Dal 23 ottobre 2026 c'è un decreto in più sull'intelligenza artificiale. Si chiama D.Lgs. 7 ottobre 2026, n. 179, è comparso nella Gazzetta Ufficiale n. 234 dell'8 ottobre e dice come l'Italia applica l'AI Act europeo: chi controlla, chi sanziona, come si fa sperimentazione. Se hai una piccola impresa e usi l'IA per scrivere offerte o smistare le email, la domanda che hai in testa è una: "devo preoccuparmi?". Risposta breve: devi saperlo, il panico puoi lasciarlo a casa.
Che cosa è successo, in breve?
Il decreto è entrato in vigore il 23 ottobre 2026 (testo ufficiale su Normattiva). Secondo ai4business non cambia le date di applicazione dell'AI Act europeo: l'impianto resta quello del regolamento, il decreto ne organizza l'esecuzione in Italia.
Il testo indica due autorità nazionali per l'intelligenza artificiale, AgID e ACN (l'Agenzia per la cybersicurezza nazionale). Nel dettaglio:
- l'ACN vigila sul mercato per i sistemi di IA ed è il punto di contatto unico con le istituzioni europee;
- l'AgID è l'autorità di notifica, cioè quella che si occupa degli organismi che valutano la conformità;
- Banca d'Italia, Consob e IVASS mantengono le competenze nei rispettivi settori;
- il Garante per la protezione dei dati personali interviene nei casi previsti dal regolamento.
C'è anche lo "Spazio di sperimentazione italiano per l'IA", un ambiente controllato gestito da AgID e ACN dove chi sviluppa sistemi può provarli prima del lancio. I criteri di accesso arriveranno con provvedimenti successivi.
Quali multe prevede il decreto?
Le cifre sono quelle che circolano da mesi, richiamate dall'articolo 23. Fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate. Fino a 15 milioni o al 3% per la violazione di una serie di articoli del regolamento. Fino a 7,5 milioni o all'1% per informazioni inesatte o fuorvianti date alle autorità. Fino a 1 milione o allo 0,5% per altre due violazioni specifiche.
Lette da una ditta con tre dipendenti sembrano il montepremi di una lotteria che nessuno vuole vincere. Sono però tetti massimi, pensati per i casi più gravi. Per le PMI e le microimprese il decreto rimanda all'articolo 99, paragrafo 6, del regolamento europeo. Per le violazioni di lieve entità, l'articolo 22 prevede che l'autorità possa ordinare di smettere o chiedere una dichiarazione pubblica al posto della multa.
Cosa cambia se usi l'IA per decidere sulle persone?
Secondo l'analisi di Noze, l'articolo 41 stabilisce che la decisione finale su assunzioni, cambi di mansione, licenziamenti, provvedimenti disciplinari e valutazioni della prestazione non può poggiare solo su un trattamento automatico. Serve una persona che eserciti un potere effettivo e autonomo. La stessa analisi precisa che la selezione iniziale dei curriculum non è considerata decisione finale.
Esempio ipotetico: uno studio di consulenza usa un programma che dà un punteggio alle candidature. Come aiuto per ordinare cento curriculum può andare bene. Quando si decide chi chiamare al colloquio e poi chi assumere, deve esserci una persona in carne e ossa che sa spiegare perché. "Me lo ha detto il programma" non è una spiegazione, è un alibi. Il testo dell'articolo 41 è da leggere in Gazzetta Ufficiale prima di applicarlo al tuo caso.
Cosa conviene fare questa settimana?
- Fai l'elenco degli strumenti di IA che si usano in azienda, compresi quelli "provati una volta" da un collaboratore e rimasti con la carta di credito aziendale collegata.
- Accanto a ognuno scrivi a cosa serve e che dati ci finiscono dentro: nomi dei clienti, contratti, buste paga, preventivi.
- Dove l'IA tocca persone (candidati, dipendenti, clienti), segna chi prende davvero la decisione finale.
- Controlla che chi usa questi strumenti sappia cosa può e non può incollare in una chat. L'articolo 4 dell'AI Act chiede un livello sufficiente di alfabetizzazione sull'IA: ne parliamo nella guida Alfabetizzazione IA: cos'è e cosa deve fare la tua azienda.
- Se i dati sono delicati, valuta se serve un'IA che giri sui tuoi computer: la trovi spiegata in IA in locale: cos'è e perché conta per la privacy.
Se ti serve il quadro dell'altro decreto uscito in autunno, quello sul reato e sulla responsabilità 231, c'è Decreto IA 160/2026: cosa devono sapere le piccole imprese.
Quando puoi stare più tranquillo?
Se l'IA ti serve per riscrivere un post, riassumere una riunione o abbozzare una newsletter, senza dati di persone e senza decisioni su nessuno, il decreto non ti cambia la giornata. Basta sapere cosa usi e rileggere sempre ciò che l'IA scrive. Questo articolo racconta una norma e non è una consulenza legale: per il tuo caso specifico senti il tuo consulente.
Come ti aiuta Sarabi.Cloud
Sulla pagina formazione sull'AI Act trovi il nostro percorso per le aziende. Tre moduli (uso sicuro dell'IA, errori e pregiudizi dei modelli, privacy e regole applicate al lavoro di tutti i giorni), un test finale, un registro di accessi e presenze e attestati nominativi. Si può fare in e-learning, in aula o in videoconferenza, oppure in formula mista. I moduli base richiedono dalle tre alle sei ore a persona e il preventivo arriva dopo una call di venti minuti. Un'avvertenza che scriviamo anche sulla pagina: una certificazione ufficiale di alfabetizzazione IA non esiste, quello che consegniamo è documentazione da mostrare a un'autorità o a un consulente.
Non sai da dove cominciare? Scrivi a info@sarabi.cloud: raccontaci in due righe quali strumenti di IA usate e chi li usa, ti diciamo da dove partire.
Fonti: Normattiva, D.Lgs. 7 ottobre 2026, n. 179; Assolombarda, D.Lgs. 179 del 7 ottobre 2026; ai4business, Decreto italiano AI Act; Noze, Decreto 179/2026: autorità AI, sanzioni, lavoro e formazione.
Hai un caso simile o un dubbio? Scrivici a info@sarabi.cloud.