I decreti attuativi della legge sull’intelligenza artificiale: le novità per le imprese

Il quadro normativo in materia di intelligenza artificiale è stato recentemente interessato da rilevanti novità, tanto a livello europeo quanto nazionale. Tra queste vi sono i  i decreti legislativi attuativi della legge 23 settembre 2025, n. 132 (la legge italiana sull’intelligenza artificiale), pubblicati in Gazzetta Ufficiale nelle ultime settimane: il D.Lgs. 9 settembre 2026, n. 160, in vigore dal 30 settembre 2026, e il D.Lgs. 7 ottobre 2026, n. 179, che entrerà in vigore il 23 ottobre 2026. Tali decreti introducono disposizioni di particolare interesse per le imprese sotto il profilo della responsabilità, del diritto del lavoro e della governance dei sistemi di IA.

Tra le novità di rilievo, spicca a livello europeo, il regolamento Regolamento (UE) 2026/1744 (c.d. Digital Omnibus on AI, nel seguito “Omnibus IA”) – che interviene direttamente sul Regolamento (UE) 2024/1689 (“AI Act”) ed incide sul percorso di adeguamento delle imprese alla disciplina europea sull’intelligenza artificiale.

Nella presente newsletter esaminiamo le novità portate dai decreti attuativi della Legge 132/2025. Per un approfondimento circa le novità introdotte dal Digital Omnibus, rimandiamo alla nostra precedente newsletter (LINK).

Indice

1. I DECRETI ATTUATIVI DELLA LEGGE N. 132/2025

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, non introduce nuovi obblighi rispetto a quelli previsti dall’AI Act per i sistemi e i modelli di IA (art. 3, comma 5), ma detta disposizioni nazionali di settore. Tra le più rilevanti per le imprese si segnalano:

• l’obbligo di informare i lavoratori dell’utilizzo di sistemi decisionali o di monitoraggio automatizzati, nei casi e con le modalità dell’art. 1-bis del D.Lgs. 152/1997 (art. 11);
• l’obbligo informativo verso i clienti per le professioni intellettuali (art. 13);
• il nuovo reato di illecita diffusione di contenuti generati o alterati con sistemi di IA (art. 612-quater c.p.) e le aggravanti per i reati commessi mediante IA (art. 26);
• l’estensione della tutela del diritto d’autore alle opere create con l’ausilio dell’IA, purché costituenti risultato del lavoro intellettuale dell’autore (art. 25).

La legge conteneva inoltre una delega al Governo per l’adeguamento dell’ordinamento nazionale all’AI Act (art. 24). I due decreti legislativi attuativi sono stati ora entrambi pubblicati in Gazzetta Ufficiale.

1.1. Il D.Lgs. 160/2026: reati, responsabilità dell’ente e risarcimento

Il D.Lgs. 9 settembre 2026, n. 160 (G.U. n. 214 del 15 settembre 2026), in vigore dal 30 settembre 2026, disciplina in primo luogo l’utilizzo dei sistemi di IA da parte delle Forze di polizia (con particolare riguardo all’identificazione biometrica remota, subordinata all’autorizzazione dell’autorità giudiziaria, e al divieto di banche dati alimentate tramite scraping non mirato).

Di specifico interesse per le imprese, risultano invece essere le seguenti disposizioni:

• l’introduzione del nuovo reato di Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi (art. 437-bis c.p.), che punisce chi  “omette di adottare le misure tecniche di sicurezza, previste per la progettazione, l’addestramento, la produzione, l’immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette di adottare misure di sorveglianza umana” con la reclusione da uno a cinque anni. Le pene sono aumentate per il caso in cui ne derivi “derivi un pericolo per la vita o l’incolumità pubblica o individuale”, ovvero per il caso di “utilizzatore professionale”; 
• modifiche al D.Lgs. 231/2001, con l’introduzione – per il tramite del nuovo art. 25-vicies – nel catalogo dei reati presupposto sia l’art. 437-bis c.p., sia l’art. 612-quater c.p. (Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale);
• introduzione nelle azioni di risarcimento del danno, contrattuale o extracontrattuale, cagionato nell’utilizzo di un sistema di IA, di nuovi strumenti processuali, in specie:
• il giudice può ordinare l’esibizione degli elementi di prova relativi al funzionamento del sistema – tra cui i log (art. 12 AI Act), la documentazione sul sistema di gestione dei rischi (art. 9), la documentazione tecnica (art. 11) e le informazioni sulla sorveglianza umana (art. 14) – quando il danneggiato renda verosimile la fondatezza della domanda. In caso di mancata esibizione ingiustificata di tale documentazione, il giudice, valutato ogni altro elemento, ritiene ammessi i fatti allegati dal danneggiato (art. 17);
• quando il danno deriva dalla violazione di obblighi dell’AI Act, il nesso di causalità tra violazione e danno è presunto, salvo prova contraria (art. 18);
• la conformità del sistema all’AI Act, anche se certificata, non esclude di per sé la responsabilità del convenuto (art. 19);
• il danneggiato persona fisica-consumatore può agire anche presso il foro della propria residenza o domicilio (art. 16) e dispone di un’azione diretta nei confronti dell’impresa di assicurazione del responsabile (art. 20).

Si segnala un profilo interpretativo destinato con ogni probabilità ad alimentare il dibattito in materia: tanto l’art. 437-bis c.p. quanto la presunzione dell’art. 18 rinviano a misure e obblighi previsti dall’AI Act per i sistemi ad alto rischio, la cui applicazione è stata differita dall’Omnibus IA al 2 dicembre 2027 (o al 2 agosto 2028). Resta pertanto da chiarire se e in quale misura tali disposizioni possano operare prima di quelle date; in attesa di indicazioni giurisprudenziali, è prudente adottare, nei presidi di sicurezza e di sorveglianza, un approccio prudente orientato al pieno rispetto delle disposizioni contenute nell’AI Act.

1.2. Il D. Lgs. 179/2026: autorità, lavoro e formazione

Il D. Lgs. 7 ottobre 2026, n. 179 (G.U. n. 234 dell’8 ottobre 2026), entrerà in vigore il 23 ottobre 2026. Il decreto completa la designazione delle autorità nazionali e disciplina l’uso dell’IA in diversi ambiti.

Rispetto alle imprese, le principali novità riguardano il diritto del lavoro; in particolare:

• le decisioni finali relative alla costituzione, modifica e risoluzione del rapporto di lavoro non possono essere adottate unicamente sulla base di un trattamento automatizzato effettuato da un sistema di IA; la decisione definitiva è sempre riservata a una persona fisica che eserciti un potere effettivo e autonomo. Tra tali decisioni, tuttavia, non vi rientrano le attività relative alla ricerca e selezione del personale, anche quando comportino la mancata ammissione alle successive fasi della selezione (es. sistema IA che seleziona automaticamente i cv);
• l’utilizzo di sistemi di IA deve avvenire nel rispetto della dignità e della riservatezza del lavoratore, nonché del principio di non discriminazione;
• prima dell’avvio del trattamento, il datore assolve agli obblighi di informativa dell’art. 1-bis del d.lgs. 26 maggio 1997, n. 152 (obblighi informativi nel caso di utilizzo di sistemi decisionali o di monitoraggio automatizzati).

La sanzione prevista è che il licenziamento intimato in violazione delle disposizioni esaminate è nullo.

Novità riguardano inoltre il d.lgs. 81/2008, per il quale si prevede che:

• l’utilizzo dei sistemi di intelligenza artificiale nei contesti lavorativi avvenga nel rispetto dei principi di tutela della salute e della sicurezza dei lavoratori;
• l’utilizzo di sistemi di IA che incidono sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza deve essere valutato nell’ambito della valutazione dei rischi;
• i datori di lavoro assicurano un’adeguata informazione e formazione dei lavoratori in merito ai rischi specifici connessi all’utilizzo dei sistemi di IA, nonché alle misure di prevenzione e protezione adottate.

Da ultimo, si evidenzia che, per effetto del D.Lgs. 179/2026, tra le informazioni aziendali tutelate dal codice della proprietà intellettuale e che possono costituire segreto commerciale ai sensi dell’art. 98 del Codice della proprietà industriale, sono ricompresi anche i dati, gli algoritmi e i metodi matematici utilizzati per l’addestramento dei sistemi di IA.

2. COME AFFRONTARE LA NOVITÀ IN AZIENDA

Come esaminato, l’entrata in vigore dei decreti attuativi della Legge 23 settembre 2025, n. 132, comporta l’introduzione di rilevanti profili di responsabilità penale, civile e giuslavoristica in capo alle imprese. Inoltre, il differimento di alcune scadenze disposto dal Digital Omnibus non deve indurre le imprese a rinviare l’adeguamento: numerosi obblighi dell’AI Act sono infatti già applicabili, a partire dai divieti di cui all’art. 5 (dal 2 febbraio 2025) e dagli obblighi per i fornitori di modelli di IA per finalità generali (dal 2 agosto 2025) (ne parliamo qui: LINK).

Il suggerimento per le imprese è quindi quello di provvedere sin da ora a:

1. mappare i sistemi di IA in uso e, per ciascuno, il ruolo ricoperto dall’impresa (fornitore, deployer, importatore o distributore);
2. classificare i sistemi secondo le categorie previste dall’AI Act (pratiche vietate, sistemi ad alto rischio, sistemi soggetti a obblighi di trasparenza);
3. definire una roadmap di adeguamento coerente con il nuovo calendario introdotto dal Digital Omnibus;
4. per chi sviluppa o utilizza sistemi di IA generativa, verificare entro il 2 dicembre 2026 l’adeguatezza delle misure volte a impedire la generazione dei contenuti oggetto dei nuovi divieti, nonché il rispetto degli obblighi di marcatura dei contenuti sintetici;
5. aggiornare il piano di formazione sull’IA, differenziandolo per ruoli e mansioni e documentando le iniziative svolte;
6. per i fabbricanti di macchine e dispositivi, rivalutare alla luce della nuova definizione se i sistemi integrati costituiscano effettivamente componenti di sicurezza, e siano quindi da considerare ad alto rischio;
7. verificare se l’impresa rientri tra le small mid-cap (SMC) e possa beneficiare delle relative semplificazioni;
8. in ambito HR, garantire che le decisioni su assunzione, gestione e cessazione del rapporto di lavoro restino in capo a una persona fisica, aggiornare le informative ai lavoratori e adottare una procedura per motivare le decisioni assunte con il supporto di sistemi di IA;
9. aggiornare il Modello 231, mappando i rischi connessi agli artt. 437-bis e 612-quater c.p., e documentare le misure di sorveglianza umana adottate sui sistemi potenzialmente ad alto rischio;
10. rivedere i contratti con i fornitori di sistemi di IA, con particolare attenzione alla disponibilità dei log e della documentazione tecnica (di cui il giudice può ordinare l’esibizione), alle garanzie di conformità e alle coperture assicurative.

Restano ferme, infine, le numerose interconnessioni con il Regolamento (UE) 2016/679 (GDPR) e con il D.Lgs. 231/2001: l’adeguamento all’AI Act e alla normativa nazionale richiede, in sostanza, una stretta collaborazione tra le diverse funzioni aziendali (IT, risorse umane, compliance, ufficio legale) e un’integrazione dell’utilizzo dell’IA nel sistema di gestione aziendale.

Lo studio è a disposizione per qualsiasi chiarimento.