Il quadro normativo per l'intelligenza artificiale (AI) in Italia

Cosa dice la legge

L'AI Act classifica i sistemi AI in base al rischio e gradua gli obblighi di conseguenza: le pratiche inaccettabili (manipolazione, social scoring) sono vietate dal 2 febbraio 2025, i chatbot e i contenuti generati richiedono trasparenza, i sistemi ad alto rischio hanno requisiti severi. In parallelo l'Italia si è data la Legge 132/2025, la prima legge nazionale organica sull'AI nell'UE, in vigore dal 10 ottobre 2025: designa le autorità di vigilanza, fissa i principi per l'AI sul lavoro e introduce il reato di deepfake.

Cosa significa per te

• Se un chatbot o un assistente vocale parla con i tuoi clienti, l'articolo 50 dell'AI Act ti chiede di renderlo riconoscibile come sistema AI: la persona deve sapere che non sta scrivendo a un tuo collaboratore. Basta una dichiarazione chiara all'inizio della conversazione.

  Esempio: Un e-commerce che mette un assistente sul sito lo presenta subito: "Sono l'assistente AI dell'azienda, posso aiutarti con prodotti e ordini." Per la trasparenza è sufficiente.

• I contenuti generati con l'AI che potrebbero passare per reali vanno dichiarati come tali, in particolare immagini, video e voci sintetiche. Il Digital Omnibus del 2026 fissa al 2 dicembre 2026 il termine per le soluzioni tecniche di marcatura dei contenuti generati.

  Esempio: Se usi una voce sintetica in uno spot audio o l'immagine generata di un "cliente soddisfatto", indichi che è stata creata con l'AI, così nessuno la scambia per una persona reale.

• I sistemi ad alto rischio (per esempio quelli usati nella selezione del personale, vedi il pilastro Lavoro) hanno obblighi molto più pesanti: documentazione tecnica, qualità dei dati, log e sorveglianza umana effettiva. Attenzione alle date: il Digital Omnibus, approvato in via definitiva dal Consiglio UE il 29 giugno 2026 e in attesa di pubblicazione in Gazzetta ufficiale, sposta gli obblighi per i sistemi ad alto rischio dell'Allegato III al 2 dicembre 2027.

  Esempio: Un AI che redige descrizioni di prodotto è a rischio minimo; un AI che filtra automaticamente i candidati è ad alto rischio, e il 2026 è la finestra per prepararsi, non la scadenza.

• La Legge 132/2025 affida la governance nazionale ad AgID (promozione dell'innovazione e notifica degli organismi di valutazione) e ad ACN (vigilanza, ispezioni e sanzioni) e introduce il reato di diffusione illecita di contenuti generati o alterati con l'AI: il nuovo articolo 612-quater del codice penale punisce con la reclusione da 1 a 5 anni chi diffonde deepfake dannosi senza consenso. I decreti attuativi sono ancora in arrivo: il Consiglio dei Ministri li ha approvati solo in esame preliminare il 10 giugno 2026.

  Esempio: Pubblicare un video ritoccato con l'AI che mette in bocca a un concorrente frasi mai dette non è solo scorretto: da ottobre 2025 è un reato penale.

Cosa dice la legge

Il GDPR disciplina ogni trattamento di dati personali: serve una base giuridica, devi informare le persone, rispettare i loro diritti e proteggere i dati. Per i trattamenti ad alto rischio è obbligatoria una valutazione d'impatto (DPIA). In Italia vigila il Garante per la protezione dei dati personali, che sull'AI ha già colpito duro: 15 milioni di EUR a OpenAI per ChatGPT (dicembre 2024) e 5 milioni a Luka per il chatbot Replika (2025).

Cosa significa per te

• Ogni dato personale che passa dall'AI, da numeri di telefono ed email fino a conversazioni di chat e registrazioni vocali, ricade nel GDPR. Serve una base giuridica per trattarlo e un'informativa chiara su cosa ne fai.

  Esempio: Se un agente AI risponde su WhatsApp e conserva lo storico delle conversazioni, quelle conversazioni sono dati personali: servono base giuridica e un'informativa privacy aggiornata.

• Le decisioni basate unicamente su un trattamento automatizzato che producono effetti giuridici o comunque significativi sulla persona ricadono nell'articolo 22: l'interessato ha diritto a non subirle e a ottenere l'intervento di un essere umano.

  Esempio: Un pre-screening automatico dei finanziamenti che scarta clienti senza che nessuno riveda la pratica tocca l'articolo 22: mantieni un passaggio umano sulla decisione finale.

• Il fornitore AI che tratta dati per tuo conto è un responsabile del trattamento: serve un contratto ex articolo 28 (DPA) con garanzie sufficienti su misure tecniche e organizzative, e devi sapere dove sono ospitati i dati.

  Esempio: Prima di collegare il CRM a un servizio AI verifichi dove girano i dati e firmi il DPA; senza, stai esternalizzando dati personali senza copertura.

• Per i trattamenti che, soprattutto con tecnologie nuove, possono presentare un rischio elevato per i diritti delle persone serve una DPIA prima di partire (articolo 35). Copre la maggior parte dei progetti AI sostanziosi su dati personali.

  Esempio: Se vuoi assegnare automaticamente un punteggio a migliaia di clienti in base al comportamento, prima fai la DPIA: quali dati usi, quali rischi, quali contromisure.

Cosa dice la legge

Tra soggetti residenti o stabiliti in Italia sono valide solo le fatture elettroniche emesse tramite il Sistema di Interscambio (SdI) nel formato FatturaPA (D.Lgs. 127/2015, art. 1). L'obbligo è ormai universale: le ultime esenzioni per forfettari e minimi sono cadute il 1° gennaio 2024. Anche i dati delle operazioni transfrontaliere passano dallo SdI.

Cosa significa per te

• L'AI può preparare la fattura da dati puliti, ma il documento vale solo quando passa dallo SdI nel formato corretto. Automatizzi la preparazione e i controlli; il flusso deve garantire che ogni fattura arrivi allo SdI, con una validazione umana dove serve.

  Esempio: L'AI compila la fattura dall'ordine del cliente e la mette in bozza; una persona verifica i dati e la invia allo SdI.

• Sbagliare o omettere la fatturazione costa caro: per le violazioni commesse dal 1° settembre 2024 la sanzione è il 70% dell'IVA sull'importo non documentato correttamente, con un minimo di 300 EUR per operazione; se la violazione non incide sulla liquidazione dell'IVA, la sanzione è fissa, da 250 a 2.000 EUR (D.Lgs. 87/2024).

  Esempio: Una fattura da 10.000 EUR più IVA al 22% mai emessa vale una sanzione di 1.540 EUR (il 70% di 2.200); un errore solo formale resta tra 250 e 2.000 EUR.

• L'esterometro come adempimento separato non esiste più: i dati delle operazioni con l'estero si trasmettono dallo SdI, le attive nei termini di emissione della fattura, le passive entro il giorno 15 del mese successivo al ricevimento.

  Esempio: Compri un software da un fornitore tedesco: il tuo flusso trasmette i dati allo SdI entro il 15 del mese dopo, senza un adempimento a parte.

• Dal 1° gennaio 2027 la materia confluisce nel Testo Unico IVA (D.Lgs. 10/2026) e le sanzioni nel Testo Unico sanzioni; gli obblighi non cambiano per ora, ma i riferimenti normativi sì. Per tutto il 2026 la legge in vigore resta il D.Lgs. 127/2015.

  Esempio: Se le tue procedure citano il D.Lgs. 127/2015, segna un promemoria: da gennaio 2027 i riferimenti vanno aggiornati al Testo Unico IVA.

Cosa dice la legge

Il Codice del Consumo vieta le pratiche commerciali scorrette: informazioni false o ingannevoli verso i consumatori sono sanzionate, che arrivino da una persona o da un sistema AI. La responsabilità di quello che il tuo sistema comunica resta alla tua azienda, e a vigilare è l'AGCM.

Cosa significa per te

• Un chatbot che promette un prezzo, uno sconto o una disponibilità che non puoi onorare crea una pratica ingannevole. La responsabilità è dell'azienda, non del bot: per questo il sistema risponde solo su dati reali e verificati.

  Esempio: Se il bot dice "ne restano 3 in offerta" quando il magazzino è vuoto, il cliente ha titolo per una segnalazione all'AGCM.

• Il ritocco AI delle foto è lecito se resta cosmetico (luce, sfondo), ma non può nascondere difetti reali o mostrare caratteristiche che il prodotto non ha. Lo stesso vale per testi e video promozionali generati.

  Esempio: Puoi mettere un prodotto su uno sfondo pulito; non puoi cancellare un'ammaccatura vera. Chi la trova alla consegna ha motivo di reclamo.

• Il contenuto pubblicitario deepfake non dichiarato somma due violazioni: l'obbligo di etichettatura dell'articolo 50 dell'AI Act e, se inganna con danno, il rischio penale dell'articolo 612-quater. Recensioni e testimonianze finte generate con l'AI sono sanzionabili come pratica scorretta.

  Esempio: Una videorecensione generata con l'AI di un cliente mai esistito espone l'azienda su tre fronti: AGCM, AI Act e, nei casi peggiori, penale.

Cosa dice la legge

L'AI usata su candidati e dipendenti è la zona più regolata. L'AI Act la classifica ad alto rischio (Allegato III), ma gli obblighi italiani valgono già oggi: se usi sistemi decisionali o di monitoraggio integralmente automatizzati devi informare i lavoratori in dettaglio, e gli strumenti che controllano a distanza l'attività richiedono un accordo sindacale preventivo.

Cosa significa per te

• L'obbligo informativo dell'art. 1-bis del D.Lgs. 152/1997 (introdotto dal Decreto Trasparenza) vale dal 5 maggio 2023: per i sistemi integralmente automatizzati che incidono su assunzione, gestione o cessazione del rapporto devi comunicare scopi, logica di funzionamento, categorie di dati usate anche per addestrare il sistema, metriche di accuratezza, robustezza e cybersicurezza e i potenziali impatti discriminatori. Alle richieste di lavoratori o sindacati rispondi per iscritto entro 30 giorni.

  Esempio: Se un sistema assegna automaticamente i turni o valuta le prestazioni, prepari l'informativa completa prima di accenderlo, non dopo la prima contestazione.

• Gli strumenti che rendono possibile il controllo a distanza dei lavoratori si possono usare solo per esigenze organizzative, di sicurezza o di tutela del patrimonio aziendale, e solo dopo un accordo sindacale o, in mancanza, l'autorizzazione dell'Ispettorato nazionale del lavoro (Statuto dei Lavoratori, art. 4). Un AI che analizza la produttività dei dipendenti può rientrarci.

  Esempio: Vuoi un AI che misura i tempi di gestione dei ticket per operatore? Prima l'accordo con le rappresentanze sindacali, poi la messa in funzione.

• Lo screening dei CV e la valutazione dei candidati sono ad alto rischio sotto l'AI Act (Allegato III, punto 4): documentazione, qualità dei dati, sorveglianza umana. Con il Digital Omnibus gli obblighi per questi sistemi si applicano dal 2 dicembre 2027: il 2026 è la finestra di preparazione, non la scadenza.

  Esempio: Un AI che ordina automaticamente le candidature va progettato già ora con log e revisione umana, così alla scadenza sei conforme senza rifare tutto.

• La Legge 132/2025 (art. 11) fissa i principi: l'AI sul lavoro deve essere sicura, affidabile, trasparente, rispettosa della dignità umana e non discriminatoria, con l'obbligo di informare i lavoratori. E c'è altro in arrivo: lo schema di decreto approvato in esame preliminare il 10 giugno 2026 prevede che le decisioni su assunzione, modifica o cessazione del rapporto non possano basarsi solo su un trattamento automatizzato; la decisione finale resta a una persona.

  Esempio: Anche quando l'AI suggerisce chi promuovere o chi non confermare, la firma sulla decisione la mette un responsabile in carne e ossa.

Cosa dice la legge

Oltre alle regole orizzontali, ogni settore ha il suo strato. La Legge 132/2025 (art. 20) conferma Banca d'Italia, CONSOB e IVASS come autorità di vigilanza sull'AI nei rispettivi mercati, il credit scoring è ad alto rischio sotto l'AI Act e per il retail auto non esiste una legge AI di settore: valgono le regole generali.

Cosa significa per te

• Se operi nel settore finanziario, per l'AI rispondi al tuo supervisore di sempre: Banca d'Italia per le banche, CONSOB per i mercati, IVASS per le assicurazioni. La vigilanza AI in questi settori non passa ad ACN.

  Esempio: Una compagnia assicurativa che introduce un AI di valutazione dei sinistri si coordina con IVASS, non con una nuova autorità.

• I sistemi che valutano il merito di credito o l'affidabilità creditizia delle persone fisiche sono ad alto rischio (Allegato III, punto 5), perché condizionano l'accesso a risorse essenziali; fa eccezione l'antifrode. Gli obblighi si applicano dal 2 dicembre 2027, dopo il Digital Omnibus.

  Esempio: Un AI che pre-valuta le richieste di finanziamento dei clienti rientra nell'alto rischio: progettalo fin d'ora con documentazione e revisione umana.

• Per le concessionarie e il retail auto non c'è una norma AI specifica di settore a luglio 2026: si applicano le regole generali, cioè trasparenza AI Act per i chatbot, GDPR per i dati dei clienti, Codice del Consumo per pubblicità e vendita, SdI per la fatturazione.

  Esempio: Un chatbot di concessionaria che prenota test drive e prepara preventivi vive dentro il quadro generale: nessun adempimento di settore in più, ma tutti quelli orizzontali.