Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Un dato fotografa la situazione meglio di qualsiasi considerazione astratta: secondo l'Associazione Italiana Professionisti dell'Intelligenza Artificiale, la maggior parte delle organizzazioni italiane opera come deployer, non come fornitore, e spesso non ha ancora completato la mappatura dei sistemi in uso. Eppure gli obblighi AI Act agosto 2026 per le imprese italiane sono scattati puntualmente, senza proroghe per chi non si è organizzato in tempo.
Il 2 agosto 2026 non è stata una data simbolica. L'AI Act (Regolamento UE 2024/1689) è entrato nella fase di applicazione generale, mentre il Digital Omnibus ha rinviato gli obblighi sui sistemi ad alto rischio: al 2 dicembre 2027 per i sistemi autonomi dell'Allegato III e al 2 agosto 2028 per quelli integrati nei prodotti. Questo significa che la "finestra lunga" di cui alcune aziende hanno sentito parlare riguarda solo una parte degli obblighi — quelli relativi ai sistemi ad alto rischio — mentre altri adempimenti sono già esigibili e il regime sanzionatorio è pienamente operativo.
Due giorni dopo, la seduta del Consiglio dei Ministri del 4 agosto 2026 ha chiuso il cerchio normativo italiano. Il Consiglio dei Ministri ha approvato in via definitiva i due decreti legislativi di adeguamento all'AI Act (Regolamento UE 2024/1689). I provvedimenti, che erano stati approvati in esame preliminare nella seduta del 10 giugno e sottoposti ai pareri delle competenti Commissioni parlamentari, attuano la delega dell'articolo 24 della legge n. 132/2025 sull'intelligenza artificiale.
Cosa cambia per le aziende italiane con l'AI Act dal 2 agosto?
La prima e più immediata conseguenza riguarda la trasparenza. Dal 2 agosto l'utente deve essere informato quando interagisce direttamente con un sistema di IA, salvo che la natura artificiale dell'interazione sia evidente. Il deployer deve informare le persone quando espone il pubblico a contenuti audio, video o immagini generati o manipolati artificialmente che possono apparire autentici. L'articolo 50 del Regolamento UE 2024/1689 — che disciplina questi obblighi — è dunque già applicabile: chatbot aziendali, assistenti virtuali al cliente, generatori di contenuti sintetici utilizzati in campagne di comunicazione devono essere identificati come tali.
Sul piano della governance, l'Italia si è dotata di una cornice nazionale con la legge 132/2025, in vigore dal 10 ottobre 2025, che designa l'Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza — con poteri ispettivi e sanzionatori — e l'Agenzia per l'Italia Digitale come autorità di notifica, responsabile dell'accreditamento degli organismi che certificano la conformità dei sistemi. Non si tratta di un'architettura a sportello unico: Banca d'Italia, Consob e IVASS esercitano funzioni di vigilanza sui sistemi ad alto rischio collegati ai servizi finanziari, mentre il Garante per la privacy ha competenze sui sistemi impiegati nel contrasto, nella gestione delle frontiere, nella giustizia e nella democrazia. Per le aziende operanti in settori regolamentati, questo significa che in caso di controllo potrebbero trovarsi a rispondere davanti a più di un'autorità contemporaneamente.
Il primo decreto (Atto del Governo n. 418) si occupa dei poteri delle autorità e dell'uso dell'IA in diversi ambiti. Il decreto istituisce lo Spazio di sperimentazione italiano per l'AI — il sandbox normativo previsto dall'art. 57 dell'AI Act — gestito congiuntamente da AgID e ACN. Si tratta di uno strumento che le PMI innovative potrebbero sfruttare per testare soluzioni in un ambiente regolato prima di immetterle sul mercato — un percorso che riduce il rischio sanzionatorio in fase di sviluppo.
Quali sanzioni rischia chi viola l'AI Act in Italia?
Il quadro sanzionatorio è strutturato su tre fasce. Le violazioni dell'AI Act sono punite ai sensi dell'art. 99 con ammende fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate e fino a 15 milioni o al 3% per l'inosservanza degli altri obblighi; per PMI e start-up si applica l'importo o la percentuale inferiore tra i due. Una terza fascia, spesso trascurata nel dibattito, prevede fino a 7,5 milioni di euro o l'1,5% per informazioni false alle autorità. Per le PMI si applica il valore più basso tra cifra fissa e percentuale.
Va compreso con precisione che cosa rientra nelle "pratiche vietate" sanzionate con la forbice più alta. L'articolo 5 del Regolamento UE 2024/1689 elenca i sistemi la cui immissione sul mercato è tout court proibita: sistemi di manipolazione cognitiva subliminale, scoring sociale generalizzato da parte di soggetti pubblici, riconoscimento biometrico in tempo reale in spazi pubblici (con eccezioni tassative), identificazione biometrica retroattiva non autorizzata da autorità giudiziaria. L'AI Act è il primo quadro normativo orizzontale al mondo dedicato all'intelligenza artificiale. È stato approvato dal Parlamento europeo il 13 marzo 2024, pubblicato in Gazzetta Ufficiale UE il 12 luglio 2024, entrato in vigore il 1° agosto 2024 con applicazione progressiva.
Un profilo che gli altri commentatori tendono a sottovalutare è quello penale. I decreti introducono l'articolo 437-bis c.p., che punisce l'omessa adozione delle misure di sicurezza prescritte o l'alterazione di sistemi di IA ad alto rischio quando tali condotte creano un pericolo concreto per la vita, la sicurezza pubblica o la sicurezza dello Stato. Il passaggio da sanzione amministrativa a fattispecie penale segna un salto qualitativo: non si tratta più di risk management aziendale calibrabile su massimali percentuali, ma di responsabilità personale degli amministratori e dei responsabili della funzione tecnologica. Il brocardo summum ius summa iniuria, nella sua accezione più profonda, evoca qui un rischio reale: un'applicazione rigida della norma senza una chiara definizione giurisprudenziale delle "misure di sicurezza prescritte" potrebbe colpire chi ha agito in buona fede ma non dispone ancora di linee guida tecniche operative da parte delle autorità.
Un'azienda può licenziare un dipendente con una decisione automatizzata dell'intelligenza artificiale?
La risposta del legislatore italiano è netta. Il decreto delegato in materia di lavoro stabilisce un principio fondamentale a tutela della dignità del dipendente: le decisioni relative a costituzione, modifica o risoluzione del rapporto di lavoro — inclusi i provvedimenti disciplinari e i licenziamenti — non possono essere adottate in modo esclusivamente automatizzato. Qualsiasi scelta idonea a incidere sui diritti del lavoratore deve essere riservata a una persona fisica dotata di effettivi poteri decisionali.
La sanzione è di quelle che lasciano poco spazio alla mediazione: il licenziamento intimato in violazione del divieto di decisione esclusivamente automatizzata è nullo di diritto, ponendo un perimetro costituzionale invalicabile all'automazione aziendale. Sul piano pratico, chi ha pratica di contenzioso del lavoro sa che cosa significhi spostare una fattispecie dall'area dell'illegittimità a quella della nullità, in termini di tutela reintegratoria e di orizzonte temporale del rischio. Un licenziamento illegittimo espone al pagamento di un'indennità; un licenziamento nullo comporta la reintegrazione nel posto di lavoro e il risarcimento integrale delle retribuzioni non percepite, senza i limiti previsti dalla legge n. 92/2012 (Riforma Fornero) e dal d.lgs. n. 23/2015 (Jobs Act).
Vi è però un nodo interpretativo che il testo normativo non scioglie del tutto e che sarà terreno fertile per il contenzioso dei prossimi anni: dimostrare che una decisione è stata presa "esclusivamente" da un algoritmo non sarà sempre semplice. In molte aziende i sistemi di valutazione della performance generano report automatizzati che un responsabile HR "approva" con un click, senza reale riesame del merito. La supervisione umana puramente formale — quella del dirigente che firma il provvedimento già confezionato dal software — non soddisfa il requisito normativo. Il datore di lavoro che non può documentare un intervento umano sostanziale e autonomo nella catena decisionale si espone alla nullità dell'atto, indipendentemente dall'apposizione di una firma in calce al provvedimento.
Il datore deve informare preventivamente i lavoratori dell'uso di sistemi automatizzati, mentre il dipendente ha diritto di ottenere una spiegazione intelligibile della decisione e del ruolo giocato dall'intelligenza artificiale. Questo diritto alla spiegazione — che richiama il diritto alla motivazione del provvedimento — si aggiunge agli strumenti di tutela già previsti dallo Statuto dei Lavoratori e dalla normativa sulla protezione dei dati personali (art. 22 del GDPR), creando un arsenale difensivo del lavoratore che i datori di lavoro non possono ignorare nella costruzione dei propri processi HR.
Vale richiamare, a questo proposito, il monito di Norberto Bobbio: la democrazia non è solo il governo della maggioranza, ma è anzitutto il governo delle regole che proteggono chi è più debole nella relazione. Applicato al rapporto di lavoro nell'era algoritmica, il principio suona come un preciso mandato normativo: la velocità del processo automatizzato non può divorziare dalla responsabilità umana della decisione.
Cosa devono fare concretamente le imprese in questo momento? Prima di tutto, censire ogni sistema di IA in uso — compresi quelli adottati informalmente da singoli reparti senza una delibera aziendale. Poi classificarne il profilo di rischio rispetto all'Allegato III del Regolamento UE 2024/1689 e verificare se gli obblighi di trasparenza già vigenti (art. 50) siano stati rispettati. Sul fronte del lavoro, è urgente rivedere i processi HR per garantire che la supervisione umana sulle decisioni relative al personale sia sostanziale e documentabile, non meramente formale. Prima dell'avvio di qualunque trattamento algoritmico, il datore di lavoro deve assolvere precisi obblighi informativi.
La distinzione tra fornitore e deployer è in questo quadro cruciale: il fornitore è chi sviluppa e immette sul mercato il sistema di IA; il deployer è chi lo utilizza nell'ambito della propria attività. La maggior parte delle PMI italiane si trova nella seconda categoria, e spesso sottovaluta i propri obblighi ritenendo che la conformità spetti al produttore del software. Non è così: il Regolamento UE 2024/1689 impone obblighi diretti e autonomi al deployer, che risponde della corretta applicazione del sistema nel proprio contesto operativo. La non conformità espone a due rischi paralleli: sanzioni dirette dall'autorità di vigilanza, e possibile decadenza del beneficio in sede di controllo se il bando include clausole generali di rispetto della normativa vigente — un profilo particolarmente rilevante per chi ha ottenuto contributi pubblici per l'adozione di tecnologie digitali.
Il quadro normativo che emerge dall'agosto 2026 è dunque più articolato di quanto la comunicazione mainstream abbia restituito. Non si tratta di un "grande fratello" che scatta il 2 agosto e blocca i sistemi non conformi: si tratta di un sistema di vigilanza che si sta attivando, con autorità che devono ancora consolidare le proprie prassi operative e linee guida, ma con un regime sanzionatorio già pienamente attivabile. La finestra per adeguarsi in modo proattivo, documentato e difendibile si sta chiudendo: agire ora, costruendo un fascicolo di conformità solido, è la posizione più razionale — e giuridicamente più sicura.
Redazione - Staff Studio Legale MP
