Legge italiana sull’intelligenza artificiale: cosa cambia per aziende e professionisti

01 Cosa prevede la legge 132/2025, e cosa non fa

La legge 23 settembre 2025, n. 132, «Disposizioni e deleghe al Governo in materia di intelligenza artificiale», è stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è in vigore dal 10 ottobre 2025. Sono 28 articoli in sei capi: principi, regole per singoli settori (tra cui lavoro e professioni), strategia e autorità nazionali, tutela degli utenti e diritto d’autore, norme penali, disposizioni finanziarie e finali.

È una legge di principi e di deleghe, non un secondo AI Act. Lo dice lei stessa: le sue norme «si interpretano e si applicano conformemente» al regolamento europeo sull’intelligenza artificiale (articolo 1), e la legge «non produce nuovi obblighi» rispetto al regolamento per i sistemi e i modelli di AI (articolo 3, comma 5).

La frase sui «nuovi obblighi» va letta con attenzione. Parla di obblighi per i sistemi e per i modelli: come un software di AI va progettato, documentato, immesso sul mercato. Quella materia resta europea. La legge italiana interviene invece su alcune persone che i sistemi li usano: i professionisti verso i clienti, con un obbligo nuovo, e i datori di lavoro verso i dipendenti, richiamando un obbligo che esiste dal 2022. Sono questi due punti, più i decreti dell’autunno 2026, a cambiare qualcosa per un’azienda o uno studio.

02 Cosa devono fare i professionisti: l’informativa al cliente

L’articolo 13 riguarda le professioni intellettuali: avvocati, commercialisti, consulenti del lavoro, ingegneri, architetti, per citare le più diffuse. Dice due cose.

1. L’AI serve per il supporto, non per la prestazione. Il suo uso è limitato alle «attività strumentali e di supporto», con «prevalenza del lavoro intellettuale» oggetto dell’incarico. In pratica: l’AI può cercare, riassumere, preparare una bozza; il parere e la valutazione restano del professionista.
2. Il cliente va informato. Le informazioni sui sistemi di AI usati vanno comunicate al cliente «con linguaggio chiaro, semplice ed esaustivo», per tutelare il rapporto di fiducia.

La legge non dice in che forma, e gli ordini si sono mossi subito. Il Consiglio nazionale dei commercialisti (CNDCEC) ha pubblicato il 9 ottobre 2025 una clausola tipo da inserire nel mandato professionale. Poi ha cambiato il codice deontologico: dal 21 novembre 2025 il commercialista deve comunicare i sistemi usati, facendone menzione anche nei documenti che produce, deve verificare fonti e dati, e deve accertarsi che gli strumenti abbiano misure di sicurezza e riservatezza adeguate e rispettino le norme sui dati personali (articolo 21, commi 8, 9 e 10). Lo stesso codice vieta di usare l’AI in modo che sostituisca la valutazione dei fatti e delle norme. Il Consiglio nazionale forense (CNF) ha inviato il 13 ottobre 2025 agli ordini degli avvocati uno schema di informativa, da usare «se ritenuto utile».

L’articolo 13 non prevede una sanzione propria. Il suo peso arriva dalla deontologia, dove gli ordini lo stanno scrivendo, e dal rapporto con il cliente, che è proprio ciò che la norma vuole proteggere. Arriva anche la formazione: il decreto legislativo 179/2026 chiede agli ordini di inserire l’AI nella formazione iniziale e continua, compresi gli obblighi di informazione verso il cliente, e dà ai consigli nazionali sei mesi dall’entrata in vigore per adeguare i regolamenti (articolo 47).

Se siete clienti di uno studio, la conseguenza pratica è semplice: da ottobre 2025 avete diritto di sapere se e come il vostro avvocato, commercialista o consulente del lavoro usa l’AI sui vostri documenti. Chiedetelo, e chiedete con quali strumenti: è una domanda sui vostri dati, oltre che sulla qualità del lavoro.

Cosa significa nel lavoro di tutti i giorni, professione per professione: l’AI negli studi legali e l’AI per commercialisti e consulenti del lavoro.

03 Cosa cambia per i datori di lavoro: informare, e lasciare la decisione a una persona

L’articolo 11 fissa dei principi (l’AI al lavoro deve essere sicura, affidabile e trasparente, e non può ledere la dignità né la riservatezza) e un obbligo: il datore di lavoro deve informare il lavoratore dell’uso dell’AI «nei casi e con le modalità» dell’articolo 1-bis del decreto legislativo 152/1997, introdotto nel 2022 dal cosiddetto decreto trasparenza.

Il rinvio delimita l’obbligo. L’articolo 1-bis riguarda i sistemi decisionali o di monitoraggio «integralmente automatizzati» usati per assumere, gestire o chiudere un rapporto di lavoro, assegnare compiti, sorvegliare o valutare le prestazioni. Il dipendente che usa un chatbot per scrivere una mail non lo fa scattare. Un software che assegna i turni in automatico, o che valuta le telefonate del call center, sì.

In quei casi l’informativa va data prima dell’inizio dell’attività, in formato strutturato e leggibile, e copre finalità e logica del sistema, categorie di dati e parametri usati, misure di controllo, livello di accuratezza. Va data anche alle rappresentanze sindacali, e il lavoratore può chiedere altre informazioni, con risposta scritta entro trenta giorni.

Il decreto legislativo 179/2026, in vigore dal 23 ottobre 2026, aggiunge la regola più netta (articolo 41). Quando l’AI interviene su assunzioni, modifiche o cessazioni del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni, la decisione definitiva spetta a una persona «che eserciti un potere effettivo e autonomo», e il consenso del dipendente non basta a fare eccezione. Il lavoratore può chiedere una motivazione comprensibile, data da una persona, che dica se e quanto l’AI abbia pesato. Il licenziamento deciso in violazione di questa regola è nullo, e lo sono le altre decisioni prese allo stesso modo.

Due precisazioni. La ricerca e la preselezione dei candidati non contano come decisione definitiva, anche quando escludono qualcuno: lì valgono le regole generali, cioè il GDPR, i divieti di discriminazione e, dal 2 dicembre 2027, le regole europee sui sistemi ad alto rischio, tra cui l’AI Act elenca quelli usati per selezionare il personale. E se l’AI incide su organizzazione, ritmi di lavoro o decisioni rilevanti per la sicurezza, va considerata nella valutazione dei rischi prevista dal decreto legislativo 81/2008, con informazione e formazione dei lavoratori (articolo 42).

Un limite vale già dal 2 febbraio 2025: l’AI Act vieta i sistemi che deducono le emozioni delle persone sul luogo di lavoro, salvo motivi medici o di sicurezza. A maggio 2026 il Garante privacy ha inviato un avvertimento a una start-up che offriva un’estensione per Slack e Teams capace di stimare lo stress dei dipendenti dalle chat, ricordando proprio questo divieto.

04 Chi controlla, e quanto costano le violazioni

La legge 132 designa due autorità nazionali per l’intelligenza artificiale (articolo 20). L’AgID, l’Agenzia per l’Italia digitale, è l’autorità di notifica: accredita e controlla gli organismi che verificano la conformità dei sistemi. L’ACN, l’Agenzia per la cybersicurezza nazionale, è l’autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori, e il punto di contatto unico con le istituzioni europee. Banca d’Italia, Consob e IVASS restano autorità di vigilanza per il settore finanziario; il Garante privacy e l’AGCOM conservano i loro poteri.

Il decreto legislativo 179/2026 dà a queste autorità gli strumenti e fissa le sanzioni, con gli stessi massimali dell’AI Act (articolo 23):

Fatturato mondiale annuo dell’esercizio precedente. Per PMI e start-up vale il più basso dei due valori (articolo 99, paragrafo 6, dell’AI Act). Fonte: decreto legislativo 7 ottobre 2026, n. 179, articolo 23.

Per le violazioni di scarsa gravità le autorità possono preferire alla multa un ordine di mettersi in regola o una dichiarazione pubblica; chi non rispetta l’ordine paga la sanzione aumentata fino a un terzo (articolo 22). Un’assenza conta: l’obbligo di alfabetizzazione sull’AI dell’articolo 4 dell’AI Act non compare né nell’elenco europeo dell’articolo 99 né in quello italiano. Lo avevamo spiegato in Siete già un deployer di intelligenza artificiale, che abbiamo aggiornato con i testi di ottobre.

05 Le deleghe al Governo: a che punto sono a ottobre 2026

La legge affidava al Governo due deleghe da esercitare entro dodici mesi dall’entrata in vigore, cioè entro il 10 ottobre 2026: una sull’uso di dati, algoritmi e metodi matematici per addestrare i sistemi di AI (articolo 16), l’altra per adeguare l’ordinamento italiano all’AI Act e disciplinare gli usi illeciti dell’AI (articolo 24).

Il Consiglio dei ministri ha esaminato gli schemi il 10 giugno 2026 e li ha approvati in via definitiva il 4 agosto, dopo i pareri delle commissioni parlamentari, della Conferenza unificata e del Garante privacy. I decreti sono due:

• Decreto legislativo 9 settembre 2026, n. 160 (Gazzetta Ufficiale n. 214 del 15 settembre 2026, in vigore dal 30 settembre): uso dell’AI nelle attività di polizia, norme penali e strumenti per chiedere il risarcimento dei danni causati dai sistemi di AI.
• Decreto legislativo 7 ottobre 2026, n. 179 (Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre): poteri delle autorità, sanzioni, spazi di sperimentazione normativa, uso dell’AI in formazione, professioni, lavoro, sanità e pubblica amministrazione, e un capo sulle informazioni aziendali relative a dati, algoritmi e metodi matematici.

Non è tutto definito. Un decreto del Presidente del Consiglio fisserà come l’ACN eserciterà i poteri di vigilanza (articolo 15 del decreto 179), e le prime indicazioni delle autorità arriveranno nei prossimi mesi. La legge stessa, intanto, è stata modificata in due punti che non toccano gli obblighi di imprese e professionisti: la composizione del comitato di coordinamento e le risorse per la formazione.

06 Deepfake, reati e diritto d’autore: il contesto

La parte penale fa notizia ma tocca poco la vita ordinaria di un’azienda. La legge ha introdotto il reato di illecita diffusione di contenuti generati o alterati con l’AI (articolo 612-quater del codice penale): chi causa un danno ingiusto diffondendo senza consenso immagini, video o voci falsificati, capaci di ingannare sulla loro autenticità, rischia da uno a cinque anni di reclusione. Ha previsto un’aggravante per i reati commessi con l’AI quando questa è un mezzo insidioso, ostacola la difesa o aggrava le conseguenze. E il decreto 160/2026 ha aggiunto il reato di omessa adozione di misure di sicurezza nei sistemi di AI ad alto rischio (articolo 437-bis del codice penale).

Più vicino al lavoro di tutti i giorni è il diritto d’autore (articolo 25). La legge sul diritto d’autore protegge ora le opere dell’ingegno «umano», e quelle create con l’aiuto dell’AI solo se sono il risultato del lavoro intellettuale dell’autore. Un testo o un’immagine prodotti dall’AI senza un vostro contributo creativo rischiano di non essere tutelati come opera vostra.

07 Il calendario dell’AI Act dopo l’Omnibus digitale

La legge italiana va letta accanto al regolamento europeo, che ha un suo calendario (articolo 113) cambiato quest’estate. Il regolamento (UE) 2026/1744, l’«Omnibus digitale sull’IA», proposto dalla Commissione il 19 novembre 2025, approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno, è stato pubblicato nella Gazzetta ufficiale dell’Unione il 24 luglio ed è in vigore dal 27 luglio 2026. Non è più una proposta.

Dopo il 2027: il 2 agosto 2028 tocca ai sistemi ad alto rischio incorporati in prodotti regolamentati (Allegato I), e il 2 agosto 2030 è il termine per i sistemi ad alto rischio già usati da autorità pubbliche. Fonti: articoli 111 e 113 del regolamento (UE) 2024/1689, testo consolidato al 27 luglio 2026; legge 132/2025; decreto legislativo 179/2026.

Cosa ha cambiato l’Omnibus per le aziende che usano l’AI: ha riscritto l’articolo 4, che ora chiede misure volte a «sostenere lo sviluppo» dell’alfabetizzazione del personale senza imporre di garantirne un livello specifico; ha spostato in avanti l’alto rischio; dal 2 dicembre 2026 vieta i sistemi che generano rappresentazioni intime o sessualmente esplicite realistiche di persone identificabili senza il loro consenso, e quelli che generano materiale pedopornografico; ha esteso alle piccole imprese a media capitalizzazione alcune tutele delle PMI, a cominciare dai massimali delle sanzioni.

Cosa resta solo proposto. Lo stesso 19 novembre 2025 la Commissione ha presentato un secondo «Omnibus digitale», sulle regole dei dati, GDPR compreso: al 10 ottobre 2026 non è stato approvato ed è ancora all’esame delle commissioni del Parlamento europeo. Non risulta approvata nemmeno una proposta del 16 dicembre 2025 sui dispositivi medici, che li sposterebbe in un’altra sezione dell’Allegato I dell’AI Act. Finché non arrivano in Gazzetta ufficiale, le proposte non cambiano niente.

08 Cosa fare in questo trimestre

Per un’azienda di cinquanta persone, la lista è corta e quasi tutta organizzativa:

1. Mappate gli usi dell’AI, senza conseguenze per nessuno. Chi usa quale strumento, per fare cosa, con quali dati. Serve per l’articolo 4 dell’AI Act, che dal 2 febbraio 2025 vi chiede di sostenere l’alfabetizzazione di chi usa l’AI per vostro conto, e per tutto il resto di questa lista.
2. Separate gli strumenti di lavoro dai sistemi che decidono sulle persone. Se un software decide o sorveglia in automatico (turni, valutazioni, preselezione dei curriculum), preparate l’informativa dell’articolo 1-bis per dipendenti e sindacati prima di usarlo, e dal 23 ottobre fate in modo che ogni decisione definitiva la prenda una persona, lasciando traccia di chi l’ha presa.
3. Aggiornate il documento di valutazione dei rischi se l’AI incide su organizzazione, ritmi o sicurezza del lavoro.
4. Scrivete una pagina di regole: quali dati non vanno in strumenti esterni (dati dei clienti, dati personali dei colleghi, disegni, listini) e quali strumenti sono approvati. Prima di approvarne uno, fate al fornitore le domande giuste: le trovate in GDPR e AI generativa: le domande da fare al fornitore.
5. Fate formazione sui vostri casi, e tenetene traccia. La Commissione europea chiarisce che non serve un certificato, e che si può tenere un registro interno delle formazioni e delle altre iniziative.
6. Se pubblicate immagini, video o audio realistici generati o modificati dall’AI (i cosiddetti deepfake, anche in pubblicità), dichiaratelo: l’articolo 50 lo chiede dal 2 agosto 2026. Per le opere chiaramente artistiche, satiriche o di finzione basta una segnalazione che non ne rovini la fruizione.
7. Controllate le informative dei vostri consulenti: avvocato, commercialista e consulente del lavoro devono dirvi se usano l’AI sui vostri documenti.

Per uno studio professionale:

1. Mettete l’informativa nel mandato. Usate la clausola del vostro consiglio nazionale (commercialisti) o lo schema del CNF (avvocati) e adattatela agli strumenti che usate davvero: quali sistemi, per fare cosa, e cosa non ci fate.
2. Citatelo nei documenti quando l’AI ha contribuito. Per i commercialisti è già una regola del codice deontologico.
3. Tenete l’AI nel perimetro del supporto: ricerche, sintesi, prime bozze. Il parere e la firma restano vostri, e le fonti vanno verificate.
4. Scegliete strumenti con garanzie scritte sui dati dei clienti: segreto professionale e GDPR insieme. Il codice dei commercialisti chiede espressamente di accertarsi che gli strumenti abbiano misure di sicurezza e riservatezza adeguate.
5. Pianificate la formazione: il decreto 179/2026 la rende parte della formazione continua, e gli ordini hanno sei mesi dal 23 ottobre 2026 per adeguare i regolamenti.
6. Anche lo studio è un deployer: l’articolo 4 dell’AI Act vale per dipendenti e collaboratori.

Se cercate la strada aziendale per l’AI, è quella per cui abbiamo costruito ekory: gli Eko, agenti AI che rispondono sui vostri documenti citando documento e pagina, con permessi espliciti su chi vede cosa, e un archivio che risiede in Europa. Come trattiamo i dati lo trovate nella pagina Sicurezza.

09 Nota sulle fonti

Questo articolo non è consulenza legale. Descrive cosa dicono i testi in vigore o pubblicati al 10 ottobre 2026. Per decidere sul vostro caso serve un professionista che conosca la vostra organizzazione.

• Testi letti alla fonte il 10 ottobre 2026: legge 132/2025, decreti legislativi 160/2026 e 179/2026 e articolo 1-bis del decreto legislativo 152/1997 su Normattiva; regolamento (UE) 2024/1689 nel testo consolidato al 27 luglio 2026 e regolamento (UE) 2026/1744 su EUR-Lex; iter dell’Omnibus sul sito del Parlamento europeo.
• Le citazioni tra virgolette sono testuali, dai testi ufficiali in italiano.
• Il decreto 179/2026 è uscito in Gazzetta due giorni prima di questo articolo ed entra in vigore il 23 ottobre: le prime applicazioni e le indicazioni delle autorità arriveranno nei prossimi mesi.
• Ordini professionali: clausola tipo del CNDCEC (comunicato n. 119 del 9 ottobre 2025) e suo codice deontologico modificato il 20 novembre 2025; comunicazione del CNF del 13 ottobre 2025.
• Il caso del Garante sull’estensione per Slack e Teams è nel comunicato del 28 maggio 2026.

Domande e risposte

Riferimenti

1. Legge 23 settembre 2025, n. 132, Disposizioni e deleghe al Governo in materia di intelligenza artificiale, Normattiva, testo vigente.
2. Decreto legislativo 7 ottobre 2026, n. 179, Gazzetta Ufficiale n. 234 dell’8 ottobre 2026.
3. Decreto legislativo 9 settembre 2026, n. 160, Gazzetta Ufficiale n. 214 del 15 settembre 2026.
4. Decreto legislativo 26 maggio 1997, n. 152, articolo 1-bis, Normattiva.
5. Regolamento (UE) 2024/1689 (AI Act), testo consolidato al 27 luglio 2026, EUR-Lex.
6. Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA), Gazzetta ufficiale dell’Unione europea, 24 luglio 2026.
7. Digital Omnibus on AI, Legislative Train Schedule, Parlamento europeo, 2026.
8. Omnibus digitale sulle regole dei dati, procedura 2025/0360(COD), Osservatorio legislativo del Parlamento europeo.
9. AI Literacy, Questions & Answers, Commissione europea, aggiornato al 27 luglio 2026.
10. Clausola contrattuale tipo per l’informativa ai clienti, CNDCEC, comunicato n. 119 del 9 ottobre 2025.
11. Codice deontologico della professione, articolo 21, CNDCEC, modificato il 20 novembre 2025.
12. Informativa sull’utilizzo di strumenti di Intelligenza Artificiale ex art. 13 legge 132/2025, Consiglio Nazionale Forense, 13 ottobre 2025.
13. Avvertimento a una start-up per un’estensione AI che stima lo stress dei dipendenti, Garante per la protezione dei dati personali, 28 maggio 2026.