AI Act, arrivano i controlli in Italia:
cosa devono fare le imprese?
L’intelligenza artificiale è ormai parte dei processi aziendali, viene utilizzata per analizzare dati, generare contenuti, gestire richieste dei clienti e supportare decisioni operative. Ma alla diffusione degli strumenti di AI corrisponde la responsabilità crescente, di cui abbiamo già parlato in passato, di sapere come vengono utilizzati, quali rischi comportano e se rispettano le regole applicabili.
In Italia, il quadro dei controlli sull’intelligenza artificiale si prepara a un passaggio importante. Il Decreto legislativo n. 179/2026, pubblicato in Gazzetta Ufficiale l’8 ottobre, entrerà in vigore il 23 ottobre 2026 e completa l’assetto nazionale di attuazione dell’AI Act europeo.
Per le imprese, il cambiamento non è soltanto relativo alle sanzioni ma include la gestione dell’intelligenza artificiale in modo trasparente, documentabile e coerente con i rischi effettivi.
AI Act: che cosa cambia con i nuovi controlli in Italia
L’AI Act, il Regolamento europeo 2024/1689, introduce un sistema di regole basato sul rischio associato ai sistemi di intelligenza artificiale. Gli obblighi variano in funzione della tecnologia utilizzata, della sua destinazione e del ruolo dell’organizzazione: fornitore, utilizzatore o altro operatore della filiera.
Il decreto italiano completa il quadro nazionale delle competenze e delle procedure di vigilanza, definendo i poteri delle autorità e le modalità di applicazione delle sanzioni.
Questo passaggio rende ancora più importante una domanda che le aziende saranno costrette a farsi: siamo in grado di dimostrare come utilizziamo l’AI e quali misure abbiamo adottato per governarla?
Il fatto di aver acquistato uno strumento conforme o aver inserito una clausola generica nei contratti, di per sé, non sono interventi sufficienti, una valutazione del contesto in cui la soluzione viene utilizzata, i dati coinvolti, le persone interessate e i controlli effettivamente presenti è l’analisi più verticale da effettuare.
Quali autorità possono controllare i sistemi di AI
Il sistema italiano prevede competenze distribuite tra più autorità, in base alla natura del sistema e al settore di utilizzo.
L’Agenzia per l’Italia digitale (AgID) svolge le funzioni di autorità nazionale di notifica, occupandosi delle procedure relative agli organismi che valutano la conformità.
L’Agenzia per la cybersicurezza nazionale (ACN) assume un ruolo centrale nella vigilanza del mercato sui sistemi di intelligenza artificiale, con poteri di controllo e ispezione e funzioni sanzionatorie nei rispettivi ambiti di competenza.
Nei settori finanziari operano anche Banca d’Italia, CONSOB e IVASS, secondo le rispettive attribuzioni. Il Garante per la protezione dei dati personali mantiene le competenze previste dall’AI Act e dalla normativa sulla privacy.
Per le imprese, questo significa che la gestione della conformità non può essere separata dalla conoscenza del proprio settore e delle tecnologie impiegate.
Ispezioni, richieste di informazioni e reclami: quali rischi per le imprese
Il decreto disciplina poteri di vigilanza che comprendono richieste di informazioni e documentazione, controlli e ispezioni nei casi previsti dalla normativa. Le verifiche possono essere avviate, tra l’altro, in seguito a incidenti gravi, reclami fondati, segnalazioni di altre autorità o iniziativa dell’autorità competente.
Le persone fisiche e giuridiche che ritengono violato l’AI Act possono inoltre presentare reclami alle autorità nazionali di vigilanza del mercato, secondo le procedure applicabili.
Questo scenario richiede alle imprese di prepararsi non soltanto a rispettare gli obblighi, ma anche a rispondere in modo tempestivo e coerente a eventuali richieste di chiarimento.
La capacità di ricostruire le decisioni prese, identificare i responsabili interni e rendere disponibili le informazioni pertinenti può diventare determinante nella gestione di una verifica.
Le sanzioni previste dall’AI Act
Il regolamento europeo stabilisce massimali differenziati in funzione della violazione. Per alcune pratiche di intelligenza artificiale vietate, le sanzioni possono arrivare fino a 35 milioni di euro oppure, per le imprese, al 7% del fatturato mondiale annuo totale dell’esercizio precedente, applicando il parametro previsto dalla norma.
Per altre violazioni sono previste soglie differenti, che possono arrivare fino a 15 milioni di euro oppure al 3% del fatturato mondiale annuo. Anche le informazioni inesatte, incomplete o fuorvianti fornite alle autorità possono comportare sanzioni specifiche.
I massimali non corrispondono automaticamente alla sanzione applicabile in ogni caso: la valutazione dipende dalla violazione, dalle disposizioni pertinenti e dai criteri previsti dal quadro normativo.
Il decreto italiano disciplina, inoltre, misure correttive e procedure sanzionatorie. In determinate circostanze possono essere disposti interventi per eliminare l’infrazione; la mancata esecuzione degli ordini può aggravare la posizione dell’organizzazione.
Come preparare l’azienda ai controlli sull’intelligenza artificiale
La preparazione dovrebbe partire da una ricognizione concreta degli strumenti e dei processi aziendali. Spesso l’intelligenza artificiale non viene utilizzata soltanto nei progetti ufficiali dell’area IT: può essere integrata nelle piattaforme di marketing, negli strumenti di produttività, nel customer care e nei software di gestione.
Ecco cinque attività da cui partire.
- Mappare i sistemi di intelligenza artificiale
Individuare le soluzioni utilizzate, comprese quelle integrate nei software già presenti in azienda. Per ciascuna, registrare la finalità, il responsabile interno, i dati trattati e le principali dipendenze tecnologiche.
- Valutare rischi e obblighi applicabili
Classificare i sistemi in funzione della loro destinazione e del rischio, verificando quali disposizioni dell’AI Act si applicano al caso concreto. È importante considerare anche gli obblighi relativi a privacy, sicurezza e protezione dei dati.
- Definire ruoli e responsabilità
Stabilire chi può autorizzare nuovi strumenti, chi verifica le condizioni di utilizzo e chi interviene in caso di incidente o richiesta dell’autorità. Le responsabilità devono essere comprensibili e formalizzate.
- Documentare le decisioni e i controlli
Conservare, secondo gli obblighi applicabili, le informazioni necessarie a ricostruire le scelte effettuate, le valutazioni di rischio, le procedure operative e le misure di controllo. La documentazione deve essere pertinente al sistema e aggiornata nel tempo.
- Formare le persone e verificare la sicurezza
I dipendenti devono conoscere le regole interne sull’utilizzo dell’AI, i limiti degli strumenti e le modalità corrette di gestione dei dati. È inoltre necessario verificare accessi, protezione delle informazioni, gestione degli incidenti e supervisione umana dove richiesta.
Queste attività costituiscono una base organizzativa: non sostituiscono una valutazione specialistica della conformità, ma aiutano a individuare le lacune prima che diventino problemi operativi.
AI Act e cybersecurity: perché affrontarli insieme
La conformità normativa e la sicurezza informatica sono dimensioni diverse, ma strettamente correlate tra loro, per questo la governance dell’intelligenza artificiale dovrebbe essere integrata nelle procedure di gestione del rischio digitale, senza ridursi a una verifica documentale svolta una sola volta.
Un sistema di AI potrebbe, infatti, trattare informazioni riservate, interagire con applicazioni aziendali e dipendere da servizi esterni e, in caso di un eventuale errore di configurazione, un accesso non autorizzato o una gestione inadeguata dei dati, sicurezza e continuità dei processi potrebbero risultare vulnerabili o addirittura compromessi.
Digiup supporta aziende ed enti nei percorsi di trasformazione digitale, integrando competenze tecnologiche e sicurezza informatica. Comprendere i propri sistemi e governarne i rischi è un primo passo per adottare l’intelligenza artificiale in modo più consapevole.
Nota: questo approfondimento ha finalità informative e non costituisce consulenza legale. Gli obblighi e le scadenze devono essere verificati in relazione al sistema utilizzato, al ruolo dell’organizzazione e alle disposizioni applicabili.