L’approvazione preliminare dei due decreti legislativi da parte del Consiglio dei Ministri proietta l’Italia in una posizione di primato globale, configurandola come il primo Paese al mondo a dotarsi di una normativa nazionale organica che non si limita a recepire l’AI Act europeo, ma ne declina l’applicazione in una visione di Sistema Paese. Non siamo di fronte a un mero adempimento burocratico, bensì a una precisa Strategia Digitale Nazionale che punta a trasformare l’approccio antropocentrico voluto fortemente da questo Governo in carica, in un vantaggio competitivo. Il legislatore italiano ha chiarito che l’innovazione non può prescindere dal primato della dignità umana, stabilendo che la tecnologia deve restare uno strumento al servizio dell’individuo e mai un sostituto della responsabilità giuridica. Questa operazione di costruzione istituzionale sposta l’asse del dibattito dal potenziale tecnico degli algoritmi alla certezza legale dei loro effetti, definendo non solo cosa l’intelligenza artificiale possa fare, ma soprattutto chi debba rispondere legalmente quando un automatismo genera un danno. Si tratta di un passaggio fondamentale per garantire la fiducia dei cittadini e la stabilità del mercato, gettando le basi per un ecosistema dove il diritto protegge lo sviluppo anziché subirlo. Per comprendere l’efficacia di questa visione, è tuttavia necessario esaminare l’architettura istituzionale che dovrà sostenere questo ambizioso apparato regolatorio.

L’Implementazione dell’AI Act nell’Ordinamento Italiano

La definizione di una governance per l’intelligenza artificiale nell’ordinamento italiano non rappresenta un mero adempimento formale, bensì la spina dorsale necessaria per garantire la certezza del diritto e consolidare la fiducia dei cittadini nelle istituzioni digitali. In un panorama tecnologico caratterizzato da una rapida evoluzione, la capacità del legislatore di strutturare un sistema di pesi e contrappesi diventa il presupposto essenziale per uno sviluppo antropocentrico della tecnologia. Tuttavia, l’analisi tecnica degli schemi di decreto legislativo rivela una complessità istituzionale che oscilla tra l’ambizione regolatoria e il rischio concreto di una stratificazione burocratica che potrebbe rallentare l’ecosistema dell’innovazione nazionale.

L’architettura istituzionale delineata affida all’Agenzia per l’Italia Digitale (AgID) il ruolo di autorità nazionale di notifica ai sensi dell’Articolo 4, rendendola responsabile delle procedure di valutazione e monitoraggio degli organismi di conformità. Parallelamente, l’Agenzia per la Cybersicurezza Nazionale (ACN) viene designata come autorità di vigilanza del mercato dall’Articolo 5, con il compito di presidiare la sicurezza tecnica dei sistemi. Questa struttura duale deve tuttavia integrarsi con una pluralità di autorità di settore, tra cui Banca d’Italia, CONSOB, IVASS e il Garante per la protezione dei dati personali, creando un sistema multi-autorità che solleva legittime preoccupazioni circa il rischio di sovrapposizioni operative e asimmetrie interpretative.

Tale configurazione rischia di tradursi in una sorta di burocrazia sopra la burocrazia, dove la mancanza di una gerarchia chiara tra i diversi poteri ispettivi potrebbe generare incertezza per gli operatori. In questo contesto, il Comitato di coordinamento previsto dall’Articolo 12 assume una rilevanza strategica come organo di raccordo e indirizzo unitario, la cui efficacia dipenderà dalla capacità di far dialogare saperi diversi, superando la tradizionale separazione tra il linguaggio della tecnica e quello del diritto per garantire una risposta istituzionale rapida agli incidenti gravi.

La metamorfosi dei percorsi formativi e delle professioni

La formazione è concepita nel disegno normativo non come un obbligo burocratico, ma come un pilastro fondamentale per un approccio antropocentrico volto a prevenire l’obsolescenza delle competenze. L’integrazione dell’IA nel sistema educativo, disciplinata dagli Articoli 35 e 44, vede il coinvolgimento strategico degli ITS Academy e delle istituzioni dell’alta formazione artistica, musicale e coreutica (AFAM), descritti quali laboratori di innovazione applicata fondamentali per il trasferimento tecnologico. A sostegno di questa visione, l’Articolo 36 stanzia risorse significative, pari a 100 milioni di euro a valere sul PN Scuola e Competenze 2021-2027, evidenziando una priorità finanziaria che manca in altri settori del decreto. Per le professioni regolamentate, l’Articolo 47 introduce un obbligo formativo stringente con un termine di sei mesi per l’adeguamento dei regolamenti da parte dei Consigli Nazionali. Questo sforzo si riflette sulla disciplina dell’equo compenso ex Articolo 48, il quale prevede che l’utilizzo di sistemi ad alto rischio, richiedendo verifiche più onerose e una maggiore assunzione di responsabilità, possa giustificare una maggiorazione dei compensi. Tale previsione deve essere letta in combinato con la mobilità temporanea dei ricercatori verso le autorità (Articolo 45), strumento d’eccellenza per fertilizzare il rapporto tra regolazione e ricerca scientifica.

Diritto del lavoro e innovazione nella Pubblica Amministrazione

Il bilanciamento tra efficienza algoritmica e dignità del lavoratore trova la sua massima espressione nell’Articolo 41, che stabilisce la nullità di diritto per qualunque decisione esclusivamente automatizzata relativa alla costituzione, modificazione o risoluzione del rapporto d’impiego, inclusi i licenziamenti. Tale garanzia è supportata dal diritto del lavoratore a ottenere una spiegazione intelligibile dei parametri utilizzati dall’algoritmo. Nella Pubblica Amministrazione, l’Articolo 40 individua nella Scuola Nazionale dell’Amministrazione (SNA) il veicolo operativo per la riqualificazione dei dipendenti, orientandoli verso una semplificazione amministrativa che non sacrifichi la supervisione umana. La trasparenza non è solo un principio etico, ma un’esigenza tecnica: l’Articolo 9 impone l’adozione di file di log non modificabili per garantire che la governance rimanga una realtà applicabile e verificabile piuttosto che un mero obiettivo astratto. Senza la capacità di dimostrare l’origine oggettiva delle decisioni automatiche, specialmente nei processi di valutazione dei rischi ex Articolo 42, l’intero sistema di tutele rischierebbe di rimanere privo di effettività.

La sicurezza pubblica nell’era algoritmica

L’impiego dell’IA nelle attività di polizia introduce un cambio di paradigma verso una prevenzione basata sui dati, pur all’interno di un quadro sanzionatorio e procedurale estremamente rigoroso. L’Articolo 8 disciplina l’identificazione biometrica remota in tempo reale, limitandola a finalità tassative come la ricerca di persone scomparse o il contrasto al terrorismo. In conformità con la natura tecnica del ruolo, è necessario evidenziare che l’autorizzazione del Pubblico Ministero non può superare i 15 giorni e, in casi d’urgenza, l’attivazione deve essere comunicata entro 12 ore e convalidata dal Giudice per le indagini preliminari (GIP) entro le successive 48 ore ai sensi dell’Articolo 15. Un pilastro fondamentale del nuovo regime è il divieto assoluto di banche dati biometriche alimentate tramite tecniche di scraping non mirato (Articolo 8.3), una misura essenziale per proteggere i diritti fondamentali dalla raccolta massiva e indiscriminata di dati dal web. Tuttavia, emerge una frizione strategica tra l’imponenza degli obblighi procedurali e l’assenza di finanziamenti dedicati, con una clausola di invarianza finanziaria (Articolo 12 del decreto polizia) che assegna 0 euro all’attuazione di un sistema così complesso, contrastando nettamente con i fondi stanziati per il comparto istruzione.

Responsabilità, sanzioni e tutela del danneggiato

Un quadro sanzionatorio robusto è indispensabile per mitigare i rischi derivanti dall’IA, ma la sua implementazione attuale presenta criticità de jure condendo che non possono essere ignorate. Sebbene l’Articolo 23 preveda sanzioni fino a 35 milioni di euro o al 7% del fatturato, il comma 10 introduce una riduzione del 50% dei limiti edittali per le persone fisiche, mentre il comma 13 impone criteri specifici per PMI e startup. Sul fronte penale, l’Articolo 437-bis c.p. punisce l’omessa adozione di misure di sicurezza nei sistemi ad alto rischio, estendendo la responsabilità amministrativa degli enti ex D.Lgs. 231/2001 (Articolo 17). Tuttavia, si deve rilevare con severità la “dimenticanza” del legislatore nell’attuare l’Articolo 24.5.c della Legge 132/2025: la mancata definizione di criteri di limitazione della responsabilità per violazioni inconsapevoli, come il “rigurgito” di contenuti protetti nell’IA generativa, pone un rischio insostenibile per le industrie del software e del cinema. Per quanto riguarda il risarcimento civile, l’Articolo 19 facilita l’accesso alle prove, mentre l’Articolo 20 introduce una presunzione iuris tantum del nesso di causalità in caso di violazione dell’AI Act, spostando l’onere probatorio a favore del danneggiato e garantendo, tramite l’azione diretta contro l’assicuratore (Articolo 22), una tutela effettiva in un contesto di opacità algoritmica.

Riferimenti normativi

Si tratta di “schemi di decreto legislativo” approvati in esame preliminare dal Consiglio dei Ministri nella riunione del 10 giugno 2026. Essendo schemi preliminari, i testi non sono ancora definitivi. Devono essere trasmessi al Parlamento per i pareri delle commissioni competenti, alla Conferenza delle Regioni e alle Authority prima della pubblicazione definitiva in Gazzetta Ufficiale.

L’efficacia della nuova disciplina poggia sulla corretta applicazione dei seguenti istituti: l’Autorità di Notifica (Art. 4) per la valutazione della conformità, l’Autorità di Vigilanza del Mercato (Art. 5) per il monitoraggio operativo, e il Comitato di Coordinamento (Art. 12) per l’indirizzo strategico. Lo sviluppo tecnologico trova spazio nello Spazio di Sperimentazione Italiano (Art. 26), mentre il capitale umano è valorizzato attraverso la Formazione Interdisciplinare delle ITS Academy e AFAM (Art. 44) e la tutela contro la Nullità di Diritto del Licenziamento Automatizzato (Art. 41). La dignità professionale è salvaguardata dall’Equo Compenso (Art. 48), mentre la sicurezza pubblica è garantita dal rigore nell’Identificazione Biometrica Remota (Art. 8) e nel divieto di scraping (Art. 8.3). Infine, la deterrenza e la riparazione sono affidate alla sanzione per l’Omissione di Misure di Sicurezza (Art. 14, 437-bis c.p.), all’Accesso alle Prove (Art. 19) e alla Presunzione Iuris Tantum di Causalità (Art. 20).

La svolta regolatoria dell’Italia tra etica e burocrazia

In un settore ad alta evoluzione, l’identificazione di autorità nazionali dai perimetri certi è una precondizione strategica per evitare il vuoto regolatorio o la sovrapposizione paralizzante tra enti. La struttura di governance italiana poggia su un dualismo operativo tra l’Agenzia per l’Italia Digitale (AgID) e l’Agenzia per la Cybersicurezza Nazionale (ACN). L’AgID assume il ruolo di Autorità nazionale di notifica (Art. 4), responsabile della valutazione e del monitoraggio degli organismi di certificazione della conformità. L’ACN viene invece designata come Autorità di vigilanza del mercato e Punto di Contatto Unico (PCU) con l’Unione Europea (Art. 6), dotata di incisivi poteri ispettivi e sanzionatori.

Per scongiurare il rischio di frammentazione, il decreto istituisce il Comitato di coordinamento (Art. 12), una vera “cabina di regia” strategica che sovrintende alla cooperazione tra le agenzie e le autorità di settore. In tale rete sono coinvolte la Banca d’Italia, la CONSOB e l’IVASS per i sistemi ad alto rischio nel comparto finanziario e assicurativo, mentre al Garante per la Protezione dei Dati Personali (GPDP) è affidata la vigilanza sui sistemi che impattano sui diritti fondamentali in ambiti sensibili come la giustizia e la democrazia. Questa rete di controllo non è un mero esercizio di potere, ma la struttura necessaria per gestire le delicate implicazioni dell’IA sui rapporti di lavoro.

Il Lavoro e la protezione del Capitale Umano

Il legislatore ha inquadrato la tutela del lavoratore come un pilastro della dignità sociale nell’era dell’automazione, elevando il controllo umano a riserva di legge invalicabile. Il principio cardine (Art. 41) sancisce la nullità di diritto per i licenziamenti 100% automatizzati: ogni decisione riguardante la costituzione, la modifica o la risoluzione del rapporto di lavoro deve prevedere una supervisione umana qualificata. Oltre alla nullità, viene introdotto il diritto del lavoratore a ottenere una spiegazione intelligibile della decisione algoritmica, permettendo di comprendere i parametri e la logica sottesa al processo decisionale assistito.

Operativamente, l’IA entra a far parte del perimetro del Testo Unico sulla Sicurezza sul Lavoro (D.Lgs. 81/2008), imponendo ai datori di lavoro di valutare l’impatto dei sistemi sui ritmi produttivi e sulla salute psicofisica. Per i professionisti, la riforma introduce obblighi rigorosi: gli ordini hanno 6 mesi per adeguare i propri regolamenti formativi e deontologici. Un’innovazione significativa riguarda l’equo compenso (Art. 48): entro 12 mesi i parametri ministeriali dovranno essere integrati per consentire una modulazione della parcella in funzione del rischio del sistema IA utilizzato, riflettendo la maggiore responsabilità e gli oneri di verifica assunti dal professionista. Questa protezione dei diritti passa necessariamente attraverso un rigoroso sistema di responsabilità civile e penale.

IA e sicurezza nelle attività di Polizia

L’utilizzo delle tecnologie biometriche da parte delle Forze dell’ordine è disciplinato attraverso un delicato bilanciamento tra efficacia investigativa e tutela della privacy. L’identificazione biometrica remota “in tempo reale” è limitata a tassativi fini di prevenzione (terrorismo, ricerca di persone scomparse o vittime di tratta) e richiede l’autorizzazione preventiva del Giudice per le Indagini Preliminari (GIP) su richiesta del Pubblico Ministero, con un limite temporale di 15 giorni (Art. 8).

Sostanziale è la differenza con il riconoscimento “a posteriori”, ammesso per il contrasto ai reati già commessi su soggetti indiziati; in questo caso, il decreto impone la cancellazione automatica dei dati biometrici acquisiti localmente dopo 7 giorni (Art. 10). Rimane il divieto assoluto di alimentare banche dati mediante tecniche di scraping indiscriminato dal web. Sebbene il quadro normativo sia solido, l’analista nota l’ironia della clausola di “invarianza finanziaria” (Art. 12/23): un mandato per una polizia ad alta tecnologia a “costo zero” rischia di minare l’implementazione pratica degli strumenti. Tale criticità sottolinea come la gestione di questi sistemi richieda competenze che devono essere seminate nel sistema educativo.

Formazione, Alfabetizzazione e Sandbox

La formazione non è un accessorio, ma un investimento infrastrutturale per colmare il divario tra norma e uso. Un pilastro centrale è il piano di formazione finanziato con 100 milioni di euro a valere sul “PN Scuola e Competenze 2021-2027” (Art. 36). Questi fondi non sono generici, ma destinati specificamente a contrastare l’emergenza educativa legata alla dipendenza da social media e IA, coinvolgendo docenti, studenti e famiglie in percorsi di alfabetizzazione critica. Il piano si estende agli adulti tramite i CPIA, mirando a prevenire l’obsolescenza professionale.

Per favorire l’innovazione delle PMI e delle startup, viene istituito lo “Spazio di sperimentazione italiano per l’IA” (Sandbox), gestito congiuntamente da ACN e AgID (Art. 26). Si tratta di un ambiente protetto che garantisce “apprendimento normativo” e facilita l’accesso al mercato unico europeo. In questo spazio, le imprese possono testare sistemi ad alto rischio sotto supervisione, riducendo l’incertezza legale. Tuttavia, l’efficacia di tali misure dipende dalla capacità di superare le ombre sistemiche della strategia nazionale.

Nonostante la solidità teorica dei decreti, l’Italia rischia il paradosso di essere “prima nella regolamentazione e ultima nell’uso”. Una delle ombre più dense riguarda la mancata attuazione dell’Art. 24.5.c della Legge 132/2025: il legislatore ha perso l’occasione di creare un “safe harbor” per le violazioni inconsapevoli (es. copyright nell’IA generativa), esponendo le imprese a una responsabilità economica insostenibile per l’adozione della Gen-AI. Senza una limitazione di colpa per i “rigurgiti” algoritmici non intenzionali, l’Italia rischia di diventare il Paese delle aggravanti penali piuttosto che della produzione tecnologica.

Inoltre, la frammentazione tra numerose autorità (ACN, AgID, Garante, Autorità finanziarie) e la clausola di invarianza finanziaria suggeriscono il rischio di una “burocrazia difensiva”. Una strategia che arriva al termine della legislatura, con tempi di attuazione stimati in 2-3 anni, potrebbe essere percepita come un’operazione di comunicazione più che una politica industriale duratura, soggetta ai mutamenti del prossimo ciclo politico. E’ chiaro che la sfida democratica dell’Italia non è solo tecnica, ma valoriale. Abbiamo costruito la cornice; ora serve la sostanza economica per abitarla. Il futuro della nostra sovranità digitale dipenderà dalla capacità di decidere cosa sia giusto delegare alle macchine per proteggere ciò che ci rende umani, senza trasformare la tutela del diritto in un freno all’esistenza stessa dell’industria digitale nazionale.