Nella Gazzetta Ufficiale n. 234 dell’8 ottobre è stato pubblicato il decreto legislativo 7 ottobre 2026, n. 179, che adegua l’ordinamento al Regolamento (UE) 2024/1689 in materia di poteri delle autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione. Entra in vigore il 23 ottobre. È il secondo dei due decreti approvati in via definitiva ad agosto: il primo, su polizia, biometria e responsabilità, è il D.Lgs. 160/2026, in vigore dal 30 settembre.
Cinquantaquattro articoli, cinque capi. Quattro profili meritano attenzione.
Chi vigila, e su cosa
AgID è autorità di notifica degli organismi di valutazione della conformità. L’ACN è autorità di vigilanza del mercato e punto di contatto unico con l’Unione. ACN gestisce la registrazione nazionale dei sistemi ad alto rischio relativi alle infrastrutture critiche. Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio impiegati nei rispettivi settori, con poteri ispettivi propri. Il Garante opera nei limiti dell’art. 74, par. 8, del Regolamento.
Le modalità di esercizio dei poteri sono rinviate a un DPCM. Fino alla sua adozione la mappa delle competenze è definita, la procedura ispettiva non ancora.
L’art. 23 fissa le sanzioni: fino a 35 milioni o al 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o al 3% per gli obblighi di fornitori, importatori, distributori e deployer; fino a 7,5 milioni o all’1% per informazioni inesatte o fuorvianti rese alle autorità. Quest’ultima voce è quella da presidiare subito, perché riguarda la risposta alle richieste istruttorie, a prescindere dalla conformità sostanziale.
L’art. 41: una disciplina più rigorosa dell’art. 22 GDPR
Le decisioni finali su assunzione, modifica e cessazione del rapporto, compresi provvedimenti disciplinari e valutazioni delle prestazioni, non possono fondarsi unicamente su un trattamento automatizzato. La decisione spetta a una persona fisica con potere effettivo e autonomo, e il lavoratore può ottenere una motivazione intelligibile che indichi l’incidenza del sistema e i principali parametri considerati. La violazione comporta la nullità.
Due precisazioni cambiano la lettura. Il consenso del lavoratore non opera come eccezione: è uno scarto rispetto all’art. 22, par. 2, lett. c), del Regolamento generale, che lo ammette. La ricerca e selezione delle candidature non rientra fra le decisioni finali, anche quando esclude il candidato dalle fasi successive. Il filtro automatico in fase di screening resta quindi fuori dalla sanzione di nullità, ma non dall’art. 22 GDPR che continua ad applicarsi e che il decreto non può derogare.
Sicurezza sul lavoro
L’art. 42 impone di ponderare nel documento di valutazione dei rischi ex art. 28 del D.Lgs. 81/2008 i sistemi che incidono su organizzazione, ritmi, modalità della prestazione o decisioni rilevanti per la sicurezza, con correlati obblighi di informazione e formazione. I sistemi di AI escono dalla categoria del software gestionale ed entrano nel perimetro prevenzionistico.
Segreto commerciale e obbligo di esibizione
L’art. 52 introduce il comma 1-bis all’art. 98 del codice della proprietà industriale: dati, algoritmi e metodi di addestramento — architetture, funzioni di ottimizzazione, configurazioni — possono costituire segreto commerciale.
Il punto va letto insieme all’art. 17 del D.Lgs. 160/2026, che consente al danneggiato di ottenere l’esibizione della documentazione tecnica, con i fatti allegati ritenuti ammessi in caso di inadempimento. Il segreto non è un argomento per rifiutare l’esibizione, ma per ottenerne le modalità protette. Chi non ha classificato in anticipo il proprio patrimonio tecnico come riservato non potrà invocarne la tutela nel momento in cui serve.
Indicazioni operative
L’organizzazione deve:
- mappare i sistemi in uso rispetto al nuovo riparto di competenze, individuando per ciascuno l’autorità di riferimento;
- rivedere i processi HR che impiegano AI, documentando l’intervento umano effettivo e predisponendo la motivazione da rendere su richiesta;
- valutare l’aggiornamento del DVR:
- formalizzare la classificazione come segreto commerciale di dataset e modelli proprietari, con le misure di protezione che l’art. 98 richiede;
- definire una procedura per le richieste istruttorie, con revisione legale delle risposte tecniche prima dell’invio.
