:
- Febbraio 2025: sono entrati in vigore i divieti sulle pratiche di AI vietate. Gli obblighi di alfabetizzazione sull’AI si applicano ora a tutte le organizzazioni che la utilizzano.
- Agosto 2025: si applicano le regole sui modelli di AI per finalità generali. Devono essere operative le strutture di governance nazionali, incluso il pieno mandato operativo di ACN. Il quadro sanzionatorio diventa applicabile.
- Agosto 2026: entra in vigore la parte più consistente del regolamento. Diventano obbligatori i requisiti per i sistemi di AI ad alto rischio, gli obblighi di trasparenza per i sistemi a rischio limitato e le procedure complete di valutazione della conformità.
- Agosto 2027: termini prorogati per l’AI ad alto rischio incorporata in prodotti già coperti dalla normativa UE esistente sulla sicurezza dei prodotti.
Per le PMI la scadenza più critica è agosto 2026. Se sviluppi, utilizzi o anche solo rivendi sistemi di AI che rientrano nella categoria ad alto rischio, il tuo programma di conformità dovrebbe essere già avviato.
Sanzioni: proporzionate ma significative
Le sanzioni previste dall’AI Act sono rilevanti. Le violazioni legate alle pratiche di AI vietate possono comportare multe fino a 35 milioni di euro o al 7% del fatturato annuo globale, se superiore. La mancata conformità agli obblighi per l’AI ad alto rischio prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato. Fornire informazioni inesatte alle autorità può costare fino a 7,5 milioni di euro o all’1% del fatturato.
Per le aziende più piccole c’è una sfumatura importante. Il regolamento applica il principio di proporzionalità: per PMI e startup le sanzioni sono limitate al più basso dei due massimali. Significa che una piccola impresa non subirà mai il calcolo in percentuale se l’importo fisso in euro è inferiore. Anche così, persino i massimali ridotti rappresentano cifre esistenziali per la maggior parte delle PMI, e rendono la conformità preventiva molto più economica del contenimento dei danni a posteriori.
Cosa dovrebbero fare ora le PMI italiane
Il quadro normativo è definito, le agenzie sono designate e le scadenze sono fissate. Ecco una roadmap pratica per le aziende che vogliono restare un passo avanti.
Fai un audit dell’uso dell’AI. Mappa ogni strumento basato sull’AI presente in azienda, dal software di selezione del personale ai bot per l’assistenza clienti. Classifica ciascuno in base ai livelli di rischio.
Valuta la tua documentazione. I sistemi ad alto rischio richiedono documentazione tecnica dettagliata, registri di data governance ed evidenze dei meccanismi di sorveglianza umana. Comincia a costruire questi documenti adesso, non sei mesi prima della scadenza.
Sfrutta le sandbox normative. L’AI Act impone a ogni Stato membro di istituire almeno una sandbox normativa per l’AI. Il programma italiano offre alle PMI un ambiente supervisionato in cui testare e validare i sistemi di AI prima della commercializzazione, con costi ridotti e procedure semplificate.
Monitora le comunicazioni di ACN e AgID. Entrambe le agenzie pubblicheranno indicazioni, standard tecnici e FAQ con il procedere dell’attuazione. Restare informati è la forma più semplice di gestione del rischio.
Nel 2023 il mercato italiano dell’AI valeva circa 760 milioni di euro, con una crescita annua vicina al 50%. Una crescita che non accenna a rallentare. Le aziende che vedranno la Legge 132/2025 come un’opportunità strategica e non come un peso burocratico saranno le meglio posizionate per competere in un mercato europeo sempre più guidato dall’AI.