L’Italia accelera sull’AI Act: primo pacchetto attuativo in Europa

Ma la vigilanza non è esclusiva. Per i settori regolamentati - banche, finanza, assicurazioni - le competenze restano in capo alle autorità di settore: Banca d’Italia, Consob e Ivass mantengono la supervisione sui sistemi ad alto rischio che operano nei rispettivi ambiti. Una scelta che riflette la complessità del panorama regolatorio italiano, ma che crea anche potenziali sovrapposizioni.

Per gestire i possibili conflitti, il pacchetto prevede un Comitato di coordinamento presso la Presidenza del Consiglio e un tavolo tecnico presso il ministero delle Imprese. Segnali che la difficoltà di equilibri tra amministrazioni ha caratterizzato l’intera stesura dei decreti.

Il potere sanzionatorio è significativo. Sia Agid che Acn potranno emettere le sanzioni amministrative pecuniarie previste dall’articolo 99 dell’AI Act in caso di violazione del divieto di pratiche illecite.

L’importo massimo è allineato al regolamento europeo: fino a 35 milioni di euro o, per le imprese, fino al 7% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Una soglia che rende le sanzioni potenzialmente molto più pesanti di quelle previste dal Gdpr per le violazioni della privacy, e che dovrebbe incentivare le aziende a prendere sul serio la compliance.

Sul fronte del lavoro, il decreto introduce tutele specifiche per l’impiego di sistemi decisionali automatizzati. Il principio cardine è la nullità delle decisioni che riguardano i rapporti di lavoro - compresi i licenziamenti - adottate esclusivamente sulla base di un trattamento automatizzato effettuato mediante sistemi di intelligenza artificiale.

La norma non vieta l’uso dell’AI nei processi decisionali, ma impone che la decisione finale resti umana. Un approccio coerente con il principio di antropocentrismo che attraversa l’intero impianto normativo: l’intelligenza artificiale come supporto, non come sostituto del giudizio umano.

Il decreto istituisce inoltre un osservatorio specifico per monitorare l’impatto dell’AI sulla tutela dei lavoratori e introduce l’obbligo di includere i sistemi di intelligenza artificiale nell’ambito della valutazione dei rischi prevista dal Testo unico sulla sicurezza sul lavoro.

Per i professionisti, l’articolo 48 sancisce la garanzia dell’equo compenso per le prestazioni che comportano l’utilizzo di sistemi di AI, con una maggiorazione ancorata alla classificazione del rischio ai sensi dell’AI Act. La maggiorazione è però inserita come possibilità e rimessa a un aggiornamento, entro dodici mesi, dei decreti sui parametri per la liquidazione dei compensi professionali.

Il punto più sensibile del pacchetto riguarda l’uso della biometria da parte delle forze dell’ordine. Il riconoscimento facciale con l’aiuto dell’intelligenza artificiale entra negli stadi, nei grandi eventi e nelle attività preventive di polizia.

Il decreto distingue due scenari con regole diverse. Da una parte c’è l’identificazione in tempo reale nei luoghi pubblici per finalità di prevenzione: consentita solo in casi eccezionali, quando sussiste pericolo o minaccia legata al terrorismo o ad altri reati di particolare allarme sociale, oppure per la ricerca di persone scomparse, vittime di sequestro, tratta o sfruttamento sessuale. Serve l’autorizzazione del procuratore, su richiesta del questore o dei comandanti provinciali.

C’è inoltre la fattispecie legata al riconoscimento a posteriori: i sistemi di videosorveglianza integrati con AI possono essere installati in luoghi ed eventi con esigenze di ordine pubblico — stadi, grandi manifestazioni, accessi regolati da titoli. I dati biometrici degli accessi possono essere conservati localmente per sette giorni. Il riconoscimento facciale può scattare dopo un reato, anche tentato, per individuare persone già indiziate sulla base di immagini video-fotografiche. La responsabilità è dell’ufficiale di pubblica sicurezza designato dal questore.

Il ministro dell’Interno Matteo Piantedosi ha precisato che «non c’è nessun grande fratello generalizzato» e che «l’intelligenza artificiale è un supporto e non è un poliziotto automatizzato. Le decisioni restano umane». I risultati automatici, prima di entrare in atti capaci di incidere sui diritti delle persone, devono passare per una revisione umana qualificata e tracciabile.

Restano vietate le banche dati biometriche costruite attraverso scraping indiscriminato dal web o da telecamere.

Il pacchetto disciplina anche gli spazi di sperimentazione normativa, le cosiddette sandbox regolatorie. Sarà possibile condurre la sperimentazione e la validazione di sistemi di AI in deroga a norme e regimi autorizzativi, in condizioni controllate, sotto la supervisione di Agid e Acn.

La misura è stata oggetto di limature fino all’ultimo per stabilire un coordinamento con la sperimentazione fintech che fa capo al Ministero dell’Economia. Un segnale delle tensioni tra amministrazioni che hanno accompagnato l’intero processo.

Novità anche sul fronte della proprietà intellettuale. Gli algoritmi impiegati per l’addestramento di sistemi di AI saranno tutelabili come segreti commerciali, offrendo alle imprese uno strumento di protezione per gli investimenti in ricerca e sviluppo.

Il decreto integra inoltre le disposizioni per l’alfabetizzazione digitale nei percorsi scolastici e universitari, e aggiorna le norme sul diritto d’autore tutelando l’ingegno e il pensiero critico umano.

I due decreti dovranno ora passare al vaglio delle commissioni parlamentari e della Conferenza unificata. Altri decreti, soprattutto su temi di sanità e giustizia, dovranno completare il quadro.

Con un Dpcm parallelo, il Governo ha nominato il nuovo gruppo di esperti chiamati ad aggiornare la Strategia nazionale per l’intelligenza artificiale con orizzonte 2026-2028. Il Comitato, coordinato da Gianluigi Greco e composto da tredici membri, opererà fino al 31 gennaio 2027 a titolo gratuito.

La nuova strategia avrà un focus più orientato allo sviluppo dell’ecosistema economico e tecnologico rispetto alla legge. Ma la tabella di marcia fa presagire che arriverà solo a ridosso della fine della legislatura: la fase di implementazione ricadrà inevitabilmente sul prossimo Governo.

Nel frattempo, il pacchetto Digital Omnibus della Commissione europea ha previsto semplificazioni e il rinvio — tra dicembre 2027 e agosto 2028 — dell’applicazione delle regole per i sistemi ad alto rischio, che sono richiamati in diversi passaggi dei decreti italiani. La normativa nazionale potrebbe quindi aver bisogno di aggiornamenti prima ancora di essere pienamente operativa.

L’Italia ha scelto di muoversi per prima. Se questo si tradurrà in un vantaggio competitivo o in un handicap regolatorio dipenderà dalla capacità di adattare rapidamente il quadro nazionale all’evoluzione delle norme europee e dalla velocità con cui imprese e pubbliche amministrazioni sapranno adeguarsi a regole che, per la prima volta, rendono l’intelligenza artificiale un oggetto di diritto.