In breve. Il D.Lgs. 179/2026 è in vigore dal 23 ottobre 2026 e adegua le norme italiane all'AI Act. Per un'azienda che usa l'intelligenza artificiale contano soprattutto cinque cose: le decisioni sui lavoratori non possono essere prese solo da un sistema automatico (art. 41); l'IA che incide su organizzazione, ritmi o sicurezza va valutata nel DVR (art. 42); a vigilare è l'ACN, con sanzioni che riprendono quelle dell'AI Act; dati e algoritmi di addestramento possono essere tutelati come segreti industriali (art. 52); gli ordini professionali dovranno inserire l'IA nella formazione.
Il decreto è lungo, 54 articoli, e buona parte riguarda la pubblica amministrazione, la scuola e le autorità. Qui teniamo solo quello che tocca chi guida un'azienda.
Che cos'è il D.Lgs. 179/2026
È il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 ed entrato in vigore il 23 ottobre. Attua la delega dell'articolo 24 della Legge 132/2025, la legge italiana sull'intelligenza artificiale, e serve ad adeguare le norme nazionali al Regolamento (UE) 2024/1689, cioè l'AI Act.
Non sostituisce l'AI Act e non lo ripete. Fa tre cose: dice quali autorità italiane vigilano e con quali poteri, fissa il procedimento per le sanzioni e aggiunge regole italiane su lavoro, formazione, professioni e proprietà industriale. È il secondo decreto attuativo della Legge 132/2025, dopo il D.Lgs. 160/2026.
Se vuoi capire come si incastrano AI Act e legge italiana, ne parliamo in AI Act e Legge 132/2025: le differenze.
Decisioni sui lavoratori: l'ultima parola a una persona (art. 41)
Chi usa l'IA per gestire il personale deve garantire che le decisioni su assunzione, modifica e cessazione del rapporto non siano prese solo da un sistema automatico. Il divieto copre anche i provvedimenti disciplinari e le valutazioni delle prestazioni. La decisione finale spetta a una persona fisica.
Quattro punti pratici:
- La selezione dei candidati non è una decisione finale. Usare l'IA per cercare e ordinare i curriculum resta possibile; la scelta di assumere no.
- Il consenso del lavoratore non basta. Anche se il dipendente firma, il divieto resta.
- Va data l'informativa prima di partire. Prima di avviare il trattamento il lavoratore va informato secondo il D.Lgs. 152/1997, e può chiedere che una persona gli spieghi in modo comprensibile la decisione che lo riguarda.
- La sanzione è la nullità. Un licenziamento o un'altra decisione presa in violazione del divieto è nulla.
Una supervisione solo formale, dove il responsabile approva quello che il sistema propone senza guardarlo, è il punto debole. Se il punteggio di un software di telematica o il conteggio degli scarti della visione artificiale finiscono in una contestazione, deve esserci una persona che ha valutato davvero.
Sicurezza sul lavoro: l'IA entra nel DVR (art. 42)
L'articolo 42 dice che i sistemi di IA che incidono sull'organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sulle decisioni rilevanti per la sicurezza vanno valutati nel documento di valutazione dei rischi previsto dall'art. 28 del D.Lgs. 81/2008. Il datore di lavoro deve anche informare e formare i lavoratori sui rischi specifici e sulle misure adottate.
È la parte che riguarda più da vicino le aziende manifatturiere, perché l'IA entra spesso senza un progetto dedicato: un modulo del gestionale che pianifica la produzione, le telecamere anticollisione sui carrelli, la manutenzione predittiva venduta con la macchina. Quando scatta l'obbligo, quando no e cosa rischia chi non valuta lo spiega l'avvocato giuslavorista Beatrice Verrati in IA e DVR dopo il D.Lgs. 179/2026.
Chi controlla e quanto si rischia
L'autorità di vigilanza del mercato è l'Agenzia per la cybersicurezza nazionale (ACN), che è anche il punto di contatto unico per l'AI Act. L'Agenzia per l'Italia Digitale (AgID) è l'autorità di notifica, cioè quella che segue gli organismi che valutano la conformità dei sistemi. Nei loro settori vigilano Banca d'Italia, CONSOB e IVASS per i sistemi ad alto rischio usati nei servizi che sorvegliano, e il Garante privacy nei casi indicati dall'AI Act.
Per le sanzioni il decreto riprende i massimali dell'AI Act: fino a 35 milioni di euro per le pratiche vietate, 15 milioni per la violazione degli obblighi degli operatori, 7,5 milioni per le informazioni inesatte date alle autorità, oppure una percentuale del fatturato mondiale. Per le grandi imprese vale l'importo più alto dei due, per le PMI il più basso (art. 99 dell'AI Act). Per le violazioni di scarsa offensività sono previste misure non pecuniarie.
Per una PMI che usa strumenti di IA senza svilupparli, i rischi concreti oggi non vengono da qui ma dalle regole sul lavoro: la nullità delle decisioni dell'art. 41 e le sanzioni del D.Lgs. 81/2008 per una valutazione dei rischi incompleta.
Dati e algoritmi diventano segreti industriali (art. 52)
L'articolo 52 modifica l'articolo 98 del codice della proprietà industriale. Da ora anche i dati, gli algoritmi e i metodi matematici usati per addestrare un sistema di IA possono essere tutelati come informazioni aziendali riservate, se rispettano le condizioni di quell'articolo. Tra gli algoritmi e i metodi rientrano le architetture dei modelli, le funzioni di ottimizzazione e le configurazioni di addestramento.
Per un'azienda che ha addestrato un modello sui propri dati, per esempio sullo storico delle macchine o sui difetti di produzione, è una tutela in più. Vale però solo se quelle informazioni sono davvero tenute riservate: accessi limitati, accordi di riservatezza con fornitori e consulenti, regole scritte su chi può usarle. Un dataset caricato su un servizio esterno senza contratto difficilmente si potrà difendere come segreto.
Le controversie restano alle sezioni specializzate in materia di impresa (art. 53).
Formazione e professionisti
Il Capo III del decreto è dedicato alla formazione: studenti, docenti, pubblica amministrazione, personale della giustizia e professionisti. Per le aziende contano due cose.
- Gli ordini professionali dovranno inserire percorsi sull'IA nella formazione iniziale e continua, con un termine di sei mesi per adeguare i regolamenti. Commercialisti, consulenti del lavoro, ingegneri e avvocati che lavorano con te saranno chiamati a formarsi.
- L'equo compenso potrà tenere conto dell'uso di sistemi di IA e della loro classe di rischio, con dodici mesi per integrare i parametri.
Resta fermo l'obbligo di alfabetizzazione dell'articolo 4 dell'AI Act per chi usa sistemi di IA in azienda, di cui parliamo in Formazione AI Act obbligatoria.
Cosa fare adesso
- Fai l'elenco dei sistemi di IA che usate, compresi i moduli del gestionale, le funzioni dentro le macchine e gli strumenti che usano i singoli reparti. È il punto di partenza di tutto il resto, e il registro dei sistemi AI è il modo di tenerlo in ordine.
- Segna quelli che toccano decisioni sulle persone, come turni, valutazioni, contestazioni o selezione, e verifica che la decisione finale sia di una persona e che i lavoratori abbiano ricevuto l'informativa.
- Porta al tuo RSPP quelli che incidono su organizzazione, ritmi o sicurezza, perché entrino nella valutazione dei rischi entro i tempi del D.Lgs. 81/2008.
- Controlla la formazione: quella sui rischi specifici dell'art. 42 e quella sull'IA dell'art. 4 dell'AI Act.
- Se avete addestrato modelli sui vostri dati, mettete per iscritto chi può accedervi e fate firmare accordi di riservatezza a chi li tocca.
Domande frequenti
Le domande che tornano
- Da quando è in vigore il D.Lgs. 179/2026?
- Dal 23 ottobre 2026. È stato pubblicato nella Gazzetta Ufficiale, Serie generale, n. 234 dell'8 ottobre 2026.
- Che rapporto c'è tra D.Lgs. 179/2026, Legge 132/2025 e AI Act?
- L'AI Act è il regolamento europeo. La Legge 132/2025 è la legge italiana sull'intelligenza artificiale e, all'articolo 24, delega il Governo ad adeguare le norme nazionali. Il D.Lgs. 179/2026 è uno dei decreti che attuano quella delega: dice chi vigila, come si sanziona e aggiunge regole italiane su lavoro, formazione e segreti industriali.
- Un'azienda può licenziare o fare una contestazione disciplinare con l'IA?
- Può usare l'IA come supporto, ma la decisione finale deve prenderla una persona fisica. L'articolo 41 vieta le decisioni su assunzione, modifica e cessazione del rapporto, comprese le sanzioni disciplinari e le valutazioni, basate solo su un trattamento automatizzato. Il consenso del lavoratore non basta a superare il divieto e le decisioni prese in violazione sono nulle.
- L'intelligenza artificiale va inserita nel DVR?
- Sì, quando incide sull'organizzazione del lavoro, sui ritmi, sulle modalità di esecuzione o sulle decisioni rilevanti per la sicurezza (articolo 42, comma 2). Il datore di lavoro deve anche informare e formare i lavoratori sui rischi specifici.
- Chi controlla le aziende che usano l'IA in Italia?
- L'Agenzia per la cybersicurezza nazionale (ACN) è l'autorità di vigilanza del mercato e il punto di contatto unico; l'Agenzia per l'Italia Digitale (AgID) è l'autorità di notifica. Nei rispettivi settori vigilano anche Banca d'Italia, CONSOB e IVASS, e il Garante privacy nei casi previsti dall'AI Act.
