AI Act e compliance

AI Act in Italia: Legge 132/2025 e il decreto attuativo

L'Italia ha recepito l'AI Act con la Legge 132/2025, già in vigore. I dettagli operativi arrivano con un decreto attuativo, a luglio 2026 ancora in bozza: distinguere ciò che è legge da ciò che è proposta.

luglio 2026

In una frase

L'AI Act (Reg. UE 2024/1689) è la legge europea. L'Italia lo ha recepito con la Legge 132/2025, già in vigore, che fissa i principi e le autorità competenti. I dettagli operativi — sanzioni, sandbox, uso da parte della polizia, responsabilità — arrivano con un decreto attuativo, che a luglio 2026 è ancora in bozza. Distinguere cosa è già legge da cosa è ancora proposta è il primo passo per non farsi confondere.

Il quadro in due pezzi

LEGGE 132/2025        →  già in vigore dal 10/10/2025
(principi + deleghe)      autorità competenti, nuovo reato deepfake

DECRETO ATTUATIVO     →  ancora in bozza a luglio 2026
(dettagli operativi)      iter parlamentare fino ad agosto 2026
Tutto quello che leggi sotto la voce "decreto attuativo" può ancora cambiare prima dell'approvazione definitiva. Verifica sempre lo stato più aggiornato prima di prendere decisioni vincolanti.

Chi vigila: due autorità, non sei

Un errore comune è pensare che in Italia vigilino sull'AI sei enti diversi in parallelo. Non è così: la Legge 132/2025 (art. 20) designa solo due Autorità nazionali per l'intelligenza artificiale.

AutoritàRuolo
AgID (Agenzia per l'Italia Digitale)promozione, sviluppo, accreditamento e monitoraggio degli organismi di valutazione conformità
ACN (Agenzia Cybersicurezza Nazionale)vigilanza di mercato, poteri sanzionatori sul fronte sicurezza

Garante Privacy, AGCOM, Banca d'Italia, Consob e IVASS non diventano "autorità AI": mantengono semplicemente le competenze che avevano già nei rispettivi ambiti (dati personali, contenuti digitali, vigilanza finanziaria).

La novità che l'Europa non ha: un reato specifico per i deepfake

L'AI Act europeo resta sul piano amministrativo (multe). L'Italia va oltre: introduce un nuovo reato, l'art. 612-quater del codice penale — reclusione da 1 a 5 anni per chi, senza consenso, cede, pubblica o diffonde immagini, video o voci falsificate con l'AI in modo da ingannare sulla loro autenticità, causando un danno. È inoltre prevista un'aggravante (art. 61 n. 11-decies c.p.) per reati già esistenti — tra cui manipolazione del mercato — commessi con l'uso dell'AI.

Cosa prevede (in bozza) il decreto attuativo

Il 10 giugno 2026 il Consiglio dei Ministri ha approvato in via preliminare due schemi di decreto, ora all'esame delle Camere (pareri attesi tra metà e fine agosto 2026). Ecco i punti principali:

AmbitoCosa cambia
Lavoroun licenziamento deciso solo da un algoritmo è nullo — l'ultima parola spetta sempre a una persona (principio già in vigore, è nella Legge 132/2025 stessa)
Scuolacomitati tecnico-etici territoriali, i docenti restano decisori del percorso pedagogico, fondi (100-200 milioni € a seconda della fonte) per formare i docenti
Ordini professionaliobbligo di inserire l'alfabetizzazione AI nella formazione (6 mesi per adeguare i regolamenti); intervento sull'equo compenso, comprese le tariffe forensi (12 mesi)
Poliziaidentificazione biometrica ammessa solo per minacce imminenti, persone scomparse o ricerca di latitanti, con autorizzazione giudiziale di massimo 15 giorni
Responsabilità civilein caso di danno da un sistema AI, presunzione relativa del nesso di causalità: alleggerisce (senza eliminarlo) l'onere della prova per il danneggiato
Responsabilità penalenuovo reato (art. 437-bis c.p.) per chi omette le misure di sicurezza di un sistema AI ad alto rischio: 1-5 anni, fino a 10 se il pericolo riguarda la sicurezza dello Stato — è anche reato presupposto per la responsabilità 231 delle aziende
Sandboxnasce lo "Spazio di sperimentazione italiano per l'IA", gestito insieme da AgID e ACN

Cosa fare oggi, senza aspettare il decreto

I principi della Legge 132/2025 sono già legge, indipendentemente dal decreto: il primato della decisione umana su lavoro e diritti fondamentali vale da subito. Il consiglio pratico per una PMI o un professionista italiano:

  1. Non aspettare il decreto per iniziare — mappa dove usi l'AI, come richiesto anche dall'AI Act europeo (vedi la nostra guida sull'AI Act).
  2. Se hai un sistema AI ad alto rischio, tieni traccia della documentazione tecnica: con la nuova responsabilità civile/penale italiana, potrebbe diventare prova in un contenzioso, non solo un dettaglio da ufficio legale.
  3. Monitora l'approvazione definitiva del decreto (attesa non prima di fine agosto 2026) prima di considerare vincolanti i dettagli sopra.

In sintesi

  • La Legge 132/2025 è già in vigore: due autorità (AgID + ACN), nuovo reato deepfake (art. 612-quater c.p.).
  • Il decreto attuativo è ancora in bozza a luglio 2026: lavoro, scuola, ordini professionali, polizia, responsabilità civile e penale, sandbox.
  • Il principio più rilevante per le imprese — nessun licenziamento deciso solo da un algoritmo — è già legge, non attende il decreto.

Fonti

  • Legge 132/2025: Gazzetta Ufficiale, Serie Generale n. 223 del 25/09/2025 — gazzettaufficiale.it
  • Nuovo reato deepfake: art. 612-quater c.p., introdotto dalla L. 132/2025
  • EU AI Act: Regolamento (UE) 2024/1689 — EUR-Lex

Materiale informativo a cura di Rayer Group. Non costituisce consulenza tecnica o legale personalizzata: per il caso concreto valutiamo insieme la situazione specifica.

Vuoi capire come può essere utile alla tua impresa?

Mezz'ora di confronto per capire cosa di tutto questo ha senso nel tuo caso concreto — e da dove conviene partire.

Prenota una call di approfondimento →