Dal 23 ottobre 2026 l'intelligenza artificiale usata dalle imprese ha i suoi controllori italiani. Il d.lgs. 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre, adegua il nostro ordinamento all'AI Act europeo, il regolamento (UE) 2024/1689: individua le autorità di vigilanza, i loro poteri ispettivi e le sanzioni. Per chi cerca quali siano gli obblighi delle imprese e i controlli in arrivo, il punto di partenza è sapere chi bussa alla porta, e con quali carte.
Chi controlla le imprese che usano l'intelligenza artificiale?
Non c'è un interlocutore unico. L'art. 5 del decreto affida la vigilanza del mercato sui sistemi di IA all'ACN, l'Agenzia per la cybersicurezza nazionale, fatte salve le competenze dell'ufficio europeo per l'IA.
Per i sistemi ad alto rischio usati nel credito e nei servizi finanziari competono la Banca d'Italia (testo unico bancario, d.lgs. 385/1993) e la CONSOB (testo unico della finanza, d.lgs. 58/1998); per assicurazione, riassicurazione e distribuzione di polizze, l'IVASS. Il Garante per la protezione dei dati personali è autorità di vigilanza del mercato solo nei casi dell'art. 74, paragrafo 8, del regolamento europeo; i suoi poteri in materia di dati personali restano quelli di sempre.
| Chi usa l'IA | Autorità di vigilanza del mercato | Norma |
|---|---|---|
| Qualsiasi impresa, in generale | ACN | art. 5, lett. a) |
| Banche e intermediari, per sistemi ad alto rischio nel credito e nei servizi finanziari | Banca d'Italia o CONSOB, secondo il servizio | art. 5, lett. b) |
| Imprese di assicurazione e distributori, per sistemi ad alto rischio | IVASS | art. 5, lett. b) |
| Casi previsti dall'art. 74, par. 8, del regolamento | Garante privacy, come autorità di vigilanza del mercato | art. 5, lett. c) |
Sono possibili ispezioni senza preavviso?
Sì. L'art. 15 attribuisce all'ACN i poteri di vigilanza e ispettivi previsti dall'AI Act e dagli artt. 14 e 16 del regolamento (UE) 2019/1020 sulla vigilanza del mercato.
Il decreto menziona espressamente le ispezioni a distanza o in loco, anche senza preavviso, per le prove in condizioni reali, cioè quando un sistema viene sperimentato fuori dal laboratorio. Le modalità con cui l'ACN eserciterà questi poteri saranno fissate da un regolamento adottato con decreto del Presidente del Consiglio, su proposta della stessa Agenzia (art. 15, comma 3).
Una violazione porta sempre a una multa?
No. Per le violazioni di scarsa offensività o pericolosità l'art. 22 consente all'autorità, in alternativa alla sanzione pecuniaria, di ordinare di eliminare l'infrazione e di non ripeterla, anche indicando le misure e il termine per attuarle, oppure, se l'infrazione è cessata, di applicare una sanzione non pecuniaria: la dichiarazione pubblica sulla violazione e sul responsabile.
L'alternativa ha un prezzo se viene ignorata: chi non rispetta l'ordine nel termine assegnato paga la sanzione pecuniaria aumentata fino a un terzo, sempre entro i massimali dell'art. 23. Il termine che l'autorità concede va quindi trattato come una scadenza vera.
Il punto dell'Avv. Soardi
Molte imprese rispondono all'AI Act con un regolamento informatico interno, scritto dall'ufficio IT e chiuso in un cassetto. È una risposta comprensibile, ma secondo noi non basta quando l'IA entra nelle decisioni che espongono l'impresa a un reato: selezione dei fornitori, valutazioni sul credito, gestione dei dati, sicurezza.
Riteniamo che in quei processi i presidi sull'IA debbano stare dentro il modello organizzativo del d.lgs. 231/2001 e nei flussi verso l'Organismo di Vigilanza. Gli artt. 6 e 7 chiedono un modello che regoli le attività a rischio e venga aggiornato quando l'organizzazione cambia: l'arrivo di un sistema che suggerisce o prende decisioni è un cambiamento di questo tipo. Una violazione amministrativa dell'AI Act non è, da sola, un reato presupposto; ma l'impresa che non sa ricostruire chi ha usato quale sistema e per quale decisione resta scoperta tanto davanti all'autorità di vigilanza quanto nel procedimento penale. Del rapporto fra intelligenza artificiale e diritto penale abbiamo scritto anche in Intelligenza artificiale e responsabilità penale e, per la 231, in Riforma del d.lgs. 231/2001.
Che cosa conviene fare adesso?
Censite entro fine anno i sistemi di IA in uso: chi li usa, in quale processo, per quale decisione, con quale controllo umano. Poi confrontate l'elenco con la mappa dei rischi del modello 231 e portate il risultato all'Organismo di Vigilanza.
Dove l'IA tocca un'attività a rischio, scrivete chi verifica il risultato e conservate la traccia di quella verifica. Un documento redatto oggi non prova il controllo fatto ieri: per questo la traccia va creata adesso, prima che qualcuno la chieda.
Lo Studio ha sede a Bergamo e a Brescia e assiste in tutta Italia.
Avv. Stefano Soardi - 28/10/2026
