Intelligenza artificiale: in arrivo il sistema italiano di controlli e sanzioni

Lo schema di decreto attuativo della legge nazionale sull’IA definisce le autorità competenti, introduce un approccio graduale alle sanzioni e rafforza le tutele per imprese, professionisti e cittadini nel percorso di applicazione dell’AI Act europeo

L’Italia compie un nuovo passo verso l’attuazione dell’AI Act europeo. Con il decreto legislativo approvato in via preliminare dal Consiglio dei ministri il 10 giugno, prende forma il quadro nazionale che disciplinerà controlli, vigilanza e sanzioni legati all’utilizzo dei sistemi di intelligenza artificiale.

Il provvedimento, che attua la legge 132/2025, individua le autorità chiamate a presidiare il settore e definisce i poteri di intervento nei confronti di imprese, professionisti e pubbliche amministrazioni che utilizzano o sviluppano sistemi di IA.

Tra le novità più rilevanti emerge un principio destinato a incidere concretamente sull’applicazione delle sanzioni: non ogni violazione comporterà automaticamente una multa. Le autorità dovranno infatti valutare la gravità dell’infrazione, distinguendo tra irregolarità sostanziali e meri errori formali, privilegiando ove possibile misure correttive rispetto a quelle punitive.

Chi controllerà l’IA in Italia

Nel nuovo assetto, l’Agenzia per l’Italia Digitale (AgID) svolgerà il ruolo di autorità nazionale di notifica, occupandosi della valutazione e del monitoraggio degli organismi incaricati di certificare la conformità dei sistemi di IA.

Sul fronte della vigilanza operativa, un ruolo centrale sarà affidato all’Autorità nazionale per la cybersicurezza (ACN), che rappresenterà il punto di riferimento italiano nei rapporti con l’Unione europea. Competenze specifiche saranno inoltre attribuite a Banca d’Italia, Consob e Ivass per i rispettivi ambiti di attività, mentre il Garante per la protezione dei dati personali interverrà nei casi in cui l’intelligenza artificiale utilizzi dati biometrici in settori particolarmente sensibili, come la giustizia, la sicurezza e il controllo delle frontiere.

Prima la correzione, poi la sanzione

Uno degli elementi più innovativi riguarda l’approccio adottato nei confronti delle violazioni.

Le autorità potranno emettere avvertimenti, ordinare la rimozione delle irregolarità o rendere pubblica la violazione prima di arrivare all’applicazione di sanzioni economiche. L’obiettivo è favorire la conformità alle regole senza penalizzare in modo sproporzionato situazioni che non abbiano prodotto effetti concreti o danni reali.

Anche nel calcolo delle multe sarà determinante la natura dell’inadempimento: le violazioni esclusivamente formali potranno comportare importi significativamente ridotti rispetto a quelle che incidono sulla sicurezza, sui diritti fondamentali o sulla trasparenza dei sistemi.

Le multe previste

Il sistema sanzionatorio resta comunque particolarmente severo nei casi più gravi.

Per l’utilizzo di pratiche di intelligenza artificiale espressamente vietate dall’AI Act europeo sono previste sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale annuo dell’organizzazione responsabile.

Per gli utilizzatori professionali dei sistemi di IA, le sanzioni possono arrivare fino a un milione di euro o allo 0,5% del fatturato globale. Tra gli obblighi interessati rientrano, ad esempio, la supervisione umana dei sistemi e la corretta formazione del personale incaricato di utilizzarli.

Particolare attenzione è riservata anche ai contenuti generati artificialmente. La mancata indicazione che immagini, video, audio o testi siano stati creati mediante strumenti di IA potrà comportare sanzioni fino a 5 milioni di euro o all’1,5% del fatturato annuo.

Tutela della privacy e protezione delle imprese

Il decreto introduce inoltre specifiche garanzie per la pubblicazione dei provvedimenti sanzionatori. Le decisioni delle autorità saranno rese pubbliche, ma potranno essere anonimizzate quando la diffusione dei nominativi risulti sproporzionata, comprometta la cybersicurezza o interferisca con indagini in corso.

Sono previste anche misure di favore per microimprese, PMI e startup innovative, che beneficeranno dell’importo più basso tra la sanzione fissa e quella calcolata in percentuale sul fatturato. Per le persone fisiche responsabili delle violazioni è invece previsto uno sconto del 50% sugli importi applicabili.

Un quadro normativo ancora in evoluzione

Resta aperto il capitolo dei sistemi di IA ad alto rischio. Le relative prescrizioni europee, inizialmente destinate a diventare operative nell’agosto 2026, potrebbero essere rinviate fino al dicembre 2027. Una proroga che concederebbe più tempo a imprese e organizzazioni per adeguare processi, procedure e modelli di governance alle nuove regole.