Decreto IA 179/2026: chi controlla, quanto si rischia e cosa cambia al lavoro

Se negli ultimi giorni hai letto titoli come “IA, da oggi multe fino al 7% del fatturato”, sappi che sono veri solo a metà. Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre e in vigore dal 23 ottobre 2026, non inventa nuovi divieti: quelli li aveva già scritti l’Europa con l’AI Act. Quello che fa è più pratico e, per certi versi, più importante. Decide chi in Italia va a bussare alla porta di un’azienda che usa male l’intelligenza artificiale, con quali poteri e con quali sanzioni. Più alcune regole tutte italiane sul lavoro che faranno discutere parecchio.

Ho letto le prime analisi del testo e messo in fila quello che serve sapere, separando le cose già operative da quelle che arriveranno con i decreti attuativi.

Da dove arriva questo decreto

Il percorso è questo: il regolamento europeo sull’IA (l’AI Act, di cui abbiamo parlato nella guida su cosa cambia con l’AI Act) lascia a ogni Stato il compito di nominare le proprie autorità e di fissare le sanzioni. L’Italia lo ha fatto in due tempi: prima con la legge 132/2025, che conteneva una delega al Governo, poi con i decreti attuativi. Il 179/2026 è il secondo, dopo il D.Lgs. 160/2026 che riguardava soprattutto l’uso dell’IA da parte delle forze di polizia.

Chi controlla: ACN, AgID e le autorità di settore

Il punto centrale è la mappa delle competenze. Semplificando:

• ACN (Agenzia per la cybersicurezza nazionale) è l’autorità di vigilanza del mercato e il punto di contatto unico con Bruxelles. In concreto: può chiedere documenti, fare ispezioni e adottare misure contro un sistema non conforme.
• AgID è l’autorità di notifica: valuta e sorveglia gli organismi che certificano i sistemi di IA ad alto rischio. Toccherà a lei anche scrivere il regolamento sul procedimento sanzionatorio.
• Banca d’Italia, CONSOB e IVASS restano competenti quando un sistema ad alto rischio è usato da banche, intermediari finanziari e assicurazioni. Pensa ai modelli che valutano il merito creditizio o calcolano il premio di una polizza.
• Il Garante privacy entra in gioco solo nei casi specifici previsti dall’AI Act (art. 74, par. 8), quindi non è il controllore generale dell’IA come qualcuno aveva ipotizzato.

C’è poi un Comitato di coordinamento presso la Presidenza del Consiglio, che dovrà evitare il classico scaricabarile tra enti.

Le sanzioni: i numeri veri

I massimali ricalcano quelli europei:

• fino a 35 milioni di euro o il 7% del fatturato mondiale annuo (se superiore) per l’uso di pratiche vietate, come il punteggio sociale dei cittadini o la manipolazione che sfrutta le vulnerabilità delle persone;
• fino a 15 milioni o il 3% per la violazione degli altri obblighi a carico di fornitori e utilizzatori;
• fino a 7,5 milioni per chi fornisce informazioni inesatte alle autorità.

C’è però una fascia tutta nazionale, molto più bassa: fino a 1 milione di euro o lo 0,5% del fatturato per chi non rispetta l’obbligo di valutazione d’impatto sui diritti fondamentali o il diritto di una persona a ricevere una spiegazione su una decisione presa con l’IA. Per le violazioni di scarsa offensività sono previste misure non pecuniarie.

Due precisazioni che vedo spesso saltare. La prima: sono importi massimi, non multe automatiche. La seconda, più curiosa: il comunicato del Consiglio dei ministri che aveva approvato il decreto parlava di massimali più bassi e di una clausola che rinviava l’applicazione delle sanzioni. Nel testo pubblicato in Gazzetta né l’una né l’altra cosa ci sono. Se hai letto articoli scritti sulla base del comunicato, quei numeri vanno ricontrollati.

Il capitolo lavoro: l’algoritmo non può licenziare

Qui il decreto va oltre l’AI Act ed è la parte che interessa più persone. L’articolo 41 stabilisce che le decisioni finali su assunzione, modifica e cessazione del rapporto di lavoro, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non possono basarsi unicamente su un trattamento automatizzato. Serve un intervento umano effettivo, non una firma messa in fondo a un report.

Tre dettagli fanno la differenza:

1. Il consenso del lavoratore non basta. Un’azienda non può aggirare il divieto facendo firmare una liberatoria.
2. Le decisioni prese in violazione sono nulle, licenziamento compreso. È una conseguenza pesante, ben diversa da una semplice multa.
3. La fase di ricerca e selezione dei candidati è esclusa dal concetto di “decisione finale”. Tradotto: un software può ancora fare una prima scrematura dei CV, ma la scelta di chi assumere deve restare a una persona.

Il decreto aggiunge inoltre che i rischi legati ai sistemi di IA devono entrare nella valutazione dei rischi aziendale (art. 42), accanto a quelli tradizionali per la salute e la sicurezza.

Formazione: scadenze già fissate

Un altro blocco riguarda la formazione, con scadenze precise che partono dal 23 ottobre:

• entro il 21 gennaio 2027 devono arrivare il piano di formazione dei docenti e il decreto del Ministero dell’istruzione sulla formazione in materia di IA;
• entro il 23 aprile 2027 gli ordini professionali devono inserire percorsi sull’IA nella formazione continua, con un monte ore minimo, e una quota dei crediti ECM dei sanitari sarà dedicata all’IA;
• entro il 23 ottobre 2027 vanno definiti i parametri per modulare l’equo compenso dei professionisti in base alla classe di rischio del sistema usato.

Cosa fare adesso se hai un’azienda o uno studio

Il panico non serve, ma qualche compito a casa sì. Il mio consiglio è partire da tre cose concrete:

1. Fai l’inventario. Elenca tutti gli strumenti con funzioni di IA che usi, compresi quelli “nascosti” dentro software gestionali, CRM e piattaforme HR. Molti non sanno nemmeno di averli.
2. Controlla dove l’IA tocca le persone. Selezione del personale, valutazioni, turni, concessione di credito: sono le aree in cui scattano gli obblighi più pesanti e, ora, la nullità delle decisioni.
3. Metti per iscritto chi decide. Per ogni processo in cui un sistema suggerisce qualcosa, indica chi verifica e con quale margine reale di modifica. Se in caso di ispezione non sai dimostrare l’intervento umano, è come se non ci fosse.

Molti pezzi devono ancora arrivare: il regolamento AgID sulle sanzioni, i decreti sullo spazio di sperimentazione gestito da AgID e ACN (con priorità per PMI e startup) e il DPCM sui costi della vigilanza. Ne riparleremo quando saranno pubblicati.

Fonti: Gazzetta Ufficiale n. 234 dell’8 ottobre 2026; NicFab, panoramica del D.Lgs. 179/2026; TGWEBAI.