Il Parlamento italiano ha approvato la Legge 23 settembre 2025, n. 132, il provvedimento che adatta l’ordinamento nazionale al Regolamento UE 2024/1689 e disegna l’architettura italiana di vigilanza sull’intelligenza artificiale. La legge fissa i principi e indica le autorità competenti, ma rinvia a un decreto legislativo attuativo la parte più operativa: chi controlla cosa, con quali sanzioni, e con quali strumenti di accompagnamento per le imprese più piccole.
È in quel decreto, atteso nei prossimi mesi, che si decide la fisionomia concreta del controllo pubblico sull’IA in Italia.
Due autorità, due competenze distinte
La Legge 132/2025 ha sciolto il nodo che aveva tenuto banco per mesi: a chi affidare la vigilanza.
La scelta è caduta su un modello a due teste. AgID, l’Agenzia per l’Italia Digitale, assume la vigilanza tecnica sui sistemi di intelligenza artificiale. L’Agenzia per la Cybersicurezza Nazionale, l’ACN, si occupa del versante sicurezza. Le due agenzie non operano in isolamento: la legge prevede un coordinamento con il Garante per la protezione dei dati personali e con i supervisori di settore già esistenti, Banca d’Italia, Consob e Ivass, ciascuno per gli ambiti di propria competenza.
La logica è quella di non creare un’autorità unica dell’IA da zero, ma di innestare le nuove funzioni su organismi che già esistono e che già hanno competenze tecniche. Un’IA che gestisce il credito ricade anche sotto l’occhio di Banca d’Italia. Un sistema che tratta dati personali resta sotto il Garante. L’IA usata nei mercati finanziari riguarda anche la Consob.
Il rischio del modello è la frammentazione. Un’impresa che adotta un sistema di IA potrebbe trovarsi a rispondere a più autorità con interpretazioni non sempre allineate. Il decreto attuativo dovrà chiarire i confini.
La scelta di puntare su AgID e ACN ha anche una storia politica. Per mesi si era discusso se affidare la vigilanza al Garante per la protezione dei dati personali, l’autorità che già aveva mostrato i denti nel settore, basti pensare al provvedimento contro alcuni servizi di IA generativa per il trattamento dei dati. La Legge 132/2025 ha invece preferito un’agenzia governativa per la parte tecnica, lasciando al Garante un ruolo di coordinamento sui profili di protezione dei dati. È una decisione che sposta il baricentro della vigilanza verso l’esecutivo e che ha sollevato osservazioni sul grado di indipendenza del controllo, perché un’agenzia che risponde al Governo vigila su una materia in cui lo stesso Governo è anche un grande utilizzatore di IA nella pubblica amministrazione.
Il Comitato di coordinamento a Palazzo Chigi
Per tenere insieme questa pluralità di soggetti, il Governo deve istituire con il decreto un Comitato di coordinamento sull’intelligenza artificiale presso la Presidenza del Consiglio.
La collocazione a Palazzo Chigi è una scelta politica oltre che organizzativa. Segnala che l’IA viene trattata come materia di indirizzo strategico nazionale, non solo come questione tecnica delegata alle agenzie. Il Comitato dovrebbe garantire coerenza tra le autorità, evitare sovrapposizioni e rappresentare l’Italia nei tavoli europei, a partire dall’AI Board che riunisce gli Stati membri.
Resta da vedere se sarà un organismo dotato di poteri reali o una sede di concertazione. La differenza la farà il decreto.
Il precedente che viene in mente è quello della Strategia italiana per l’intelligenza artificiale, elaborata negli anni scorsi e rimasta in larga parte sulla carta per mancanza di una regia operativa. Un Comitato presso Palazzo Chigi può evitare quell’esito solo se dispone di una struttura tecnica stabile e di un mandato chiaro, non se si riduce a una cabina di regia che si riunisce qualche volta l’anno. La capacità di rappresentare l’Italia nei tavoli europei, in particolare, richiede continuità: l’AI Board lavora in modo permanente, e una delegazione che cambia interlocutori a ogni riunione perde peso negoziale.
Sanzioni amministrative e nuove fattispecie penali
Il punto su cui il decreto attuativo viene atteso con più attenzione è quello sanzionatorio.
La Legge 132/2025 delega il Governo a definire le sanzioni amministrative per le violazioni e, soprattutto, a introdurre pene penali per la manipolazione dolosa di dati o algoritmi in contesti critici. È una novità che va oltre il perimetro dell’AI Act europeo, il quale si muove sul piano amministrativo. L’Italia aggiunge una dimensione penale per i casi più gravi, quelli in cui un’alterazione intenzionale di un sistema o dei suoi dati produce danni in ambiti dove la posta in gioco è alta.
La formulazione esatta delle fattispecie sarà oggetto del decreto. Qui si gioca un equilibrio difficile: una norma penale troppo vaga rischia di colpire condotte legittime di sperimentazione, una troppo stretta rischia di lasciare impuniti gli abusi. Il legislatore delegato dovrà calibrare la soglia del dolo e l’individuazione dei contesti critici.
Va segnalato che l’Italia, su questo, anticipa l’Europa. L’AI Act resta sul terreno amministrativo, con sanzioni pecuniarie parametrate al fatturato. La proposta di direttiva europea sulla responsabilità da IA, che avrebbe armonizzato anche il versante risarcitorio, è stata ritirata, lasciando agli Stati margini di manovra. L’Italia sceglie di usare quel margine introducendo una dimensione penale che altri ordinamenti non hanno. È una scelta di severità che può diventare un modello o un’anomalia, a seconda di come verrà scritta e di quanto verrà applicata. Una norma penale che resta inapplicata per anni, come accade a molte fattispecie introdotte con enfasi e mai contestate, varrebbe poco più del comunicato che la annuncia.
Il banco di prova sarà la prassi. Una sanzione amministrativa si commina con un procedimento, una pena penale richiede un’indagine, un processo, una prova del dolo. Trasferire sul piano penale la manipolazione di un algoritmo significa chiedere alla magistratura competenze tecniche che oggi scarseggiano.
La sandbox regolatoria per PMI e startup entro agosto 2026
Accanto al versante repressivo, la legge prevede uno strumento di segno opposto.
Il Governo deve attivare almeno una sandbox regolatoria entro agosto 2026, riservata alle PMI e alle startup innovative. Una sandbox è uno spazio controllato in cui un’impresa può sperimentare un sistema di IA in condizioni reali ma sotto la supervisione dell’autorità, con un dialogo diretto sul rispetto delle regole. L’idea, già diffusa nel settore finanziario con le sandbox fintech, è ridurre l’incertezza normativa per chi sviluppa tecnologia senza avere le risorse legali di una grande azienda.
Per il tessuto produttivo italiano, fatto in larga parte di imprese piccole, lo strumento conta.
Una PMI che vuole portare sul mercato un prodotto basato sull’IA si trova oggi davanti a un regolamento europeo articolato, a una legge nazionale che lo adatta e a un decreto che ne specifica gli obblighi. La sandbox offre un canale per capire, prima di investire, se il prodotto regge la prova della conformità. È anche un modo per l’autorità di osservare da vicino l’innovazione e tarare meglio la propria azione. Il limite, prevedibile, sarà la capacità: una sola sandbox con posti limitati non basta a una platea di decine di migliaia di imprese, e la selezione di chi vi accede diventerà essa stessa un tema.
L’AI Act, peraltro, impone agli Stati membri di istituire sandbox regolatorie proprio per non lasciare le piccole imprese schiacciate dal peso degli adempimenti. La sandbox italiana entro agosto 2026 risponde a quell’obbligo europeo, ma la sua utilità dipenderà dai criteri di accesso e dalla rapidità con cui l’autorità saprà dialogare con chi vi entra. Una sandbox lenta, che impiega mesi a dare risposte, perde la sua ragione d’essere, perché il tempo di una startup non è quello di un procedimento amministrativo.
Per le imprese più piccole, l’alternativa alla sandbox è affrontare l’incertezza da sole. Ed è qui che il sostegno di associazioni e reti professionali, capaci di tradurre la norma in pratica, colma il vuoto che lo strumento pubblico, da solo, non riesce a riempire.
Cosa devono fare le imprese mentre il decreto prende forma
L’attesa del decreto non è un alibi per l’inerzia.
Le scadenze europee corrono comunque. Gli obblighi sui modelli di IA per finalità generali sono già operativi, quelli sulla trasparenza dei contenuti scattano il 2 agosto 2026, le regole sui sistemi ad alto rischio seguono nel calendario scaglionato fino al 2027. Un’impresa che aspetta il decreto italiano per cominciare a mappare i propri sistemi di IA arriverà tardi su tutto.
Il lavoro preparatorio è indipendente dal decreto: censire dove l’IA è già in uso, classificare il livello di rischio di ciascun sistema, verificare la presenza di supervisione umana, formare il personale. Sono passaggi che il decreto renderà obbligatori ma che conviene avviare prima. AIPIA accompagna questo percorso con una guida operativa all’AI Act pensata per le imprese italiane e con percorsi che aiutano professionisti e organizzazioni a costruire le competenze richieste dal nuovo quadro, a partire dall’adesione all’associazione.
Va ricordato, peraltro, che la Legge 132/2025 contiene anche disposizioni già operative, che non attendono il decreto. Tocca settori dall’impatto immediato sulla vita delle persone, dalla sanità al lavoro alla giustizia, fissando principi sull’uso dell’IA in questi ambiti e ribadendo il primato della decisione umana dove sono in gioco diritti. Un’impresa che opera in uno di questi settori non può rinviare l’analisi in attesa del decreto attuativo, perché i principi della legge la riguardano fin da subito. Il decreto specificherà le procedure, ma la cornice è già legge dello Stato.
Aspettare, in questo quadro, è la strategia più costosa. Non per le sanzioni future, ma per il tempo che serve a costruire competenze e processi, tempo che chi parte tardi non recupera.
Un decreto che dirà quanto sul serio l’Italia prende l’IA
La Legge 132/2025 ha posto le fondamenta. Il decreto attuativo costruirà l’edificio.
Dalla qualità di quel testo dipenderà se l’architettura italiana di vigilanza sarà uno strumento efficace o un’impalcatura formale. Il dosaggio tra sanzioni penali e sandbox sperimentale racconterà la postura del Paese: se l’Italia tratterà l’intelligenza artificiale come un rischio da contenere o come una capacità industriale da governare. Le due cose non si escludono, ma il punto di equilibrio scelto nel decreto sarà la vera dichiarazione di intenti, molto più di qualunque comunicato.
