Il decreto 179 attua l’AI Act in Italia: dal 23 ottobre la decisione sul lavoro spetta a una persona

Il decreto legislativo 7 ottobre 2026, n. 179, intitolato «Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689», è stato pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre ed entra in vigore il 23 ottobre. Completa il quadro italiano dell’AI Act accanto al D.Lgs. 160/2026, in vigore dal 30 settembre e ricostruito nel deep del 17 settembre di questa sala stampa, e arriva pochi mesi dopo il Digital Omnibus, che dal 27 luglio ha spostato al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio dell’Allegato III.

Dal 23 ottobre la firma di una persona con potere effettivo diventa il requisito di ogni decisione definitiva sul rapporto di lavoro.

Chi vigila e chi sanziona

L’Agenzia per la cybersicurezza nazionale (ACN) esercita la vigilanza generale sul mercato dei sistemi di IA ed è il punto di contatto unico verso le istituzioni europee. L’Agenzia per l’Italia digitale (AgID) è l’autorità di notifica: valuta, designa e monitora gli organismi di valutazione della conformità. Per i sistemi ad alto rischio nei servizi finanziari la vigilanza settoriale spetta a Banca d’Italia per il perimetro del TUB, a Consob per quello del TUF e a IVASS per le attività assicurative, mentre il Garante privacy conserva le competenze previste dal regolamento europeo.

Il procedimento dell’ACN parte d’ufficio, su segnalazione di incidenti gravi, su reclami meritevoli di esame o su segnalazione di altre autorità. I poteri comprendono richieste documentali, ispezioni e misure correttive, e per l’impresa la documentazione di compliance diventa la prova dell’adempimento durante i controlli.

Le sanzioni sono graduate su quattro fasce, in euro o in percentuale del fatturato mondiale annuo dell’esercizio precedente, se superiore:

fino a 35 milioni o al 7 % per le pratiche vietate dall’articolo 5 dell’AI Act;
fino a 15 milioni o al 3 % per gli obblighi di trasparenza e per quelli degli operatori di sistemi ad alto rischio;
fino a 7,5 milioni o all’1 % per le informazioni inesatte, incomplete o fuorvianti fornite alle autorità;
fino a 1 milione o allo 0,5 % per la valutazione d’impatto sui diritti fondamentali e per il diritto alla spiegazione, gli articoli 27 e 86 del regolamento.

Per PMI, microimprese e start-up innovative vale il minore fra importo fisso e percentuale. Le violazioni di scarsa offensività possono ricevere misure alternative alla sanzione pecuniaria, e resta ferma la clausola di riserva quando il fatto costituisce reato.

La decisione sul lavoro resta a una persona

L’articolo 41 è la norma che tocca più imprese. Le decisioni finali su assunzione, modifica o cessazione del rapporto, i provvedimenti disciplinari e le valutazioni delle prestazioni richiedono una persona fisica che eserciti un potere effettivo e autonomo: una firma di rito, apposta su un esito già deciso dal sistema, è insufficiente. Il consenso del lavoratore lascia intatta la regola, e il licenziamento adottato in violazione è nullo, come le altre decisioni prese fuori dal perimetro.

Il datore di lavoro dà l’informativa prima dell’avvio del trattamento, secondo l’articolo 1-bis del D.Lgs. 152/1997. Il lavoratore può chiedere, con l’intervento di una persona fisica, una motivazione intelligibile che indichi il peso dell’IA e i parametri principali. La ricerca e selezione dei candidati rientra fuori dalla regola della decisione finale, anche quando comporta l’esclusione dalle fasi successive, e resta soggetta a GDPR, normativa antidiscriminatoria e AI Act. I sistemi di monitoraggio dell’attività richiedono la verifica di conformità all’articolo 4 dello Statuto dei lavoratori, con gli eventuali accordi sindacali o autorizzazioni.

Sicurezza, formazione e segreti commerciali

L’articolo 42 porta l’IA dentro la valutazione dei rischi del D.Lgs. 81/2008: gli impieghi che incidono su organizzazione, ritmi, modalità di esecuzione o decisioni rilevanti per la sicurezza entrano nel documento di valutazione dei rischi, con informazione e formazione specifiche per i lavoratori. Il Ministero del lavoro coordina le misure.

Il decreto interviene anche sulle competenze. Il Ministro per la PA coordina formazione e riqualificazione del personale pubblico, con linee guida sentite AgID e ACN. Scuola, università e ITS Academy inseriscono nei programmi rischi, distorsioni, supervisione umana e cybersicurezza, e l’articolo 47 chiede agli ordini professionali di spiegare funzionamento, limiti e quadro giuridico dell’IA. L’articolo 52 tutela come segreti commerciali i dati di addestramento, gli algoritmi e i metodi matematici, a condizione di misure tecniche, organizzative e contrattuali che ne preservino la riservatezza. Nasce infine lo Spazio di sperimentazione italiano per l’IA, gestito da AgID e ACN, con condizioni di accesso affidate a provvedimenti successivi.

Il calendario

Secondo l’analisi di Actainfo, le scadenze successive all’entrata in vigore sono tre: il 21 gennaio 2027 per il DPCM sui costi di vigilanza e le linee guida per i docenti, il 23 aprile 2027 per l’adeguamento dei regolamenti formativi degli ordini, il 23 ottobre 2027 per i decreti sui parametri dell’equo compenso. Il calendario nazionale e quello europeo procedono su binari distinti: la regola sull’intervento umano nelle decisioni di lavoro è italiana e vale dal 23 ottobre, mentre gli obblighi europei sui sistemi ad alto rischio dell’Allegato III arrivano il 2 dicembre 2027.

Da dove partire

Le azioni valgono per qualunque impresa, a prescindere dai fornitori di IA scelti. Si parte censendo i processi di gestione del personale in cui entra un sistema automatico: valutazione delle prestazioni, turni, provvedimenti disciplinari, monitoraggio. Per ciascun processo si indica la persona con potere effettivo e autonomo, dotata degli strumenti per discostarsi dall’esito suggerito dal sistema. Si prepara poi l’informativa da consegnare prima dell’avvio del trattamento, insieme a un modello di motivazione intelligibile da fornire su richiesta. Il documento di valutazione dei rischi si aggiorna e la formazione sui rischi specifici dell’IA si pianifica. I sistemi di monitoraggio vanno infine portati al tavolo sindacale, secondo l’articolo 4 dello Statuto dei lavoratori.

Resta da vedere come ACN e giudici del lavoro misureranno l’espressione «potere effettivo»: la prima pronuncia su un licenziamento deciso con l’aiuto di un algoritmo fisserà lo standard che le imprese dovranno rispettare.

Autore

Pablo Liuzzi

Founder, Synthos Logic