Decreto AI 179/2026: cosa cambia nei controlli in azienda

Dal 23 ottobre 2026, con il decreto AI 179/2026, le autorità italiane possono controllare come le aziende usano l’intelligenza artificiale e sanzionare chi non rispetta le regole. Il riferimento principale è l’Agenzia per la cybersicurezza nazionale (ACN). La novità tocca anche chi l’AI non la sviluppa ma la usa, per esempio un assistente acquistato da un fornitore o un sistema di visione su una linea di produzione: se arriva una richiesta, l’azienda deve saper spiegare come quel sistema è stato scelto, configurato e controllato.

Il decreto adegua la normativa italiana all’AI Act europeo. Gli obblighi europei più pesanti, quelli sui sistemi ad alto rischio, scatteranno tra il 2027 e il 2028, ma alcune regole valgono da subito, soprattutto per chi usa l’AI nella gestione del personale.

Chi controlla l’AI in azienda?

Per la maggior parte delle imprese l’interlocutore è l’ACN, che vigila sui sistemi AI e fa da punto di contatto con l’Unione europea. Banca d’Italia, CONSOB e IVASS si occupano dei sistemi ad alto rischio usati da banche, intermediari finanziari e assicurazioni, mentre il Garante privacy interviene in casi specifici. Quando l’AI è integrata in un macchinario o in un altro prodotto già regolato a livello europeo, l’ACN lavora insieme alle autorità di quel settore.

A decidere chi è competente è l’uso che si fa del sistema, più del settore dell’azienda. Un’impresa manifatturiera può avere un sistema AI integrato in un macchinario e un assistente che prepara i documenti per l’ufficio acquisti: sono due impieghi diversi, con regole e controlli diversi. Come osserva Francesco Capparelli su Agenda Digitale, il fatto che li paghi la stessa azienda non basta a trattarli allo stesso modo.

Quando può arrivare un controllo?

Un controllo dell’ACN può partire dopo un incidente grave, dopo un reclamo, su segnalazione di un’altra autorità oppure per iniziativa dell’Agenzia stessa, anche quando nessuno ha contestato nulla o subito un danno.

Nella vita di un’azienda la strada più probabile è il reclamo. Un cliente contesta la risposta di un assistente AI, un dipendente chiede perché il sistema ha segnalato come anomalo il suo lavoro. Queste contestazioni arrivano di solito all’assistenza clienti o alle risorse umane, che non sempre sanno chi conosce davvero il funzionamento del sistema. Conviene decidere prima a chi passarle: se vengono chiuse come un semplice malfunzionamento, si perdono proprio le informazioni che servono a ricostruire cosa è successo.

Cosa rischia un’azienda che usa l’AI?

Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale, ma non si applicano tutte da subito, perché seguono il calendario dell’AI Act. Gli obblighi per i sistemi ad alto rischio, come quelli usati per selezionare il personale, scattano dal 2 dicembre 2027; per l’AI integrata in macchinari e altri prodotti regolati dal 2 agosto 2028. La tabella indica, in base al calendario dell’AI Act, quali sanzioni si applicano da subito.

Di norma conta il valore più alto tra cifra fissa e percentuale sul fatturato; per PMI e start-up innovative vale invece il più basso. Gli obblighi di trasparenza riguardano, per esempio, l’informare le persone che stanno interagendo con un sistema AI.

Per chi usa l’AI senza svilupparla, il rischio più concreto riguarda le informazioni date alle autorità. Se arriva una richiesta e l’azienda risponde riprendendo le garanzie commerciali del fornitore, o citando un test fatto su una versione precedente del sistema senza dirlo, rischia di fornire informazioni inesatte o fuorvianti: dal 23 ottobre è una violazione sanzionabile. Le risposte vanno preparate insieme da chi conosce il sistema e da chi segue gli aspetti legali.

C’è anche un costo d’immagine. Per le violazioni meno gravi l’autorità può limitarsi a chiedere di rimediare entro un termine, ma di norma le sanzioni vengono pubblicate sul suo sito e diventano visibili a clienti, fornitori e concorrenti.

Cosa cambia subito per chi usa l’AI con i dipendenti?

Questa è la parte che vale dal 23 ottobre per qualunque datore di lavoro, con qualunque sistema AI, senza attendere le scadenze europee:

• Decisioni sul personale: assunzioni, cambi di ruolo, licenziamenti, provvedimenti disciplinari e valutazioni delle prestazioni non possono essere decisi solo dal sistema. L’ultima parola spetta a una persona con un potere reale di decidere, altrimenti la decisione è nulla.
• Trasparenza verso i lavoratori: prima di usare il sistema l’azienda deve informare i dipendenti, e chi è coinvolto da una decisione può chiedere a una persona di spiegargliela, indicando quanto ha pesato l’AI e su quali elementi.
• Sicurezza: i sistemi che influenzano ritmi, organizzazione o modalità di lavoro, o decisioni rilevanti per la sicurezza, entrano nella valutazione dei rischi, e i lavoratori vanno informati e formati. Se in uno stabilimento un sistema regola il ritmo di una linea, va valutato come qualunque altro rischio.

La ricerca e la selezione dei candidati sono escluse dalla regola dell’ultima parola umana, anche quando il sistema scarta qualcuno, ma restano le norme del GDPR sulle decisioni automatizzate e, dal dicembre 2027, gli obblighi europei per i sistemi usati nel reclutamento.

Serve un audit trail?

Il decreto non obbliga tutte le aziende a tenere un registro di ciò che fanno i loro sistemi AI: l’AI Act lo richiede solo per i sistemi ad alto rischio, e solo a partire dalle scadenze del 2027 e del 2028. Due norme, però, lo rendono già molto utile. Dal 30 settembre il D.Lgs. 160/2026 permette a chi si ritiene danneggiato da un qualunque sistema AI di chiedere al giudice i log, e il decreto 179 sanziona le informazioni inesatte date alle autorità. Un’azienda che non sa ricostruire chi ha deciso, con quale versione del sistema e con quale controllo umano resta scoperta sia in tribunale sia davanti all’autorità. Ne abbiamo parlato nell’articolo sull’audit trail e il D.Lgs. 160/2026.

Come può prepararsi un’impresa?

Il rinvio degli obblighi europei non sospende il resto: privacy, diritto del lavoro e contratti valgono già. Prepararsi non vuol dire compilare un nuovo modulo, ma essere in grado di ricostruire, per ogni uso importante dell’AI, che cosa è stato deciso, da chi e con quale versione del sistema. Si può partire da cinque punti:

• Mappa degli usi: per ogni sistema, a cosa serve davvero, se l’azienda lo ha sviluppato o lo usa soltanto, quale autorità è competente. In alcuni casi, modificare a fondo un sistema acquistato o usarlo per uno scopo diverso fa ricadere sull’azienda le responsabilità del fornitore.
• Aggiornamenti sotto controllo: chi approva un aggiornamento o un cambio di modello, e dove ne resta traccia. Un aggiornamento accettato in automatico può introdurre funzioni mai valutate, mentre la documentazione continua a descrivere la versione precedente.
• Contratti con i fornitori: quali informazioni il fornitore mette a disposizione, su quale versione, in che tempi e con quali tutele per il know-how di entrambi. È meglio deciderlo alla firma che scoprirlo durante una richiesta dell’autorità.
• Controllo umano reale: chi supervisiona deve avere tempo, informazioni e autorità per discostarsi dal sistema. Una firma di approvazione dimostra poco se lo schermo non mostra perché il sistema ha prodotto quel risultato.
• Reclami e stop: chi riceve una contestazione, a chi la passa, chi può fermare il sistema e come proseguono i processi nel frattempo.

Anche le prove vanno conservate con misura. Tenere per anni ogni richiesta inviata al sistema e ogni dato personale, nel timore di un controllo, apre nuovi rischi, a partire dalla privacy. Serve conservare ciò che documenta funzionamento e decisioni, con accessi definiti e registri che nessuno possa modificare dopo.

Domande frequenti

Quando entra in vigore il decreto AI 179/2026?

Il decreto entra in vigore il 23 ottobre 2026. Da quella data l’ACN e le altre autorità possono controllare e sanzionare l’uso dell’AI. Gli obblighi europei sui sistemi ad alto rischio arrivano più tardi: dal 2 dicembre 2027 per usi come la selezione del personale, dal 2 agosto 2028 per l’AI integrata in macchinari e altri prodotti regolati.

Quali sanzioni prevede il decreto AI 179/2026?

Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per gli usi vietati dell’AI. Per chi usa l’AI il rischio più immediato riguarda le informazioni inesatte o fuorvianti date alle autorità, sanzionabili dal 23 ottobre fino a 7,5 milioni o all’1% del fatturato. Per le PMI si applica il valore più basso.

Un’azienda che usa un software AI di un fornitore ha obblighi?

Sì. Chi usa un sistema AI nei propri processi ha responsabilità distinte da quelle del fornitore. Deve saper spiegare come lo impiega, chi ne controlla i risultati e con quale versione lavora, e rispondere in modo corretto alle autorità: ripetere le garanzie commerciali del fornitore senza verificarle può costare una sanzione.

Cosa cambia per chi usa l’AI nella gestione del personale?

Dal 23 ottobre assunzioni, licenziamenti, provvedimenti disciplinari e valutazioni non possono essere decisi solo da un sistema AI: serve una persona con un potere reale di decidere, altrimenti la decisione è nulla. I lavoratori vanno informati prima e possono chiedere una spiegazione delle decisioni che li riguardano.

Come si progetta un sistema AI che regge un controllo?

Ogni controllo previsto dal decreto porta alle stesse domande: chi ha preso una decisione, con quali dati e su quale versione del sistema. Sono domande che si affrontano in fase di progettazione. Nei progetti su misura che seguiamo, tracciabilità e controllo delle versioni entrano nell’architettura fin dall’inizio, perché ricostruirli su un sistema già in produzione lascia dei vuoti, e quei vuoti emergono proprio quando qualcuno chiede conto di una decisione.

Lo stesso vale per i prodotti. Aidia Control, il nostro sistema di controllo qualità basato su visione artificiale, integra un audit trail digitale ed è GMP compliant. AVA si installa on-premise o su cloud privato europeo: dati e registri restano nel perimetro dell’azienda, e il cambio di modello linguistico è una scelta interna da approvare e documentare, non un aggiornamento deciso dal fornitore.

Nessuna piattaforma toglie a un’azienda le responsabilità che il decreto le assegna. Un’architettura progettata bene permette però di dimostrare, con date, versioni e nomi, come quelle responsabilità sono state esercitate.

Se state facendo l’inventario dei sistemi AI in uso e volete capire quali informazioni mancano, parliamone.

Fonti

• Gazzetta Ufficiale della Repubblica Italiana (2026). «Decreto legislativo 7 ottobre 2026, n. 179» - gazzettaufficiale.it
• Gazzetta Ufficiale della Repubblica Italiana (2026). «Decreto legislativo 9 settembre 2026, n. 160» - gazzettaufficiale.it
• Unione europea (2024). «Regolamento (UE) 2024/1689» (AI Act) - eur-lex.europa.eu
• Francesco Capparelli, Agenda Digitale (12 ottobre 2026). «Decreto AI 179/2026: come preparare l’impresa ai controlli» - agendadigitale.eu
• Filippo Bagni e Andrea Benvenuti, Altalex (13 ottobre 2026). «Il D.Lgs. 179/2026 attuativo dell’AI Act: poteri delle autorità, sanzioni e spazi di sperimentazione» - altalex.com