Dal 10 ottobre 2025 l'Italia ha una sua legge sull'intelligenza artificiale: la Legge 23 settembre 2025, n. 132, pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025. Molti imprenditori l'hanno sentita citare accanto all'AI Act europeo e si chiedono se porti altri adempimenti. Qualcuno sì, soprattutto per chi ha dipendenti e per i professionisti; per il resto è una legge di principi e di deleghe, attuata dal Governo con due decreti legislativi tra settembre e ottobre 2026. Qui la leggiamo con gli occhi di chi lavora in un'azienda o in uno studio.
Com'è fatta la legge
Sono 28 articoli in sei capi. L'articolo 1 chiede di applicarla in conformità al Regolamento (UE) 2024/1689, l'AI Act: fasce di rischio, obblighi e date restano quelli europei, spiegati nella guida AI Act: cosa devono fare le aziende. La legge italiana interviene dove l'Europa lascia spazio agli Stati: lavoro, professioni, pubblica amministrazione, sanità, giustizia, diritto d'autore, reati, autorità. L'articolo 3, comma 5, precisa inoltre che non crea obblighi ulteriori per i sistemi e i modelli di IA per finalità generali.
| Articoli | Tema | Chi riguarda |
|---|---|---|
| 3 e 4 | Principi, dati personali, minori | Tutti |
| 11 e 12 | Lavoro | Datori di lavoro e committenti |
| 13 | Professioni intellettuali | Studi e professionisti |
| 5 e 14 | Pubblica amministrazione e acquisti | Enti e loro fornitori |
| 17 e 20 | Tribunale e autorità | Tutti |
| 24 | Deleghe al Governo | Attuate con i decreti del 2026 |
| 25 e 26 | Diritto d'autore e reati | Chi crea contenuti; tutti |
Principi e dati: decide una persona, si spiega in modo chiaro
L'articolo 3 chiede sistemi che rispettino l'autonomia e il potere decisionale delle persone, con sorveglianza e intervento umano, e definisce la cybersicurezza una "precondizione essenziale" per tutta la vita del sistema. Non sono adempimenti con scadenza, ma il metro con cui verranno giudicate le tue scelte: un programma che invia offerte senza che nessuno le guardi parte in svantaggio.
L'articolo 4 aggiunge che le informazioni sui trattamenti di dati legati all'IA vanno date con linguaggio chiaro e semplice, così che le persone conoscano i rischi e possano opporsi. Per i minori di 14 anni l'accesso alle tecnologie di IA richiede il consenso di chi esercita la responsabilità genitoriale; tra 14 e 18 anni il ragazzo può esprimerlo da solo, se le informazioni sono facili da capire. Vale per chi offre al pubblico, per esempio, l'assistente in chat di una palestra o di una scuola di musica. Il resto delle regole sui dati è nella guida dati aziendali e GDPR con l'IA.
Lavoro: informare, valutare i rischi, far decidere una persona
È la parte che tocca più aziende. Per l'articolo 11 l'IA nel lavoro deve essere sicura, affidabile e trasparente, non può andare contro la dignità né violare la riservatezza, e non può discriminare. Il datore di lavoro o il committente deve informare il lavoratore dell'uso dell'IA nei casi e nei modi dell'articolo 1-bis del D.Lgs. 152/1997, quello sui sistemi decisionali e di monitoraggio automatizzati. L'articolo 12 crea presso il Ministero del lavoro un Osservatorio sull'IA nel mondo del lavoro.
Il D.Lgs. 7 ottobre 2026, n. 179, in vigore dal 23 ottobre 2026, ha aggiunto due regole concrete.
- Articolo 41. Assunzione, modifiche, cessazione del rapporto, provvedimenti disciplinari e valutazioni non possono basarsi solo su un trattamento automatizzato: la decisione definitiva spetta a una persona con potere effettivo e autonomo. La sola ricerca e selezione delle candidature resta fuori dal divieto, e l'accordo del lavoratore non lo supera. Prima di partire serve l'informativa; su richiesta, il lavoratore ottiene una spiegazione comprensibile del peso avuto dall'IA. Le decisioni prese violando la regola, licenziamento compreso, sono nulle.
- Articolo 42. Gli usi dell'IA che incidono su organizzazione, ritmi o modalità del lavoro, o su decisioni rilevanti per la sicurezza, entrano nella valutazione dei rischi dell'articolo 28 del D.Lgs. 81/2008, e i lavoratori vanno informati e formati sui rischi specifici.
Esempio: un magazzino adotta un programma che assegna i turni e misura la produttività. Servono informativa, documento di valutazione dei rischi aggiornato e una persona che firma ogni decisione e sa spiegarla.
Professionisti: l'IA aiuta, il cliente va informato
Per l'articolo 13 commercialisti, consulenti, avvocati, ingegneri e architetti possono usare l'IA solo per attività strumentali e di supporto, con la prevalenza del proprio lavoro intellettuale, e devono comunicare al cliente quali sistemi usano, con linguaggio chiaro, semplice ed esaustivo. Lo studio che riclassifica i bilanci con l'IA e poi scrive il proprio giudizio è nel perimetro; quello che consegna un parere scritto dalla macchina senza rielaborarlo no. Di solito la comunicazione va nella lettera d'incarico: per quali attività si usa l'IA, chi controlla, dove vengono trattati i documenti. Strumenti pensati per gli studi sono nella pagina AI per commercialisti e studi.
Pubblica amministrazione e fornitori degli enti
L'articolo 14 chiede agli enti di garantire ai cittadini la conoscibilità del funzionamento dell'IA e la tracciabilità dell'uso; la persona resta l'unica responsabile di provvedimenti e procedimenti. Per chi vende all'ente conta l'articolo 5: nelle piattaforme di acquisto della PA si possono privilegiare soluzioni che elaborano i dati strategici in data center in Italia, con continuità operativa anch'essa in Italia e alti standard di sicurezza. È una preferenza, non un divieto, ma premia chi sa dire dove stanno i dati. Come si compra l'IA in un Comune è spiegato nella guida su AI per i Comuni e MEPA.
Diritto d'autore: cosa è tuo se lo crei con l'IA
L'articolo 25 modifica la L. 633/1941: sono protette le opere dell'ingegno umano, anche create con l'ausilio dell'IA, purché siano il risultato del lavoro intellettuale dell'autore. In pratica, più il contributo umano è debole, più è difficile dire che un testo o un'immagine siano tuoi: per il materiale importante conserva bozze, scelte e modifiche fatte dalle persone.
Nuovi reati e pene più alte
- Deepfake (art. 612-quater c.p.). Diffondere senza consenso immagini, video o voci falsificati con l'IA, capaci di ingannare e che causano un danno ingiusto: reclusione da uno a cinque anni.
- Aggravante comune (art. 61 c.p.). Usare l'IA per commettere un reato pesa di più quando è un mezzo insidioso o ne aggrava le conseguenze.
- Mercati e diritto d'autore. Pene più alte per aggiotaggio e manipolazione del mercato commessi con l'IA; nuovo reato per l'estrazione di testi e dati che viola le regole sul text and data mining.
In azienda: mai pubblicità con voce o volto ricostruiti di una persona reale senza autorizzazione, e attenzione alle telefonate con la voce clonata del titolare che chiede un bonifico urgente. Ne parliamo nella guida sul phishing in azienda.
Chi controlla e dove si fa causa
L'articolo 20 designa l'Agenzia per l'Italia Digitale come autorità di notifica, che accredita e controlla gli organismi di verifica, e l'Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza del mercato, con ispezioni e sanzioni. Restano le competenze del Garante privacy, dell'AGCOM e, nei loro settori, di Banca d'Italia, Consob e IVASS. L'articolo 17 assegna al tribunale le cause sul funzionamento di un sistema di IA: per una lite con un fornitore su un sistema che non funziona come promesso non si va dal giudice di pace.
I decreti attuativi del 2026
L'articolo 24 dava al Governo dodici mesi per adeguare le norme italiane all'AI Act. Le deleghe sono state esercitate con due decreti:
- D.Lgs. 9 settembre 2026, n. 160, Gazzetta Ufficiale n. 214 del 15 settembre, in vigore dal 30 settembre: IA nelle attività di polizia, disposizioni penali e strumenti processuali per il risarcimento dei danni;
- D.Lgs. 7 ottobre 2026, n. 179, Gazzetta Ufficiale n. 234 dell'8 ottobre, in vigore dal 23 ottobre: poteri delle autorità, sanzioni, spazi di sperimentazione e IA nella formazione, nelle professioni, nel lavoro, nella sanità e nella PA.
Sono testi recenti e le prime letture degli esperti sono appena arrivate: per i casi particolari sentire il proprio consulente resta la scelta giusta.
Cosa fare in pratica, a seconda di chi sei
| Se sei… | Le azioni da mettere in fila |
|---|---|
| Piccola impresa che usa l'IA in ufficio | Elenco degli strumenti, regole interne scritte, formazione, informativa privacy aggiornata |
| Datore di lavoro con strumenti che toccano il personale | Decisioni firmate da una persona, informativa, valutazione dei rischi aggiornata, spiegazioni pronte |
| Studio professionale | Comunicazione al cliente, controllo di ogni risultato, attenzione a dove vanno i documenti |
| Chi produce pubblicità e contenuti | Niente volti o voci reali senza autorizzazione, traccia del lavoro creativo umano |
| Fornitore della PA | Documentazione su dove sono elaborati i dati e tracciabilità dell'uso |
Per le regole interne trovi uno schema nella guida sulla policy aziendale sull'uso dell'IA; per la preparazione del personale, quella sulla formazione AI dei dipendenti.
Come possiamo aiutarti
Faberweb non è uno studio legale: per l'interpretazione delle norme nel tuo caso il riferimento è il tuo avvocato o consulente. Ci occupiamo della parte pratica, quella che di solito manca: capire quali strumenti con IA usate, con quali dati e come sono configurati. Nei progetti che realizziamo, come WorkMind, l'IA prepara il lavoro e segnala ciò che richiede una decisione, e l'ultima parola è di una persona: lo stesso principio che chiede la legge. Sui dati firmiamo un accordo secondo il GDPR in cui il cliente resta Titolare.
Lavoriamo con aziende, studi ed enti del Nord e del Centro Italia, e per la PA siamo abilitati su Consip/MEPA e Sintel. Scrivici dal modulo o chiamaci al 0371 464 186, anche su WhatsApp.
Domande frequenti
La Legge 132/2025 sostituisce l'AI Act?
No. L'AI Act è un regolamento europeo e vale direttamente in Italia; la Legge 132/2025 si applica insieme a esso e va interpretata in modo conforme. Aggiunge regole su lavoro, professioni, pubblica amministrazione, diritto d'autore e reati, e individua le autorità nazionali.
Devo informare i dipendenti se in ufficio usiamo l'IA per scrivere email?
L'informativa dell'articolo 11 riguarda i sistemi decisionali o di monitoraggio automatizzati e le decisioni sul rapporto di lavoro. Per un assistente che aiuta a scrivere email di norma non scatta, ma restano la formazione chiesta dall'AI Act e l'opportunità di spiegare a tutti quali strumenti si usano.
Un licenziamento deciso con l'aiuto dell'IA è valido?
L'IA può aiutare a prepararlo, ma dal 23 ottobre 2026 la decisione definitiva deve essere di una persona con potere effettivo e autonomo. Un licenziamento basato solo su un trattamento automatizzato è nullo, e il lavoratore può chiedere una spiegazione del ruolo avuto dall'IA.
Il mio commercialista deve dirmi se usa l'intelligenza artificiale?
Sì. L'articolo 13 chiede ai professionisti di comunicare al cliente quali sistemi di IA usano nella prestazione, in modo chiaro ed esaustivo. L'IA serve solo per attività di supporto: il lavoro intellettuale, e la responsabilità, restano del professionista.
Un'immagine fatta con l'IA per il mio sito è protetta dal diritto d'autore?
Dipende dal contributo umano. La legge protegge le opere create anche con l'ausilio dell'IA se sono il risultato del lavoro intellettuale dell'autore. Un'immagine ottenuta con una sola richiesta, senza scelte creative di una persona, è difficile da difendere come opera propria.