Sommario
Intelligenza Artificiale
Consulenza EU AI Act: classificazione dei sistemi, policy, governance AI, formazione.
Scopri →
DataGovern
Governance della documentazione di conformità: politiche, evidenze e registri tenuti insieme e aggiornati.
Scopri DataGovern →
Admina Enterprise
Governance dell’AI: audit trail, PII redaction e policy bidirezionali su qualunque modello, a pesi aperti o proprietario, locale o remoto.
Scopri Admina →
A che punto è
Lo schema di decreto legislativo AG 421 è l’atto con cui l’Italia adegua la normativa nazionale al Regolamento (UE) 2024/1689, l’AI Act, per la parte che riguarda i poteri delle autorità nazionali e l’uso dell’intelligenza artificiale nella formazione. Il Consiglio dei Ministri lo ha approvato in esame preliminare il 10 giugno 2026 ed è il seguito diretto dei decreti attuativi della legge 132/2025 di cui abbiamo scritto allora.
Da allora è entrato nella fase parlamentare, che è dove si trova adesso. È stato assegnato alle Commissioni riunite IX (Trasporti) e X (Attività produttive) della Camera il 7 luglio, con termine per il parere il 16 agosto 2026 e alla Commissione XIV (Politiche dell’Unione europea) l’8 luglio, con termine il 17 agosto. Le audizioni si sono svolte nella seconda metà di luglio: il 22 luglio sono stati sentiti fra gli altri la vice direttrice generale dell’ACN Nunzia Ciardi, l’ANCE e il Centro Ricerche Fiat, con sedute dedicate all’uso dei sistemi di AI da parte delle forze di polizia e alla responsabilità civile e penale.
Il parere delle Commissioni non è vincolante, ma è il momento in cui il testo può ancora cambiare prima dell’approvazione definitiva.
Cosa contiene
Il decreto supera i trenta articoli e si muove su due piani.
La governance. Gli articoli 4-12 distribuiscono le competenze fra sei soggetti: AgID come autorità di notifica e per la sperimentazione nazionale, l’ACN per vigilanza e cybersicurezza e poi Banca d’Italia, CONSOB e IVASS per i rispettivi settori, con il Garante per la protezione dei dati personali sui profili di dati e diritti fondamentali. L’articolo 7 prevede accordi di cooperazione per la condivisione dei dati e meccanismi di risposta rapida; l’articolo 12 istituisce un comitato di coordinamento con funzione di indirizzo strategico. Gli articoli 13-18 definiscono i poteri amministrativi: vigilanza, ispezione, monitoraggio, sperimentazione. Gli articoli 26-29 disciplinano lo spazio di sperimentazione normativa, la sandbox italiana per l’AI.
Gli ambiti settoriali. Il testo interviene su cinque terreni: formazione e professioni, rapporti di lavoro e salute e sicurezza dei lavoratori, sanità, pubblica amministrazione.
Per chi deve orientarsi, il punto pratico della prima parte è che cambia l’interlocutore. Fino a ieri la domanda “a chi rispondo se uso un sistema AI ad alto rischio” non aveva una risposta italiana; con questo decreto l’ha e dipende dal settore in cui operate.
Il problema di tempistica
Qui c’è un fatto che merita di essere messo in fila con le date, perché nessuna delle due notizie preso da sola lo rende evidente.
Il decreto adegua l’ordinamento italiano al Regolamento (UE) 2024/1689. Il 24 luglio 2026, mentre le Commissioni erano in piena fase di audizioni, quel regolamento è stato modificato dal Regolamento (UE) 2026/1744, il Digital Omnibus sull’AI, pubblicato in Gazzetta Ufficiale dell’Unione ed entrato in vigore il 27 luglio. L’Omnibus sposta le scadenze per i sistemi ad alto rischio al 2 dicembre 2027 (stand-alone, Allegato III) e al 2 agosto 2028 (integrati nei prodotti, Allegato I), fissa al 2 agosto 2027 l’istituzione delle sandbox nazionali, alleggerisce gli obblighi di alfabetizzazione AI e aggiunge due nuove pratiche vietate dal 2 dicembre 2026.
Il decreto italiano dedica quattro articoli proprio alla sandbox, che l’Omnibus ora colloca a metà 2027. Il parere delle Commissioni è atteso per il 16 agosto, tre settimane dopo l’entrata in vigore della modifica europea. È esattamente la finestra in cui verificare che le due norme parlino la stessa lingua e questo è il tipo di allineamento che si paga caro se salta.
I quattro nodi segnalati in audizione
Le audizioni hanno fatto emergere quattro questioni che il testo, allo stato, non chiude.
1. Il controllo umano non ha competenze definite. L’AI Act e il decreto richiedono supervisione umana sui sistemi ad alto rischio, ma nessuna disposizione individua le competenze professionali di chi deve concretamente verificare gli input e validare gli output. Non esiste il riconoscimento di figure come l’AI auditor o l’algorithm auditor. Tradotto: l’obbligo c’è, il profilo di chi lo assolve no e in fase di controllo la differenza si vede.
2. L’AI “orientativa” resta fuori classificazione. C’è una categoria di sistemi che non rientra nelle caselle esistenti: quelli capaci di orientare preferenze, convinzioni e comportamenti, anche politici, attraverso personalizzazione e profilazione comportamentale. Non sono vietati e non sono ad alto rischio, quindi non sono nulla. Il rilievo pesa soprattutto dove il decreto interviene, cioè formazione e pubblica amministrazione.
3. L’obsolescenza normativa è strutturale. Il ciclo evolutivo dell’AI è ormai più rapido dei tempi della produzione normativa. Il decreto disciplina i sistemi di oggi e l’AI Act appena modificato ne è la conferma pratica: il quadro europeo è cambiato mentre quello italiano era in lavorazione.
4. Manca un meccanismo di regolazione adattiva. Non c’è un dispositivo permanente di aggiornamento. Gli strumenti previsti (linee guida, sandbox) sono utili ma non bastano a tenere il passo. Fra le integrazioni proposte in audizione: standard professionali per l’auditing all’articolo 7, linee guida sui sistemi di AI orientativa all’articolo 11, una relazione annuale al Parlamento sui rischi emergenti all’articolo 12 e la trasformazione della sandbox in strumento di apprendimento normativo continuo.
Cosa può fare un’azienda adesso
Il decreto non è in vigore e il testo può cambiare, quindi non c’è nulla da implementare oggi. Ci sono però tre cose che conviene fare mentre l’iter si chiude.
Capire quale autorità vi riguarda. Se operate in ambito finanziario, assicurativo, sanitario o nella PA, il vostro interlocutore non sarà lo stesso di un’azienda manifatturiera. Saperlo prima cambia a chi si scrive quando serve un chiarimento.
Rileggere le scadenze con le date dell’Omnibus. Chi aveva pianificato sulla soglia del 2 agosto 2026 ha ora fino al 2 dicembre 2027 per i sistemi stand-alone. È tempo guadagnato, non tempo libero: la scadenza più vicina resta la trasparenza sui contenuti generati artificialmente, al 2 dicembre 2026.
Costruire adesso la tracciabilità. Qualunque cosa dica la versione finale del decreto, la supervisione umana e la valutazione del rischio richiederanno di dimostrare chi ha visto cosa e quando. È un requisito di registrazione e si costruisce prima, non dopo.
Cosa ne pensiamo
Il primo dei quattro rilievi è quello che ci sembra più concreto ed è anche quello su cui lavoriamo. Un obbligo di supervisione umana senza una definizione di chi la esercita produce, in pratica, una firma su un modulo. La differenza fra una supervisione reale e una formale sta nel fatto che qualcuno possa ricostruire cosa il sistema ha proposto, cosa la persona ha cambiato e su quali basi: senza audit trail non c’è supervisione dimostrabile, c’è solo una dichiarazione. È il piano su cui abbiamo costruito Admina e la stessa logica del paradigma OISG.
Il secondo rilievo, l’AI orientativa, è il più difficile e il più interessante. Un sistema che personalizza contenuti formativi o comunicazione istituzionale non è ad alto rischio secondo l’Allegato III, ma incide su cosa le persone finiscono per pensare. Il decreto tocca formazione e PA, cioè proprio i contesti dove quell’effetto ha più peso. Non abbiamo una soluzione da proporre e non fingiamo di averla: registriamo che la lacuna è stata segnalata a chi può ancora colmarla.
Sul terzo e il quarto siamo più cauti di chi li solleva. Che la tecnologia corra più della legge è vero e non è una novità e ogni proposta di “regolazione adattiva” porta con sé una domanda di legittimità democratica che non si liquida in un articolo: chi aggiorna la norma fra un passaggio parlamentare e l’altro e con quale mandato. La relazione annuale al Parlamento sui rischi emergenti ci sembra la più solida delle integrazioni proposte, proprio perché tiene la decisione dove deve stare.
Per chi deve adeguarsi, la lettura di fondo resta quella di sempre. Le date si spostano, gli obblighi restano e la parte che richiede più tempo, cioè sapere quali sistemi AI girano da voi, con quali dati e sotto la responsabilità di chi, non dipende da quale versione del decreto verrà approvata. È il lavoro che DataGovern rende ripetibile e che la consulenza sull’AI Act serve a impostare bene la prima volta.
Fonti
- Agenda Digitale: Decreto AG 421 sull’AI in Italia, governance, controlli e rischi aperti
- Camera dei Deputati: atti del governo sottoposti a parere
- Legge 23 settembre 2025, n. 132 su Normattiva
- Regolamento (UE) 2024/1689 (AI Act) su EUR-Lex
- Diritto Bancario: il Digital Omnibus sull’IA in Gazzetta Ufficiale UE