Decreti attuativi della legge sull'IA: cosa cambia per lavoro e professioni

Aggiornato a novembre 2026. Tra settembre e ottobre 2026 sono stati pubblicati i decreti attuativi della legge IA: la Legge 132/2025 ha ora le norme che la rendono operativa e che adeguano l'ordinamento italiano all'AI Act. Per le imprese i cambiamenti più concreti riguardano tre aree: le decisioni sul personale, la responsabilità quando un sistema di IA causa un danno e la formazione. Vediamole con ordine, distinguendo ciò che è certo da ciò che va ancora approfondito.

I due decreti attuativi della legge IA

Il D.Lgs. 179/2026 designa AgID e ACN come autorità nazionali per l'IA e indica come autorità di vigilanza del mercato, oltre all'ACN, Banca d'Italia, CONSOB, IVASS e Garante per la protezione dei dati personali, ciascuna nel proprio ambito.

Lavoro: le decisioni non possono essere solo automatiche

Il punto più rilevante per chi gestisce persone riguarda le decisioni sul rapporto di lavoro. Secondo le prime analisi del testo, le decisioni finali su assunzione, modifica e cessazione del rapporto, compresi provvedimenti disciplinari e valutazioni delle prestazioni, non possono basarsi unicamente su un trattamento automatizzato; il consenso del lavoratore non basta a superare il divieto e le decisioni adottate in violazione sono nulle (NicFab).

Non significa che l'IA sia vietata nella gestione del personale. Significa che una persona con poteri decisionali deve valutare davvero, e che questo deve risultare. Nella pratica:

• documenta chi prende la decisione finale e su quali elementi;
• evita che il punteggio di un sistema diventi automaticamente esito;
• conserva traccia delle verifiche umane, soprattutto su valutazioni e provvedimenti.

Restano validi gli obblighi già in vigore: l'informativa ai lavoratori prevista dalla Legge 132/2025 e, per i sistemi di selezione, la classificazione ad alto rischio dell'AI Act. Ne ho scritto nell'articolo sull'IA nella selezione del personale.

Responsabilità civile: documentare diventa una difesa

Il D.Lgs. 160/2026 cambia il modo in cui si discute in giudizio di un danno causato da un sistema di IA (EC News):

• il giudice può ordinare l'esibizione di registri, documentazione sulla gestione del rischio e dati sulla supervisione umana;
• se il danno deriva dalla violazione di obblighi dell'AI Act, il nesso causale si presume, salvo prova contraria;
• la conformità del sistema, anche certificata, non esclude di per sé la responsabilità;
• il danneggiato può agire direttamente contro l'assicuratore;
• l'omessa sorveglianza umana su sistemi ad alto rischio può avere rilievo penale e, attraverso il D.Lgs. 231/2001, anche per l'ente.

Il decreto concede un anno dall'entrata in vigore per adeguare i sistemi già in uso o in sviluppo. Per un'azienda il messaggio operativo è chiaro: log, inventario dei sistemi, registri delle verifiche umane e contratti con i fornitori non sono burocrazia, sono la prova della propria diligenza.

Professioni: formazione obbligatoria e responsabilità che resta

Per i professionisti il D.Lgs. 179/2026 prevede percorsi sull'IA nella formazione iniziale e continua, con un monte ore minimo definito dagli ordini, e conferma un principio già presente nella Legge 132/2025: la responsabilità della prestazione resta del professionista e non si trasferisce allo strumento. Resta in vigore anche l'obbligo, previsto dalla legge, di informare il cliente sui sistemi di IA utilizzati.

Segreti commerciali e sperimentazione

Due novità interessano chi sviluppa o addestra sistemi. Dati, algoritmi e metodi usati per l'addestramento possono rientrare tra le informazioni aziendali riservate tutelate dal codice della proprietà industriale, se ne ricorrono le condizioni. E lo spazio di sperimentazione nazionale, gestito da AgID e ACN, dà priorità a PMI e startup.

Sanzioni

Per le violazioni più gravi i massimali coincidono con quelli dell'AI Act. Le analisi del testo pubblicato segnalano anche una fascia nazionale più bassa per alcuni obblighi specifici e misure non pecuniarie per le violazioni di scarsa offensività. Gli importi esatti vanno letti sul testo in Gazzetta: le prime sintesi del comunicato del Consiglio dei ministri non coincidono in tutto con il testo pubblicato.

Checklist per l'azienda

1. Aggiorna l'inventario dei sistemi di IA, indicando per ognuno il fornitore, l'uso e chi supervisiona.
2. Rivedi i processi HR in cui un sistema produce punteggi, classifiche o proposte di decisione.
3. Verifica i contratti con i fornitori di IA: accesso ai log, documentazione tecnica, collaborazione in caso di contenzioso.
4. Controlla la polizza di responsabilità civile alla luce dell'azione diretta contro l'assicuratore.
5. Aggiorna la policy interna e il piano di formazione, partendo dalla policy aziendale sull'IA.

Un esempio: la valutazione delle prestazioni

Esempio ipotetico: un'azienda usa un sistema che analizza i dati di produttività dei venditori e assegna a ciascuno un punteggio trimestrale, usato per decidere premi e piani di miglioramento.

Con le nuove norme, il sistema può continuare a essere usato come supporto. Ma la decisione su premi e provvedimenti deve essere presa da un responsabile che valuta il punteggio insieme ad altri elementi: contesto di mercato, assenze giustificate, obiettivi assegnati. E questa valutazione deve risultare, per esempio in una scheda in cui il responsabile annota le proprie considerazioni.

Se il punteggio diventa automaticamente esito, senza un intervento umano reale, la decisione è esposta alla nullità. Se invece il sistema è uno degli elementi di una valutazione documentata, l'azienda può dimostrare di averlo usato correttamente.

Cosa chiedere ai fornitori di sistemi di IA

Il nuovo quadro sulla responsabilità civile rende più importante il rapporto con i fornitori. In caso di contenzioso l'azienda che usa il sistema deve poter produrre log, documentazione tecnica e informazioni sulla supervisione. Nei contratti conviene quindi prevedere:

• l'accesso ai registri di funzionamento per un periodo adeguato;
• la consegna della documentazione tecnica e delle istruzioni d'uso;
• l'impegno a collaborare in caso di richiesta del giudice o dell'autorità;
• la ripartizione delle responsabilità in caso di malfunzionamento;
• garanzie sul rispetto degli obblighi dell'AI Act da parte del fornitore.

Molti contratti standard dei grandi fornitori non sono negoziabili. In quel caso è ancora più importante che l'azienda conservi in proprio le prove della supervisione umana.

Cosa non cambia

Per evitare allarmismi, vale la pena dire anche cosa resta uguale. L'AI Act resta il riferimento principale e i decreti non ne modificano il calendario: gli obblighi per i sistemi ad alto rischio previsti dall'Allegato III restano fissati al 2 dicembre 2027, dopo il rinvio del Digital Omnibus. L'obbligo di alfabetizzazione sull'IA è in vigore dal febbraio 2025 e gli obblighi di trasparenza dall'agosto 2026. I decreti italiani si innestano su questo impianto: definiscono chi vigila, come si sanziona e come si applicano i principi in ambiti nazionali come lavoro, professioni e giustizia.

Per un'azienda che ha già avviato inventario, policy e formazione, il lavoro non riparte da zero: si aggiungono alcune verifiche mirate, soprattutto su processi HR e contratti.

Cosa fare adesso

I decreti attuativi della legge IA spostano l'attenzione dal «possiamo usarla?» al «sappiamo dimostrare come la usiamo?». Il primo passo concreto è l'inventario: senza un elenco dei sistemi e di chi li supervisiona nessuna delle altre azioni è possibile. Per un quadro della tua situazione puoi usare l'autovalutazione AI Act; se vuoi impostare governance e documentazione in modo proporzionato, trovi il metodo nella pagina sulla consulenza AI Act.