Cosa devono sapere le imprese europee sull’attuazione italiana dell’AI Act
L’Italia è tra i primi Stati membri dell’UE ad andare oltre il quadro europeo dell’AI Act con una propria legge nazionale. La Legge 132/2025, pubblicata in Gazzetta Ufficiale all’inizio del 2025, non sostituisce l’AI Act europeo: ci aggiunge uno strato tutto italiano, che comprende qualcosa che nessun altro grande Paese dell’UE ha ancora introdotto, cioè sanzioni penali per i gravi usi impropri dell’intelligenza artificiale.
Se gestisci un’azienda che sviluppa, adotta o anche solo utilizza strumenti di IA, questa legge cambia in modo sensibile il quadro della conformità. E poiché l’Italia fa spesso da apripista per altri Stati membri, ogni PMI europea dovrebbe prestarle attenzione.
I settori critici sotto la lente
L’AI Act europeo classifica già come ad alto rischio alcune applicazioni di IA, ma l’attuazione italiana pone un’enfasi particolare sui settori più importanti per la sua economia e per la sua tradizione giuridica.
La sanità ha un trattamento speciale. Qualsiasi sistema di IA coinvolto in diagnosi, pianificazione delle cure o gestione dei pazienti deve operare sotto il controllo diretto di un professionista medico qualificato. La legge lo dice in modo esplicito: la responsabilità professionale del medico non si riduce perché un algoritmo ha contribuito alla decisione.
Il lavoro e l’occupazione sono un altro ambito in cui l’Italia va oltre la base europea. Le aziende che usano l’IA per selezione del personale, valutazione delle prestazioni, assegnazione dei compiti o monitoraggio dei lavoratori devono informare i dipendenti e consultare i rappresentanti dei lavoratori. È coerente con le tradizionali, forti tutele del lavoro in Italia e vale anche per i software HR standard che usano decisioni algoritmiche.
La pubblica amministrazione deve rispettare rigide regole di trasparenza quando l’IA supporta decisioni che incidono sui diritti dei cittadini, dagli accertamenti fiscali al rilascio di autorizzazioni. La legge estende inoltre specifiche tutele ai minori e alle persone vulnerabili che interagiscono con sistemi di IA.
Oltre a queste aggiunte italiane, resta in vigore l’intero elenco europeo dei sistemi ad alto rischio: identificazione biometrica, gestione delle infrastrutture critiche (energia, trasporti, acqua, digitale), istruzione e formazione professionale, valutazione del merito creditizio e assicurazioni, attività di contrasto, migrazione e controllo delle frontiere, amministrazione della giustizia.
Il sistema sanzionatorio: dove entra in gioco il diritto penale
Qui sta la vera differenza dell’approccio italiano. L’AI Act europeo prevede solo sanzioni amministrative pecuniarie. L’Italia ha aggiunto la responsabilità penale, diventando uno dei pochissimi Stati membri a collegare la pena detentiva alle violazioni in materia di IA.
Sanzioni amministrative (valide in tutta l’UE)
Le sanzioni seguono tre livelli, in base alla gravità della violazione:
- Pratiche di IA vietate (come il social scoring o la sorveglianza biometrica in tempo reale non autorizzata): fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore.
- Mancata conformità dei sistemi ad alto rischio (documentazione mancante, nessuna valutazione di conformità, controllo umano inadeguato): fino a 15 milioni di euro o al 3% del fatturato.
- Informazioni inesatte fornite alle autorità: fino a 7,5 milioni di euro o all’1,5% del fatturato.
Per le PMI e le startup è prevista una garanzia di proporzionalità: si applica il più basso tra i due valori (importo fisso o percentuale sul fatturato). Un’azienda con 2 milioni di euro di ricavi annui rischierebbe al massimo 140.000 euro per una violazione ad alto rischio: una cifra comunque rilevante, ma non letale.
Sanzioni penali (specifiche dell’Italia)
La Legge 132/2025 introduce la reclusione da uno a cinque anni per i reati più gravi legati all’IA. Rientrano tra questi l’uso illecito dell’IA che causa danni alla salute, alla sicurezza o ai diritti fondamentali, l’IA manipolativa o che sfrutta persone vulnerabili e l’impiego di sistemi vietati senza autorizzazione.
La legge introduce anche aggravanti quando l’IA è usata come strumento per commettere reati già esistenti, come frode, furto d’identità o diffamazione. Se usi un deepfake per truffare qualcuno, la componente di IA rende la pena più pesante, non più leggera.
L’applicazione delle sanzioni penali passa dai tribunali ordinari, non dalle autorità amministrative che si occupano delle multe: significa indagini, procedimenti e processi con tutte le garanzie giudiziarie.
Calendario della conformità: cosa fare e quando
Le scadenze seguono l’introduzione graduale dell’AI Act europeo, mentre le disposizioni nazionali italiane sono già in vigore:
Già attivo (febbraio 2025): si applicano i divieti sui sistemi di IA a rischio inaccettabile. Gli obblighi di alfabetizzazione in materia di IA previsti dall’articolo 4 dell’AI Act impongono che il personale che utilizza o supervisiona sistemi di IA riceva una formazione adeguata. Le sanzioni penali italiane sono entrate in vigore con la pubblicazione della legge.
Agosto 2025: entrano in vigore le regole sui modelli di IA per finalità generali. Le strutture nazionali di governance, tra cui AgID come principale autorità di vigilanza del mercato e ACN per il coordinamento della cybersicurezza, devono essere pienamente operative.
Agosto 2026: diventa applicabile la gran parte degli obblighi per i sistemi di IA ad alto rischio: valutazioni di conformità, sistemi di gestione della qualità, documentazione tecnica, registrazione nella banca dati dell’UE e controllo umano obbligatorio.
Agosto 2027: termine prorogato per i sistemi di IA ad alto rischio già regolati da normative settoriali europee esistenti (dispositivi medici, macchinari, automotive).
Passi pratici per le PMI
Essere in regola non richiede un ufficio legale grande come quello di una multinazionale. Parti da queste azioni concrete.
Fai l’inventario degli strumenti di IA. Elenca ogni strumento basato su IA che la tua azienda usa, dai chatbot sul sito all’elaborazione automatica delle fatture. Classifica ciascuno per livello di rischio: inaccettabile, alto, limitato o minimo. La maggior parte degli strumenti aziendali standard rientra nelle categorie minimo o limitato, ma i software di selezione del personale e gli strumenti di valutazione del credito si qualificano probabilmente come ad alto rischio.
Parti dalla trasparenza. Se usi chatbot, contenuti generati da IA o sistemi di riconoscimento delle emozioni, devi dichiararlo agli utenti. È un risultato rapido e a basso costo, che vale a prescindere dalla classe di rischio.
Per i sistemi ad alto rischio, prepara subito la documentazione. Documentazione tecnica, valutazioni di conformità e protocolli di controllo umano richiedono tempo. Iniziare presto evita la corsa dell’agosto 2026 e permette di migliorare per gradi.
Forma il tuo team. L’alfabetizzazione sull’IA non è facoltativa: è un obbligo di legge dal febbraio 2025. Chi interagisce con sistemi di IA deve capire cosa fa la tecnologia, dove sono i suoi limiti e quando bisogna correggerla.
Sfrutta le norme pensate per le PMI. Sia l’AI Act europeo sia la legge italiana prevedono misure per alleggerire il carico sulle imprese più piccole: accesso a sandbox normative sotto la supervisione di AgID, costi ridotti per le valutazioni di conformità e canali di assistenza dedicati.
Perché conta anche oltre l’Italia
La scelta italiana di introdurre sanzioni penali manda un segnale. Gli altri Stati membri stanno a guardare per capire se questo approccio scoraggi gli abusi dell’IA più delle sole multe. Se funziona, o se un procedimento di forte impatto mediatico finisce sui giornali, c’è da aspettarsi che altri Paesi seguano.
Per qualsiasi azienda che opera in più Paesi dell’UE, l’attuazione nazionale più severa diventa di fatto il proprio punto di riferimento per la conformità. Se vendi in Italia, ai tuoi sistemi di IA su quel mercato si applica la legge italiana. Pianificare la conformità sull’interpretazione più esigente evita di dover rincorrere gli adeguamenti quando altri Paesi adotteranno misure simili.
La combinazione di sanzioni amministrative a livello UE e responsabilità penale italiana crea un sistema di applicazione a due binari che gli imprenditori devono conoscere. Il binario amministrativo colpisce negligenza e carenze procedurali. Quello penale punisce l’uso intenzionale e il disprezzo temerario della sicurezza. Sapere dove passa il confine, e restarne ben al di qua, non è più facoltativo per nessuna impresa europea che utilizza l’intelligenza artificiale.