Intelligenza Artificiale
Consulenza EU AI Act: classificazione dei sistemi, policy, governance AI, formazione.
Scopri →
Cybersecurity
Consulenza CISO-as-a-service: postura, roadmap di remediation, supporto continuativo.
Scopri →
Il Consiglio dei Ministri ha approvato in via definitiva i due decreti legislativi che adeguano la normativa italiana al regolamento (UE) 2024/1689. Il comunicato ufficiale data la seduta a martedì 4 agosto 2026, riunione n. 185, mentre diverse testate riportano il 5.
I decreti attuano la delega dell’articolo 24 della legge 23 settembre 2025, n. 132, e chiudono un percorso partito con l’esame preliminare del 10 giugno. In mezzo ci sono stati i pareri delle Commissioni parlamentari, della Conferenza unificata e del Garante per la protezione dei dati personali, e i testi ne sono usciti cambiati.
I due decreti
Il primo riguarda l’uso dei sistemi di intelligenza artificiale per l’attività di polizia e la responsabilità civile e penale. Il secondo i poteri delle autorità nazionali e l’uso dell’intelligenza artificiale nella formazione.
Al 5 agosto nessuno dei due è in Gazzetta Ufficiale, quindi il testo integrale non è ancora leggibile. Quello che si sa viene dal comunicato del Consiglio dei Ministri e dalle ricostruzioni di chi ha seguito i pareri.
Cosa è cambiato dopo i pareri
Sulla videosorveglianza con riconoscimento facciale a posteriori il comunicato indica che sono stati definiti i requisiti minimi della banca dati di riferimento, con obblighi espliciti di cancellazione e garanzie di non incrementabilità dei dati usati per il confronto biometrico. Non incrementabilità vuol dire che un archivio già costituito non può crescere aggiungendo materiale raccolto dopo.
La posizione dell’utilizzatore professionale di sistemi ad alto rischio che ometta intenzionalmente di adottare misure di sorveglianza umana diventa una previsione autonoma.
Agli enti territoriali è assicurata la partecipazione, con modalità pattizie proprie, all’installazione e alla manutenzione delle componenti, e un articolo nuovo prevede il coinvolgimento delle Regioni e delle Province autonome nelle attività disciplinate dal decreto. Sono esplicitati i poteri riconosciuti al Garante per la protezione dei dati personali nell’ambito dei ruoli che gli sono attribuiti.
Sul lavoro è stato precisato che non rientrano fra le decisioni finali sulla costituzione del rapporto le attività di ricerca e selezione delle candidature.
Le modifiche si concentrano quindi sul trattamento dei dati biometrici, sulla partecipazione degli enti territoriali e sui poteri di chi vigila. L’architettura delle autorità nazionali non è stata toccata.
Polizia e biometria
Il principio che regge il primo decreto è la sorveglianza umana: una decisione capace di produrre effetti giuridici negativi non può essere adottata sulla sola base di un trattamento automatizzato, e la responsabilità finale resta dell’operatore.
Sull’identificazione biometrica in tempo reale il perimetro è stretto: casi eccezionali, periodi limitati e previa autorizzazione dell’autorità giudiziaria. È vietata la costituzione di banche dati biometriche attraverso la raccolta massiva e indiscriminata di fotografie o immagini disponibili online, che è la pratica su cui si sono costruiti diversi prodotti commerciali di riconoscimento facciale.
Il riconoscimento a posteriori, che lavora su materiale già acquisito, segue una disciplina distinta, con requisiti minimi sulla banca dati di riferimento.
Il licenziamento deciso da un sistema automatico è nullo
Le decisioni che riguardano costituzione, modifica o cessazione del rapporto di lavoro, comprese quelle disciplinari, non possono essere adottate esclusivamente sulla base di un trattamento automatizzato. Un licenziamento deciso solo da un sistema automatico è nullo.
Il divieto non copre le attività preliminari di ricerca e selezione dei candidati, che i pareri hanno collocato esplicitamente fuori dal perimetro. È una distinzione che conta in pratica: lo screening automatico dei curriculum non ricade in questa norma, la decisione sul rapporto sì.
Art. 437-bis del codice penale
Il nuovo articolo punisce l’omessa adozione delle misure di sicurezza previste per i sistemi di intelligenza artificiale ad alto rischio e la loro alterazione illecita, con pene graduate in base al bene giuridico messo in pericolo.
È la parte che sposta il baricentro: sull’omessa adozione di misure per un sistema ad alto rischio il decreto affianca alle sanzioni amministrative una fattispecie penale dedicata, che opererà dall’entrata in vigore del testo.
Chi vigila su cosa
L’architettura resta quella disegnata dalla legge 132/2025 e confermata a giugno:
| Autorità | Ruolo |
|---|---|
| AgID | autorità di notifica, accredita e vigila gli organismi di valutazione della conformità |
| ACN | autorità di vigilanza del mercato e punto di contatto unico con le istituzioni UE |
| Banca d’Italia, Consob, IVASS | vigilanza settoriale su banche, mercati finanziari e assicurazioni |
| Garante privacy | sistemi ad alto rischio in contrasto, frontiere, giustizia e processi democratici |
Sulla formazione, il secondo decreto porta l’intelligenza artificiale nei percorsi scolastici e universitari, la rende materia obbligatoria nell’educazione continua in medicina e stanzia 100 milioni di euro per la formazione dei docenti e per il contrasto ai rischi legati all’abuso delle piattaforme digitali.
Quando si applicano davvero
Il regime sanzionatorio è coordinato con il regolamento (UE) 2026/1744 dell’8 luglio 2026, il digital omnibus sull’IA, pubblicato in Gazzetta europea il 24 luglio ed entrato in vigore il 27. È la norma che ha spostato gli obblighi principali sui sistemi ad alto rischio al 2 dicembre 2027 per quelli autonomi e al 2 agosto 2028 per quelli incorporati nei prodotti.
Il coordinamento serve a non sanzionare in Italia comportamenti che a livello europeo non sono ancora dovuti. Gli obblighi già applicabili restano quelli in vigore dal 2 agosto 2026, cioè la trasparenza dell’articolo 50 e le regole sui modelli GPAI.
Cosa ne pensiamo
Chi usa sistemi automatici nei processi HR ha una scadenza che non dipende dal rinvio europeo: la nullità del licenziamento automatizzato è diritto del lavoro italiano, e opera indipendentemente dalla classificazione del sistema come ad alto rischio. Va verificato dove, nella catena decisionale, un output di un modello diventa una decisione sul rapporto senza che nessuno la faccia propria.
Gli obblighi di cancellazione e la non incrementabilità riguardano la banca dati di riferimento dei sistemi di videosorveglianza con riconoscimento facciale a posteriori, quindi le forze di polizia e gli enti territoriali che partecipano all’installazione di quei sistemi. Un archivio costituito legittimamente non potrà crescere per accumulo, e questo è un requisito che si verifica guardando i log, non le policy.
Chi gestisce sistemi ad alto rischio ha una fattispecie penale in più da mettere nella valutazione del rischio, accanto alle sanzioni amministrative dell’AI Act. È lo stesso spostamento che attraversa la governance dell’AI nelle organizzazioni: la conformità smette di essere un adempimento documentale e diventa una responsabilità individuale.
Manca ancora il testo. Fino alla pubblicazione in Gazzetta le formulazioni esatte, che in materia penale e di nullità contano parola per parola, non sono verificabili.
Fonti
- Comunicato stampa del Consiglio dei Ministri n. 185, 4 agosto 2026
- Legge 23 settembre 2025, n. 132
- Regolamento (UE) 2024/1689, AI Act
- Regolamento (UE) 2026/1744, digital omnibus sull’IA
- AI4Business: il CdM approva in via definitiva i decreti italiani di attuazione dell’AI Act
- Servicematica: l’Italia completa l’attuazione dell’AI Act