#Finsubito news dalla rete – poteri delle autorità, sanzioni e spazi di sperimentazione

Introduzione

Il D.Lgs. 7 ottobre 2026, n. 179 (pubblicato in Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026), reca l’“Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) n. 2024/1689 […] in materia di poteri delle autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione”. Il titolo evidenzia già i due assi del provvedimento: i poteri delle autorità nazionali ed il settore della formazione.

Il decreto è stato adottato in attuazione dell’art. 24, L. 23 settembre 2025, n. 132 (di seguito “legge IA”) e, più a monte, del regolamento (UE) n. 2024/1689 (di seguito “regolamento IA” o “AI Act”), che ne costituisce la base giuridica generale. Il testo è composto da 54 articoli, ripartiti in cinque Capi.

Il Capo I (art. 1) reca le disposizioni generali e le definizioni. Il Capo II (artt. 2–35), il più esteso, disciplina: i poteri delle autorità nazionali per l’intelligenza artificiale, le autorità di notifica e di vigilanza del mercato, il sistema sanzionatorio, gli spazi di sperimentazione normativa e le modifiche alla normativa di settore. Il Capo III (artt. 36–51) riguarda l’uso dell’IA nei percorsi formativi, nelle professioni, nel lavoro, nel settore sanitario e nella pubblica amministrazione. Il Capo IV (artt. 52–53) introduce una modifica all’art. 98, Codice della proprietà industriale (D.Lgs. 10 febbraio 2005, n. 30) relativa alle informazioni aziendali e alle esperienze tecnico-industriali riguardanti dati, algoritmi e metodi matematici. Infine, il Capo V (art. 54) contiene una clausola di invarianza finanziaria.

Il decreto è il risultato di un iter che ha visto diverse versioni, con modifiche anche rilevanti. Data l’ampiezza della materia trattata, in questa sede ci si limiterà a segnalare alcuni elementi di fondo e a fornire una panoramica dei singoli Capi, senza la pretesa di offrire una trattazione esaustiva di ogni singola disposizione.

In via preliminare, la nozione stessa di “formazione” merita un appunto. Infatti, nel titolo, l’utilizzo di tale termine rischia di risultare fuorviante in quanto sembra evocare solo l’istruzione degli studenti e la formazione dei professionisti, mentre il decreto ha un contenuto ben più ampio: disciplina anche gli spazi di sperimentazione normativa (artt. 26–31), l’impiego dei sistemi di IA nelle pubbliche amministrazioni (art. 40), la tutela del lavoratore nei processi decisionali (art. 41), la salute e la sicurezza sul lavoro (art. 42) e la tutela dei segreti commerciali (artt. 52–53).

In secondo luogo, il decreto presenta alcune intuizioni di rilievo. Tra queste, la promozione esplicita dello sviluppo del pensiero critico degli utenti di sistemi di IA (v. gli artt. 38, comma 3, e 44, comma 3 D.Lgs. 7 ottobre 2026, n. 179) e la consapevolezza che la formazione richiede una forte commistione di competenze giuridiche e tecniche, un tratto tipico dell’IA (v. gli artt. 44, comma 2, 46, comma 1 e 47, comma 2).

In terzo luogo, va segnalata la clausola di invarianza finanziaria di cui all’art. 54 (con l’unica eccezione dell’art. 37, comma 2), che, nonostante la precisa consapevolezza del legislatore sull’importanza del tema, che emerge alla luce dei due rilievi condivisi sopra, rischia di condurre a uno svuotamento sostanziale di alcune previsioni, vincolate alle risorse già disponibili a legislazione vigente.

In quarto luogo, il testo finale presenta ancora numerosi e rilevanti rinvii a un considerevole numero di fonti attuative (decreti del Presidente del Consiglio dei ministri, provvedimenti delle due agenzie e decreti ministeriali) ancora da adottare, lasciando molti aspetti ancora da definire.

Infine, per quanto riguarda i rapporti ed equilibri tra le numeroseautorità coinvolte, ci sono almeno tre elementi di rilievo: (i) il decreto presuppone una forte collaborazione tra le autorità (artt. 7–10 e 12), che non può essere data per scontata; (ii) nonostante la distribuzione delle competenze, emerge il ruolo particolarmente importane dell’ACN (artt. 5, 6 e 14); (iii) il ruolo del Garante per la protezione dei dati personali è stato rafforzato dalle ultime modifiche (artt. 5, comma 1 e 11, comma 2).

Capo I – Disposizioni generali

Il Capo I è costituito esclusivamente dall’art. 1, dedicato alle definizioni, che non presenta particolari profili di interesse. In particolare, si chiarisce che le autorità nazionali per l’intelligenza artificiale sono l’AgID e l’ACN (art. 1, comma 2, lettera a), con rinvio all’art. 20, comma 1, della legge IA), e si richiamano le altre autorità coinvolte. Meritano invece attenzione le lettere n) e o) del comma 2 che, rispettivamente, definiscono lo “Spazio di sperimentazione italiano per l’IA” (ossia lo spazio di sperimentazione nazionale previsto dall’art. 57, regolamento IA) e la “sperimentazione FinTech” (ovvero lo spazio di sperimentazione disciplinato dall’art. 36, commi da 2-bis a 2-novies, D.L. 30 aprile 2019, n. 34). Quest’ultima disciplina è peraltro attualmente in corso di revisione.

Capo II – Quadro generale

Il Capo II, dedicato ai poteri delle autorità nazionali per l’IA, è il più corposo (artt. 2–35) e combina disposizioni rilevanti con altre di minore importanza. Si tratta per lo più di norme che attuano gli obblighi imposti dal regolamento IA in materia di poteri e responsabilità delle autorità competenti, di procedimento sanzionatorio e simili. In questo contesto, l’AgID è individuata come autorità di notifica (art. 4), mentre il ruolo del Garante della protezione dei dati (da ora in poi anche solo “Garante”), nelle bozze iniziali più circoscritto, risulta più ampio. È inoltre previsto un regime di “autofinanziamento” delle autorità, alimentato dai proventi delle sanzioni (art. 25), che non prevede ulteriori stanziamenti (art. 54). Di particolare interesse è infine la sezione dedicata alle regulatory sandboxes (artt. 26–31).

Sezioni I e II: principi, autorità e coordinamento (artt. 2-12)

La Sezione I si apre con l’art. 2, il quale definisce l’oggetto e l’ambito di applicazione: il decreto stabilisce le disposizioni necessarie per adeguare la normativa nazionale al regolamento IA e alle pertinenti norme tecniche di regolamentazione e di attuazione in materia di poteri delle autorità di cui all’art. 20 legge IA, nonché le disposizioni volte a garantire il coordinamento con la normativa settoriale vigente. Merita di essere segnalata la visione antropocentrica propria della normativa, richiamata come norma di principio dall’art. 3, che si inserisce nel solco dei principi generali dell’art. 3 legge IA.

La Sezione II individua in primo luogo l’AgID come autorità di notifica (art. 4) e, in qualità di autorità nazionali di vigilanza del mercato, l’ACN, la Banca d’Italia, la Consob, l’IVASS e il Garante (art. 5, comma 1). Il riparto delle competenze è così articolato: l’ACN è responsabile della vigilanza generale sui sistemi di IA, le tre autorità finanziarie sono competenti per i sistemi ad alto rischio impiegati nei rispettivi settori e il Garante interviene limitatamente a quanto previsto dall’art. 74, paragrafo 8, regolamento IA. All’ACN è inoltre affidata la funzione di punto di contatto unico (art. 6), a conferma del suo ruolo di primo piano.

Gli articoli 7–10 sono interamente dedicati alla collaborazione tra le autorità: si tratta di un aspetto da sottolineare, in quanto mostra come l’IA richieda un forte coordinamento tra soggetti diversi. Tale coordinamento, già di per sé un fattore di complessità, non può essere dato per scontato e rischia di rimanere solo sulla carta se non viene messo in pratica.

Nel testo finale, l’art. 11, riguardante gli atti di indirizzo, è stato integrato con un nuovo comma 2 che estende la facoltà di adottare linee guida, raccomandazioni e buone pratiche, riconosciuta dal comma 1 alle autorità nazionali per l’IA e alle autorità del settore finanziario, “anche al Garante per la protezione dei dati personali, limitatamente a quanto previsto dall’art. 74, paragrafo 8, regolamento IA”.

L’art. 12, riguardante il Comitato di coordinamento, prevede la partecipazione delle autorità del settore finanziario quando vengono trattate questioni di loro competenza e tutela i poteri del Garante e dell’AGCOM, quest’ultima in qualità di Coordinatore dei servizi digitali ai sensi dell’art. 15, D.Lgs. 15 settembre 2023, n. 123 (comma 1), evidenziando l’esistente commistione tra servizi digitali e intelligenza artificiale, di cui i chatbot sono un esempio evidente.

Sezioni III e IV: notifica e vigilanza del mercato (artt. 13-18)

La Sezione III (art. 13) disciplina il sistema di notifica e i poteri dell’AgID, mentre la Sezione IV (artt. 14–18) reca le norme sul sistema di vigilanza del mercato, in particolare sui poteri di vigilanza e ispettivi dell’ACN e delle altre autorità competenti. La ripartizione delle competenze tra le due agenzie conferma il ruolo di primo piano dell’ACN, come emerge dall’art. 15, comma 3, che le attribuisce l’iniziativa per l’adozione del regolamento, da emanare con decreto del Presidente del Consiglio dei ministri (d.P.C.M.) ai sensi dell’art. 17, comma 3, L. 23 agosto 1988, n. 400, per definire le modalità di esercizio dei poteri di vigilanza e ispettivi e di adozione delle misure di cui all’art. 16.

Nel testo finale, ulteriori modifiche significative riguardano gli artt. 17 e 18: all’art. 17, comma 4, accanto al protocollo d’intesa con la Guardia di Finanza per lo scambio di informazioni finalizzato alla prevenzione, all’accertamento e alla repressione degli illeciti di natura economico-finanziaria, è stato aggiunto un “analogo protocollo d’intesa con la Direzione Investigativa Antimafia, per quanto di specifica competenza”. All’art. 18, comma 1, si precisa invece che le autorità nazionali di vigilanza del mercato ricevono i reclami di cui all’art. 85, regolamento IA, “assicurando il diritto al pieno contraddittorio” e che il reclamo presentato a un’autorità non competente è trasmesso d’ufficio a quella competente. Anche in questo caso, i poteri dell’ACN appaiono rafforzati, in quanto il comma 2 attribuisce a tale autorità la disciplina, con decreto del direttore generale, della procedura per la trattazione dei reclami di propria competenza.

Sezione V: disposizioni sanzionatorie (artt. 19-25)

La Sezione V, una delle parti del decreto che ha subìto maggiori modifiche nel corso del processo legislativo, reca la disciplina sanzionatoria in attuazione dell’art. 99, par. 1, regolamento IA. Il potere di irrogare sanzioni è infatti ripartito tra l’ACN, l’AgID, le autorità competenti per gli istituti finanziari vigilati (Banca d’Italia, Consob e IVASS) e, in misura minore, il Garante (artt. 20 e 21).

Non tutte le sanzioni hanno carattere pecuniario. Per le violazioni “caratterizzate da scarsa offensività o pericolosità”, l’art. 22, comma 1, prevede infatti la possibilità di ordinare, in alternativa alla sanzione pecuniaria, l’eliminazione dell’infrazione, indicando le misure da adottare e il termine per attuarle (lett. a), oppure, se l’infrazione è cessata, l’applicazione di una dichiarazione pubblica che indichi la violazione commessa e il soggetto responsabile (lett. b). In caso di inosservanza dell’ordine, si applicano le sanzioni pecuniarie con un aumento fino a un terzo (art. 22, comma 2).

Per quanto riguarda le sanzioni pecuniarie, la bozza iniziale modulava i massimali in base al ruolo degli attori coinvolti, distinguendo tra provider e deployer, nonché tra imprese e persone fisiche. Questa impostazione, descritta dalla stessa ACN in audizione come meno incisiva di quella del regolamento europeo, è stata infine abbandonata. L’art. 23 distingue ora quattro fasce secondo l’impostazione di base dell’art. 99, regolamento IA: (i) fino a 35 milioni di euro o, se superiore, al 7 per cento del fatturato mondiale totale annuo per le pratiche vietate dall’art. 5 del Regolamento IA (art. 23, comma 1); (ii) fino a 15 milioni o al 3 per cento per la violazione degli obblighi incombenti su fornitori, rappresentanti autorizzati, importatori, distributori, deployer (ossia i c.d. “utilizzatori professionali”) e organismi notificati, oltre che degli obblighi di trasparenza (artt. 16, 22, 23, 24, 25, 26, 31, 33, parr. 1, 3 e 4, 34 e 50, regolamento IA); a questi obblighi, già previsti dall’art. 99, il legislatore italiano ha affiancato, con una scelta di maggiore severità rispetto alla disciplina europea, la violazione delle disposizioni in materia di segnalazione degli incidenti gravi (art. 73) e di procedura per i sistemi che il fornitore ha classificato come non ad alto rischio (art. 80) (art. 23, comma 2); (iii) fino a 7,5 milioni o all’1 per cento per le informazioni inesatte, incomplete o fuorvianti fornite a organismi notificati o autorità (art. 23, comma 3); (iv) fino a 1 milione o allo 0,5 per cento per la violazione degli obblighi relativi alla valutazione d’impatto sui diritti fondamentali (art. 27) e al diritto alla spiegazione delle singole decisioni (art. 86), anch’essi non contemplati dall’art. 99 e sanzionati per scelta nazionale (art. 23, comma 4).

Poiché le disposizioni del regolamento a cui si riferiscono le sanzioni sono soggette a un regime di efficacia differenziato nel tempo, le uniche misure effettivamente applicabili al momento sono quelle di cui ai punti (i) e (iii), e limitatamente agli obblighi di trasparenza dell’art. 50 regolamento IA, quelle di cui al punto (ii).

La riduzione del 50% prevista dallo schema di decreto per le persone fisiche non è stata invece confermata. Pertanto, in linea di principio, un professionista o un imprenditore individuale potrà essere sanzionato applicando la medesima forbice edittale prevista per le imprese. Tuttavia, le persone fisiche, al ricorrere delle condizioni, potranno beneficiare del meccanismo di riduzione previsto per le PMI, le microimprese e le start-up innovative (art. 23, comma 7, che richiama l’art. 99, par. 6, regolamento IA), il quale limita il massimo edittale al minore tra l’importo fisso e la percentuale sul fatturato annuo.

In analogia con la disciplina europea, come modificata dal c.d. “Digital Omnibus on AI”, non è prevista alcuna sanzione per la violazione dell’obbligo di alfabetizzazione in materia di IA di cui all’art. 4 ,regolamento IA. La sua violazione può però rilevare come criterio di commisurazione delle altre sanzioni eventualmente applicabili e, in giudizio, come parametro di diligenza.

L’art. 24 disciplina il procedimento sanzionatorio e rinvia, per le specifiche modalità procedurali, a regolamenti distinti emanati dalle varie autorità di vigilanza competenti (AgID, comma 2; ACN, comma 3, che richiama il regolamento adottato ai sensi dell’art. 17, comma 4-quater, D.L. 14 giugno 2021, n. 82) e alle procedure di settore per Banca d’Italia, Consob, IVASS e Garante (commi 5-8). Il procedimento ha inizio con la contestazione degli addebiti e si conclude con un provvedimento motivato, adottato “entro un termine ragionevole” (comma 1). I provvedimenti sanzionatori sono pubblicati per estratto sul sito dell’Autorità (di cui al comma 1) con l’indicazione dell’eventuale avvenuta impugnazione e del relativo esito (comma 4). Va evidenziato che il giudice competente a conoscere dell’eventuale impugnazione varia a seconda dell’autorità che ha irrogato la sanzione: per l’ACN è prevista la giurisdizione esclusiva del giudice amministrativo, per l’AgID e il Garante è competente il giudie ordinario, mentre per i provvedimenti di Banca d’Italia e Consob la Corte d’appello competente. La stessa violazione del regolamento può quindi essere sottoposta a giudici diversi, con forme di sindacato diverse, il che potrebbe non essere particolarmente in linea con le esigenze di uniformità applicativa.

Ai sensi dell’art. 25, i proventi delle sanzioni, a seconda dei casi, sono riassegnati al bilancio delle singole autorità in via prioritaria alle rispettive funzioni in materia di intelligenza artificiale (art. 25, commi 1-3). Tale previsione, letta insieme alla clausola di invarianza finanziaria di cui all’art. 54, sembra svelare il disegno di una architettura di vigilanza che si auto-finanzia tramite i propri accertamenti.

Sezione VI: spazi di sperimentazione normativa (artt. 26-31)

La Sezione VI, dedicata agli spazi di sperimentazione normativa (le c.d. “regulatory sandboxes”), è composta da sei articoli (artt. 26–31), a conferma dell’importanza che il decreto attribuisce a questo strumento. Si tratta per lo più di norme di attuazione del regolamento IA, che presentano alcuni spunti interessanti e altri aspetti che necessitano di ulteriori chiarimenti, attesi dai decreti congiunti di AgID e ACN.

Nel merito, l’art. 26 istituisce lo Spazio di sperimentazione italiano per l’IA, ai sensi dell’art. 57, regolamento IA (comma 1), e conferma che AgID e ACN gestiscono congiuntamente, secondo le rispettive competenze, la sandbox nazionale che l’art. 57, paragrafo 1, AI Act impone a ogni Stato membro (comma 2). La norma ne ripercorre inoltre le finalità degli spazi di sperimentazione normativa: la promozione dell’innovazione, l’apprendimento normativo e l’accesso al mercato. Si esplicita poi il concetto di regulatory learning come “sviluppo di un approccio regolatorio basato sulle evidenze emerse dalla sperimentazione”, evidentemente riferito al lato del regolatore. Per quanto riguarda le modalità di accesso, gestione e funzionamento dello spazio, il comma 2 rinvia a un futuro decreto congiunto dei direttori generali di AgID e ACN. Tale scelta è coerente con il fatto che si attende ancora l’atto di esecuzione previsto dall’art. 58 regolamento IA, il quale è destinato a fornire i dettagli operativi della istituenda sandbox.

Rispetto alla versione iniziale del testo, l’art. 26 è stato integrato con un comma 4 che stabilisce che, nella definizione dei criteri di ammissione, “sono individuati requisiti oggettivi e trasparenti relativi ai soggetti eleggibili, alle priorità di accesso e allo stato di maturità delle soluzioni proposte”. Anche in questo caso, vengono anticipati dei criteri che dovrebbero essere specificati in un futuro atto di esecuzione (c.d. “implementing act”).

L’art. 27affida la gestione strategica dello spazio al Comitato di coordinamento, che è responsabile dell’individuazione delle priorità di sperimentazione e dell’ordine di selezione dei fornitori (comma 2). Nel definire gli indirizzi, le autorità nazionali per l’IA consultano i portatori di interesse e, novità del testo finale, anche le regioni e le province autonome (comma 1), a riprova del peso riconosciuto alle realtà locali. La gestione operativa è invece demandata al Gruppo operativo di cui all’art. 28, composto in modo paritetico da AgID e ACN (comma 1).