Il 23 ottobre 2026 entra in vigore ilDecreto 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, con il quale il legislatore nazionale ha adeguato l’ordinamento italiano al Regolamento (UE) 2024/1689, meglio noto comeAI Act.
Il Decreto 179 rende concretamente operativo a livello nazionale il sistema di applicazione del Regolamento europeo, individuando le autorità competenti, disciplinandone i poteri di vigilanza e sanzionatori e introducendo specifiche disposizioni in materia di sperimentazione e sandbox.
L’obiettivo del presente contributo è esaminare il contenuto del Decreto 179 privilegiando i profili di maggiore interesse operativo per imprese e soggetti che impiegano sistemi di intelligenza artificiale.
Il calendario delle scadenze dell’AI Act
L’entrata in vigore del Decreto 179 deve essere coordinata con il calendario di applicazione progressiva dell’AI Act. IlRegolamento (UE) 2024/1689, infatti, ha previsto sin dall’origine un’applicazione graduale delle proprie disposizioni, successivamente interessata da modifiche del calendario relativo, in particolare, ai sistemi di intelligenza artificiale ad alto rischio.
Una prima parte della disciplina europea è già applicabile dal 2 febbraio 2025, con riferimento, tra l’altro, alle definizioni, all’alfabetizzazione in materia di intelligenza artificiale e alla maggior parte delle pratiche di IA vietate. Dal 2 agosto 2025 sono divenute applicabili ulteriori disposizioni concernenti la governance europea, i modelli di intelligenza artificiale per finalità generali e il sistema sanzionatorio.
Dal 2 agosto 2026 l’AI Act è entrato nella sua fase generale di applicazione, pur permanendo alcune significative disposizioni soggette a termini successivi. In particolare, ulteriori divieti introdotti nell’art. 5 troveranno applicazione dal 2 dicembre 2026, mentre la disciplina relativa ai sistemi ad alto rischio ricompresi nell’Allegato III diverrà applicabile dal 2 dicembre 2027.
Per i sistemi ad alto rischio collegati ai prodotti disciplinati dalla normativa europea di armonizzazione indicata nell’Allegato I, il termine è invece fissato al 2 agosto 2028. Sul calendario aggionato delle scadenze rinviamo a un nostroprecedente approfondimento.
È all’interno di questa scansione temporale che deve essere letto il Decreto 179. Il legislatore nazionale interviene, infatti, mentre una parte significativa dell’AI Act è già direttamente applicabile, predisponendo l’apparato istituzionale necessario a garantirne l’effettiva attuazione nell’ordinamento italiano.
Parallelamente, lo stesso Decreto 179 fissa specifici termini per l’adozione dei successivi provvedimenti attuativi: alcune misure dovranno essere adottate entro novanta giorni, mentre per l’adeguamento della formazione professionale sono previsti termini di sei mesi e, in materia di parametri per l’equo compenso, un termine di dodici mesi.
AgID, ACN e autorità di settore nel Decreto 179
Uno dei profili centrali del Decreto 179 riguarda la definizione dell’assetto istituzionale nazionale chiamato ad assicurare l’attuazione dell’AI Act. Il legislatore ha scelto un modello di vigilanza articolato, nel quale le competenze sono distribuite tra autorità generali e autorità settoriali, con meccanismi di coordinamento destinati a evitare sovrapposizioni e vuoti di tutela.
L’Agenzia per l’Italia Digitale (AgID) assume il ruolo di autorità nazionale di notifica. In tale veste, è responsabile delle procedure relative alla valutazione, designazione e notifica degli organismi di valutazione della conformità, nonché del loro successivo monitoraggio.
L’Agenzia per la cybersicurezza nazionale (ACN) riveste invece una posizione centrale sul versante della vigilanza del mercato. Il Decreto 179 la individua quale principale autorità competente sui sistemi di intelligenza artificiale e quale punto di contatto unico nazionale, attribuendole compiti di controllo, coordinamento e intervento nei confronti degli operatori soggetti alla disciplina europea.
Accanto ad AgID e ACN operano le autorità competenti nei settori regolamentati. In particolare, per i sistemi di IA ad alto rischio utilizzati nell’erogazione di servizi finanziari, assumono rilievo la Banca d’Italia, la CONSOB e l’IVASS, secondo i rispettivi ambiti di vigilanza. Restano inoltre ferme le competenze del Garante per la protezione dei dati personali, nei casi espressamente previsti dal Regolamento.
Intelligenza Artificiale, poteri dell’ACN e profili di cybersicurezza
Nel sistema delineato dal Decreto 179, l’Agenzia per la cybersicurezza nazionale assume un ruolo particolarmente incisivo, non soltanto quale autorità di vigilanza del mercato, ma anche quale soggetto chiamato a presidiare l’intersezione tra conformità dei sistemi di intelligenza artificiale esicurezza informatica.
L’art. 15 attribuisce infatti all’ACN i poteri di vigilanza e ispettivi previsti dall’AI Act e dalla disciplina europea sulla vigilanza del mercato, consentendo all’Agenzia di verificare il rispetto degli obblighi applicabili ai sistemi immessi sul mercato, messi in servizio o utilizzati in Italia.
Il Decreto 179 rafforza inoltre il carattere interistituzionale della vigilanza. L’ACN è chiamata a coordinarsi con le autorità settoriali competenti e con il Garante per la protezione dei dati personali e può individuare forme di cooperazione operativa e informativa con Guardia di finanza, Polizia di Stato, Arma dei Carabinieri e Direzione investigativa antimafia, nei rispettivi ambiti di competenza. La vigilanza può essere attivata a seguito della segnalazione di incidenti gravi, della presentazione di reclami, di comunicazioni provenienti da altre autorità oppure d’ufficio dalla stessa Agenzia.
Vigilanza, ispezioni e reclami: come funziona l’enforcement dell’AI Act in Italia
La disciplina introdotta dal Decreto 179 assume particolare rilievo anche sotto il profilo dell’enforcement, poiché definisce le modalità attraverso le quali le autorità nazionali possono intervenire in presenza di possibili violazioni dell’AI Act.
Il sistema è costruito secondo una logica di vigilanza diffusa e coordinata, nella quale i controlli possono essere attivati non soltanto a seguito di iniziative delle autorità, ma anche sulla base di segnalazioni e reclami provenienti dall’esterno.
In particolare, il procedimento di vigilanza dell’ACN può essere avviato a seguito della segnalazione di un incidente grave ai sensi dell’art. 73 dell’AI Act, della presentazione di un reclamo non manifestamente infondato, di una segnalazione proveniente da altre autorità ovvero d’ufficio.
Il Decreto 179 attribuisce inoltre alle autorità nazionali di vigilanza del mercato il compito di ricevere e trattare i reclami previsti dall’art. 85 del Regolamento, assicurando il pieno contraddittorio. Qualora il reclamo venga presentato a un’autorità priva di competenza, questo deve essere trasmesso d’ufficio all’autorità competente, con contestuale comunicazione al reclamante.
Le sanzioni del Decreto 179
Uno degli aspetti di maggiore rilievo operativo del Decreto 179 è rappresentato dalla disciplina sanzionatoria, che rende concretamente azionabile nell’ordinamento nazionale il sistema di enforcement previsto dall’AI Act.
Il legislatore individua le autorità competenti all’irrogazione delle sanzioni e coordina il procedimento nazionale con l’art. 99 del Regolamento, confermando un apparato particolarmente severo, costruito in funzione della natura e della gravità della violazione.
Le pratiche vietate ai sensi dell’art. 5 dell’AI Act sono soggette, salvo che il fatto costituisca reato, a una sanzione amministrativa pecuniaria fino a 35 milioni di euro ovvero, se superiore, fino al 7% del fatturato mondiale totale annuo dell’esercizio precedente.
Per la violazione di numerosi obblighi gravanti sui soggetti della filiera dell’intelligenza artificiale, il Decreto 179 prevede invece sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale, mentre la comunicazione alle autorità o agli organismi notificati di informazioni inesatte, incomplete o fuorvianti può comportare una sanzione fino a 7,5 milioni di euro o all’1% del fatturato.
Ulteriori violazioni sono assoggettate a sanzioni fino a un milione di euro o allo 0,5% del fatturato mondiale annuo. Per PMI, microimprese e start-up innovative continua ad applicarsi il criterio proporzionato previsto dall’AI Act.
Particolarmente significativa è, tuttavia, la previsione di misure non pecuniarie. In presenza di violazioni caratterizzate da scarsa offensività o pericolosità, l’autorità può ordinare al soggetto interessato di eliminare l’infrazione e di astenersi dal ripeterla, indicando anche le misure correttive da adottare e il termine entro cui conformarsi. Qualora la violazione sia già cessata, può essere disposta una dichiarazione pubblica concernente l’illecito e il soggetto responsabile. L’inosservanza dell’ordine di adeguamento può determinare l’applicazione della sanzione pecuniaria con un aumento sino a un terzo.
Regulatory Sandbox per Start up: lo Spazio di sperimentazione italiano per l’IA
Tra le innovazioni più rilevanti introdotte dal Decreto 179 assume particolare importanza l’istituzione dello Spazio di sperimentazione italiano per l’intelligenza artificiale, previsto dall’art. 26 in attuazione dell’art. 57 dell’AI Act.
Si tratta di una vera e propriaregulatory sandbox, concepita come ambiente controllato nel quale fornitori e potenziali fornitori di sistemi di IA possono sviluppare, testare e validare soluzioni innovative sotto la vigilanza delle autorità nazionali competenti.
Lo Spazio di sperimentazione è posto sotto la vigilanza diretta di AgID e ACN, che ne assicurano congiuntamente la gestione secondo le rispettive competenze. La finalità è quella di promuovere un apprendimento regolatorio fondato sulle evidenze emerse durante la sperimentazione e di agevolare l’accesso al mercato europeo dei sistemi conformi alla disciplina dell’AI Act.
Il Decreto 179 attribuisce particolare rilievo alle piccole e medie imprese e alle start-up, per le quali è prevista una priorità di accesso secondo criteri che dovranno essere definiti dai successivi provvedimenti attuativi.
Il Gruppo operativo incaricato della gestione tecnica dello Spazio è chiamato a monitorare l’esecuzione dei piani di sperimentazione anche mediante strumenti di logging, auditing e tracciabilità delle modifiche, nonché attraverso verifiche di compliance normativa e regolatoria.
Il legislatore nazionale prevede inoltre la possibilità di istituire ulteriori spazi di sperimentazione per sistemi di IA impiegabili in ambito duale, per applicazioni destinate all’attività giudiziaria e a livello regionale o locale. È altresì previsto il coordinamento con la sperimentazione FinTech per i sistemi destinati ai settori bancario, finanziario e assicurativo.
Opportunità per start-up e imprese digitali
Il Decreto 179 introduce anche strumenti potenzialmente favorevoli allo sviluppo dell’ecosistema nazionale dell’intelligenza artificiale. Per start-up e imprese digitali, il nuovo quadro normativo rappresenta un fattore di maggiore certezza regolatoria, soprattutto nella fase di sviluppo, validazione e immissione sul mercato di soluzioni basate su IA.
Il Decreto Legislativo in esame valorizza espressamente il ruolo delle PMI e delle start-up e promuove forme di collaborazione finalizzate al trasferimento tecnologico, alla ricerca applicata e alla sperimentazione.
Accanto alla dimensione regolatoria, il Decreto 179 interviene anche sulla protezione del patrimonio tecnologico delle imprese che sviluppano sistemi di intelligenza artificiale. L’art. 52 modifica infatti l’art. 98 del Codice della proprietà industriale, chiarendo espressamente che possono essere tutelati come segreti commerciali, quando ricorrono i requisiti previsti dalla legge, anche i dati, gli algoritmi e i metodi matematici utilizzati per l’addestramento dei sistemi di IA. La disposizione ricomprende in tale nozione anche le architetture dei modelli, le funzioni di ottimizzazione, le procedure e le configurazioni di addestramento e, più in generale, gli elementi tecnico-computazionali funzionali allo sviluppo del sistema.
La norma non attribuisce, quindi, un nuovo diritto esclusivo sull’algoritmo in quanto tale, ma chiarisce che questi elementi possono essere protetti attraverso la disciplina del know-how e dei segreti commerciali. La tutela opera, tuttavia, soltanto quando l’informazione sia effettivamente segreta, possieda un valore economico proprio in ragione della sua riservatezza e sia sottoposta a misure ragionevolmente adeguate a mantenerla tale.
Per start-up, software house e imprese che sviluppano soluzioni di intelligenza artificiale, il profilo assume una rilevanza concreta. La protezione dell’asset tecnologico dipenderà infatti anche dalla capacità dell’impresa di dimostrare di avere adottato adeguati presidi contrattuali, organizzativi e tecnici, quali accordi di riservatezza, clausole specifiche nei rapporti con sviluppatori e fornitori, sistemi di controllo degli accessi, segregazione delle informazioni e procedure interne di gestione del know-how.
Assistenza legale in materia di Intelligenza Artificiale
Il nostro Studio Legale assiste imprese e start-up nei principali ambiti del diritto dell’innovazione e delle nuove tecnologie, con particolare riferimento allanormativa sull’intelligenza artificiale, alla AI compliance, alla cybersicurezza e alla proprietà industriale. Supportiamo le aziende nella costruzione di modelli di governance conformi al quadro europeo e nazionale, capaci di coniugare sviluppo tecnologico, tutela dei diritti e gestione del rischio regolatorio.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.