La Legge 132/2025, anche nota come Legge sull’Intelligenza Artificiale, introduce un quadro di regole organico volto a disciplinare l’uso dei sistemi di intelligenza artificiale in diversi settori dell’attività umana, con l’obiettivo di garantire un equilibrio tra innovazione tecnologica e tutela dei diritti fondamentali.
Pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025, la norma rappresenta il primo intervento sistematico del legislatore nazionale in materia, a completamento della disciplina del Regolamento (UE) 2024/1689 (c.d. AI Act), cui si affianca per definire un insieme coerente di norme e principi.
Il presente contributo si propone di offrire una panoramica ragionata delle disposizioni più rilevanti della Legge 132, con esclusione della disciplina concernente il trattamento dei dati sanitari, già oggetto di una precedente disamina.
In particolare, saranno esaminati gli articoli relativi all’impiego dell’intelligenza artificiale nelle professioni intellettuali, nella pubblica amministrazione e nell’attività giudiziaria, per poi approfondire le deleghe legislative conferite al Governo in materia di algoritmi, dati e responsabilità penale. Seguirà un commento alle modifiche apportate alla legge sul diritto d’autore e alle disposizioni penali, con particolare riguardo al nuovo art. 612-quater del codice penale e alle aggravanti legate all’uso di sistemi di IA.
Legge 132/2025 e applicazioni dell’intelligenza artificiale nelle professioni, nella Pubblica Amministrazione e nella Giustizia
La Legge 132/2025 dedica una parte significativa del proprio impianto normativo alla regolazione dell’impiego dei sistemi di intelligenza artificiale nei contesti professionali, amministrativi e giudiziari, delineando una cornice di principi ispirata al primato della persona sull’algoritmo. Gli articoli 13, 14 e 15 introducono una disciplina unitaria che mira a garantire l’uso responsabile dell’IA quale strumento di supporto all’attività umana, mai sostitutivo della capacità decisionale e valutativa del professionista o del pubblico funzionario.
Con riferimento alle professioni intellettuali, l’art. 13 ribadisce il principio di prevalenza del lavoro umano rispetto agli strumenti automatizzati, chiarendo che l’intelligenza artificiale può essere utilizzata solo per attività strumentali e di ausilio alla prestazione d’opera. Si tratta di un’affermazione di particolare rilievo, poiché riafferma la natura fiduciaria del rapporto tra professionista e cliente, tutelando l’autonomia intellettuale e la responsabilità personale del primo.
Coerentemente, la norma impone al professionista un dovere di trasparenza informativa, prevedendo che le caratteristiche dei sistemi di IA impiegati siano comunicate al destinatario della prestazione con linguaggio chiaro e comprensibile, così da assicurare piena consapevolezza delle tecnologie utilizzate nel processo di elaborazione e di consulenza.
Per quanto concerne la pubblica amministrazione, l’art. 14 individua l’obiettivo di un impiego dell’intelligenza artificiale funzionale all’efficienza procedimentale e al miglioramento della qualità dei servizi, ma sempre nel rispetto del principio di tracciabilità e conoscibilità degli algoritmi. L’IA, in questa prospettiva, assume un ruolo meramente ausiliario rispetto all’attività provvedimentale, mentre la decisione finale rimane prerogativa dell’essere umano, unico titolare della responsabilità giuridica del procedimento. La norma introduce altresì l’obbligo per le amministrazioni di adottare misure tecniche, organizzative e formative volte a garantire un uso etico, controllato e consapevole delle tecnologie, senza nuovi o maggiori oneri per la finanza pubblica.
Infine, l’art. 15 estende tali principi al settore della giustizia, specificando che ogni decisione in ordine all’interpretazione della legge, alla valutazione delle prove e all’adozione dei provvedimenti resta esclusivamente riservata al magistrato. Il Ministero della giustizia è chiamato a regolamentare l’impiego dei sistemi di intelligenza artificiale per finalità organizzative e di semplificazione del lavoro giudiziario, nonché a promuovere la formazione digitale dei magistrati e del personale amministrativo.
Le deleghe legislative della Legge 132/2025: dati, algoritmi, vigilanza e responsabilità
Nel cuore della Legge 132/2025 si collocano le deleghe legislative che il Parlamento conferisce al Governo per costruire, entro dodici mesi dall’entrata in vigore, un assetto organico delle regole sull’uso dei dati, degli algoritmi e dei metodi matematici impiegati nell’addestramento dei sistemi di intelligenza artificiale, nonché per adeguare l’ordinamento interno al Regolamento (UE) 2024/1689 e tipizzare gli illeciti connessi alla realizzazione o all’impiego abusivo dei medesimi sistemi.
L’art. 16 della Legge 132 delimita con nettezza il perimetro: nel dominio già assoggettato all’AI Act l’intervento nazionale non può introdurre “obblighi ulteriori” rispetto a quelli europei, imponendo al legislatore delegato un delicato esercizio di coordinamento.
In tale cornice, i decreti dovranno innanzitutto individuare le ipotesi in cui si renda necessario disciplinare giuridicamente l’utilizzo di dati, algoritmi e metodi di addestramento, chiarendo diritti e obblighi delle parti che intendano procedervi, e predisponendo strumenti di tutela tanto risarcitori quanto inibitori, affiancati da un apparato sanzionatorio proporzionato.
La scelta di attribuire la cognizione delle relative controversie alle sezioni specializzate in materia di impresa segnala la volontà di concentrare la giurisdizione su giudici tecnicamente attrezzati per governare conflitti ad alta intensità tecnologica e informativa.
Sul piano procedurale, gli schemi dei decreti sono proposti dal Presidente del Consiglio dei ministri e dal Ministro della giustizia, trasmessi alle Camere per il parere delle Commissioni competenti e, decorso il termine di sessanta giorni, possono essere emanati anche in mancanza di parere; è prevista una proroga di sessanta giorni quando il termine parlamentare si sovrapponga alla scadenza della delega, a testimonianza dell’esigenza di un confronto istituzionale non meramente formale.
L’art. 24 della Legge 132 reca una delega più ampia, espressamente incardinata sulle procedure di cui all’art. 31 della legge n. 234/2012, che impone al Governo di acquisire i pareri delle Commissioni parlamentari, della Conferenza unificata e del Garante per la protezione dei dati personali, e di adottare uno o più decreti legislativi per l’adeguamento dell’ordinamento interno all’AI Act e per l’ulteriore specificazione della disciplina dei casi di realizzazione e impiego illecito di sistemi di IA.
Il quadro dei criteri direttivi è particolarmente articolato e innerva l’intero ciclo di vita delle tecnologie: alle autorità di cui all’art. 20 dovranno essere attribuiti, nei limiti della rispettiva designazione, i poteri di vigilanza, ispezione e sanzione previsti dal regolamento europeo, incluse le prerogative tipiche dell’autorità di vigilanza del mercato (richiesta di informazioni, ispezioni in loco e a distanza senza preavviso, controlli sulle prove in condizioni reali e sui sistemi ad alto rischio).
In parallelo, il legislatore delegato è chiamato ad apportare le modifiche necessarie alle normative settoriali – anche in materia di servizi bancari, finanziari, assicurativi e di pagamento – per garantire un adeguamento integrale e coerente, evitando vuoti applicativi o sovrapposizioni.
Di rilievo è poi l’opzione per un uso calibrato della regolazione secondaria da parte delle autorità individuate, nel rispetto delle loro competenze, al fine di tradurre in misure tecniche i principi del regolamento.
Sul terreno repressivo e di enforcement, la Legge 132 indica la strada di un adeguamento del quadro sanzionatorio agli standard dell’art. 99 dell’AI Act, attribuendo alle autorità nazionali il potere di irrogare sanzioni e misure amministrative entro i limiti edittali europei e secondo procedure compatibili con l’ordinamento interno, con possibilità di deroga ai criteri generali dell’art. 32, comma 1, lett. d), della legge n. 234/2012 e alla legge n. 689/1981, quando necessario a dare piena esecuzione al diritto dell’Unione.
L’art. 24, inoltre, orienta l’intervento del Governo verso la prevenzione del rischio attraverso percorsi di alfabetizzazione e formazione all’uso dell’IA: da un lato, promossi dagli ordini professionali, dalle associazioni di categoria e dalle forme aggregative ex legge n. 4/2013, con la possibile introduzione di un equo compenso modulato in base a responsabilità e rischi connessi all’adozione dell’IA; dall’altro lato, mediante il potenziamento dei curricula scolastici nelle discipline STEM e artistiche, lo sviluppo di attività formative in università, e la valorizzazione della ricerca e del trasferimento tecnologico, anche tramite il coinvolgimento del sistema universitario in spazi di sperimentazione normativa (sandbox) in cooperazione con le autorità nazionali.
Non meno significativo è il mandato a definire una disciplina ad hoc per l’uso di sistemi di IA nell’attività di polizia, che impone un fine bilanciamento tra esigenze di sicurezza e garanzie dei diritti fondamentali.
Una specifica proiezione penalistica della delega si rinviene tanto nel comma 1 dell’art. 24 quanto nel suo comma 3, con l’espresso incarico al Governo di adeguare e specificare la disciplina dei casi di realizzazione e impiego illecito di sistemi di IA.
I criteri direttivi, elencati al comma 5, disegnano un’architettura completa: misure – anche cautelari – per inibire la diffusione e rimuovere contenuti generati illecitamente con IA; autonome fattispecie di reato, punite a dolo o colpa, centrate sull’omessa adozione o aggiornamento di misure di sicurezza nella produzione, messa in circolazione e uso professionale dei sistemi, quando l’omissione determini un pericolo concreto per la vita o l’incolumità pubblica o individuale o per la sicurezza dello Stato; criteri di imputazione della responsabilità penale delle persone fisiche e della responsabilità amministrativa degli enti, calibrati sul livello effettivo di controllo esercitato sull’algoritmo; strumenti di tutela nella responsabilità civile.
Da ultimo, nella Legge 132, vi è una regolazione dell’uso dell’IA nelle indagini preliminari improntata ai principi di proporzionalità, non discriminazione e trasparenza, nel pieno rispetto del diritto di difesa e della protezione dei dati dei terzi.
A chiudere il cerchio, la delega prevede interventi di coordinamento sostanziale e processuale sull’ordinamento vigente, affinché le innovazioni non rimangano isolate ma si innestino armonicamente nel tessuto normativo.
In sintesi, le deleghe della Legge 132 articolano una strategia in tre movimenti: prevenzione (regole tecniche, formazione, vigilanza ex ante), correzione (poteri ispettivi e misure di esecuzione), e repressione (tipizzazione degli illeciti e sanzioni effettive), con l’intento dichiarato di allineare il diritto interno al paradigma europeo e di fornire ai soggetti pubblici e privati un quadro certo entro cui progettare, addestrare e impiegare sistemi di intelligenza artificiale.
La Legge 132 e la tutela del diritto d’autore nelle opere generate con l’ausilio dell’intelligenza artificiale
La Legge 132 interviene in modo mirato sulla legge sul diritto d’autore, per chiarire il perimetro della protezione autorale nell’ecosistema digitale governato dai modelli di intelligenza artificiale.
La modifica all’art. 1 afferma espressamente che l’oggetto della tutela sono le «opere dell’ingegno umano», includendo quelle realizzate «con l’ausilio di strumenti di intelligenza artificiale» purché costituiscano risultato del lavoro intellettuale dell’autore.
La scelta lessicale restituisce centralità al requisito dell’apporto creativo umano: l’uso dell’IA non è di per sé ostativo alla protezione, ma la tutela sorge solo quando la creazione rechi l’impronta personale dell’autore, riconoscibile in scelte creative autonome (concezione, selezione, organizzazione, direzione del processo generativo) non riducibili a una mera esecuzione automatica. Ne discende che risultati prodotti in via pienamente automatizzata, privi di contributo creativo umano, difettano del presupposto soggettivo della paternità e non accedono al regime di esclusiva.
In parallelo, la Legge 132 innesta un tassello sistemico sull’estrazione di testo e dati (TDM) a fini di addestramento: il nuovo art. 70-septies consente riproduzioni ed estrazioni da opere o materiali legittimamente accessibili in rete o in banche dati «attraverso modelli e sistemi di IA, anche generativa», ferma la conformità agli artt. 70-ter e 70-quater.
Per i soggetti legittimati (ad es. organismi di ricerca e istituti del patrimonio culturale), l’estrazione ai sensi dell’art. 70-ter è ammessa nei limiti dell’accesso lecito: «Sono consentite le riproduzioni compiute da organismi di ricerca e da istituti di tutela del patrimonio culturale, per scopi di ricerca scientifica, ai fini dell’estrazione di testo e di dati da opere o da altri materiali disponibili in reti o banche di dati cui essi hanno lecitamente accesso, nonché la comunicazione al pubblico degli esiti della ricerca ove espressi in nuove opere originali».
Mentre l’estrazione “generale” ex art. 70-quater resta subordinata all’assenza di opt-out espresso dai titolari: «Fermo restando quanto previsto dall’articolo 70-ter, sono consentite le riproduzioni e le estrazioni da opere o da altri materiali contenuti in reti o in banche di dati cui si ha legittimamente accesso ai fini dell’estrazione di testo e di dati. L’estrazione di testo e di dati è consentita quando l’utilizzo delle opere e degli altri materiali non è stato espressamente riservato dai titolari del diritto d’autore e dei diritti connessi nonché dai titolari delle banche dati».
La Legge 132 assimila così l’addestramento dei sistemi di IA alle ordinarie operazioni di TDM, imponendo a sviluppatori e fornitori un rigoroso governo della filiera dei dati: verifica della liceità dell’accesso, tracciabilità delle fonti, rispetto degli opt-out.
La coerenza dell’impianto è rafforzata sul versante sanzionatorio: l’art. 26 introduce nell’art. 171, comma 1, della legge d’autore la nuova lettera a-ter, che qualifica come illecito penale la riproduzione o estrazione di testo o dati in violazione degli artt. 70-ter e 70-quater, anche mediante sistemi di IA.
La combinazione tra regola abilitante e presidio repressivo (171, a-ter) produce un effetto di chiusura del sistema: l’addestramento è lecito se e nella misura in cui rispetta i presupposti dell’accesso e dell’eventuale opt-out; in caso contrario, l’attività esce dall’alveo dell’eccezione ed è suscettibile di sanzione. In prospettiva applicativa, la Legge 132 sollecita prassi di compliance by design nei contratti di licenza e nei dataset governance frameworks, con clausole su fonti, opt-out, audit dei dati e responsabilità lungo la catena dei fornitori, così da assicurare che l’apporto creativo umano resti al centro della protezione e che l’uso massivo dei contenuti a fini di IA si svolga entro confini normativi chiari e verificabili.
Le nuove disposizioni penali della Legge 132/2025: l’articolo 26 e le modifiche al codice penale e alle leggi speciali
Nell’architettura della Legge 132/202, il Capo VI interviene sul versante sanzionatorio, introducendo di una nuova fattispecie incriminatrice, con l’innesto di circostanze aggravanti e aumenti sanzionatori in ambiti di particolare rilevanza.
La nuova fattispecie di cui all’art. 612-quater c.p. tipizza l’illecita diffusione di contenuti generati o alterati mediante sistemi di intelligenza artificiale. Si tratta di un reato plurioffensivo che tutela il diritto all’identità personale, all’onore e alla reputazione, la libertà di autodeterminazione comunicativa e, più in generale, l’affidabilità delle relazioni sociali e professionali.
La fattispecie richiede che taluno cagioni un danno ingiusto alla persona offesa diffondendo, senza il suo consenso, immagini, video o voci artificiosamente manipolati tramite IA e idonei a indurre in inganno sulla genuinità; le condotte tipiche sono alternative e comprendono la cessione a soggetti determinati, la pubblicazione in spazi accessibili a una pluralità indeterminata e la diffusione in qualsiasi forma.
La fattispecie è a dolo generico, sicché è sufficiente la coscienza e volontà della condotta consapevole della manipolazione e della sua idoneità decettiva; non è richiesto lo specifico fine di nuocere oltre la produzione del danno, che può assumere anche natura non patrimoniale.
La procedibilità è, di regola, a querela della persona offesa; si procede tuttavia d’ufficio quando il fatto è connesso a un delitto perseguibile d’ufficio, ovvero se commesso ai danni di persona incapace, per età o per infermità, o in pregiudizio di una pubblica autorità per ragioni di funzione. La collocazione sistematica accanto all’art. 612-ter c.p. evidenzia la funzione di colmare un vuoto di tutela: mentre quest’ultimo presidia la circolazione non consensuale di contenuti sessualmente espliciti, il novello 612-quater estende la protezione a ogni deepfake o contenuto manipolato idoneo a generare confusione sulla realtà dei fatti, indipendentemente dalla dimensione erotica del materiale.
La Legge 132 prosegue prevedendo una aggravante comune attraverso l’inserimento del n. 11-decies all’art. 61 c.p., destinata ad operare trasversalmente su qualsiasi fattispecie quando il reato sia commesso «mediante l’impiego di sistemi di intelligenza artificiale, quando gli stessi, per la loro natura o per le modalità di utilizzo, abbiano costituito mezzo insidioso, ovvero quando il loro impiego abbia comunque ostacolato la pubblica o la privata difesa, ovvero aggravato le conseguenze del reato».
L’aggravante richiede, dunque, un nesso qualificato tra l’uso dell’IA e l’aumento del disvalore del fatto: non è sufficiente una mera presenza tecnologica di contorno, ma occorre che l’algoritmo incrementi l’offensività (ad es. amplificando la diffusione, occultando l’identità dell’agente, elevando la verosimiglianza del falso). Ne discende un onere probatorio centrato sulla ricostruzione funzionale del ruolo dell’IA nella dinamica delittuosa e sull’accertamento del suo contributo causale alla maggiore pericolosità o all’ostacolo difensivo.
Accanto all’aggravante comune, l’art. 26 delle Legge 132 del 2025 prevede un inasprimento sanzionatorio per altre fattispecie di reato. Per l’art. 294 c.p. (attentati contro i diritti politici del cittadino) è prevista la reclusione da due a sei anni se l’inganno è realizzato con IA: il legislatore tutela così l’integrità del processo democratico, consapevole della capacità dei sistemi generativi di incidere sulla formazione della volontà politica.
Sul versante economico, le Legge 132 del 2025 ha modificato l’art. 2637 c.c. (aggiotaggio) aumentando la pena con reclusione da due a sette anni, quando l’illecito avvenga mediante IA, mentre l’art. 185, comma 1, TUF (manipolazione del mercato) contempla reclusione da due a sette anni e multa da 25.000 a 6.000.000 di euro in caso di uso dell’IA.
In tal modo la novella in esame vuole arginare il rischio di automazione del falso informativo, di scalabilità e di opacità degli strumenti, che amplificano gli effetti distorsivi sui mercati e impongono un trattamento sanzionatorio più severo.
Affidati a una consulenza legale qualificata in ambito AI
La Legge 132 segna una tappa fondamentale nel processo di costruzione di un “diritto dell’intelligenza artificiale” organico e coerente con i principi europei. Ne emerge un quadro di fonti stratificato e in crescenze sofisticazione.
Al cospetto di tali normative, imprese e PA debbono attentamente verificare la conformità dei propri processi decisionali e organizzativi e adotta strategie di compliance nel breve termine.
In questo contesto, il nostro Studio Legale, attivo nei settori dell’intelligenza artificiale, della cybersicurezza e del diritto delle nuove tecnologie, offre supporto giuridico e strategico a imprese e start-up per l’adeguamento alle normative.
[Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale].