Decreto AG 421 sull’AI in Italia: governance, controlli e rischi aperti

Sono partite le audizioni per i decreti attuativi della normativa italiana per l’intelligenza artificiale, presso le Commissioni IX e X della Camera dei Deputati.

Audizioni che hanno coinvolto anche il sottoscritto.

Per la precisione, sono stato audito per l’esame dell’Atto del Governo n. 421 Schema di decreto legislativo recante adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio (AI ACT), del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione.

L’occasione è stata utile per una analisi puntuale dello stato della legislazione in materia anche alla luce dei diversi aspetti che ancora oggi sia l’AI ACT che le leggi nazionali in vigore o emanande non disciplinano, in primis quelle applicazioni di IA che sfuggono alla classificazione dei livelli di rischio dell’AI ACT ma che possono influenzare ed orientare il comportamento e le opinioni degli umani.

Ma procediamo con ordine.

Schema AG 421 e diritto dell’intelligenza artificiale

Contrariamente ad una diffusa percezione, il diritto dell’intelligenza artificiale non costituisce una disciplina nata con il Regolamento (UE) 2024/1689 (AI Act). Le prime riflessioni giuridiche sull’impatto delle tecnologie intelligenti risalgono ai primi anni duemila, quando il tema era considerato prevalentemente speculativo e suscitava un interesse limitato nella comunità scientifica.

Già allora, tuttavia, autorevoli studiosi avevano colto come l’automazione decisionale fosse destinata a modificare profondamente categorie tradizionali del diritto pubblico e privato. Gli scambi epistolari di Natalino Irti costituiscono una testimonianza significativa di questa anticipazione teorica, mentre ancora prima Filippo Cicu nei suoi studi sugli automi dell’inizio dello scorso secolo aveva evidenziato il rapporto tra evoluzione tecnica e trasformazione delle categorie giuridiche, offrendo chiavi interpretative che oggi appaiono di straordinaria attualità.

L’approvazione della legge 23 settembre 2025, n. 132 ha rappresentato il primo tentativo organico del legislatore italiano di costruire una disciplina nazionale coerente con il nuovo quadro europeo. Lo schema di decreto legislativo AG 421 costituisce il naturale sviluppo di quel percorso, essendo finalizzato all’adeguamento dell’ordinamento italiano al Regolamento (UE) 2024/1689 mediante la definizione delle competenze delle Autorità nazionali, del sistema di vigilanza, dei poteri sanzionatori e degli strumenti di promozione dell’innovazione.

Fin dalle disposizioni generali emerge l’intenzione del legislatore di costruire una disciplina fortemente coordinata con l’AI Act. L’articolo 1 richiama integralmente le definizioni contenute nel regolamento europeo e nella legge n. 132/2025, introducendo inoltre una serie di definizioni funzionali all’individuazione delle autorità competenti, delle autorità di vigilanza e dello Spazio di sperimentazione italiano per l’IA.

L’articolo 2 individua chiaramente l’oggetto del decreto, precisando che esso disciplina l’adeguamento della normativa nazionale al Regolamento europeo e coordina tale disciplina con la normativa settoriale vigente, mentre l’articolo 3 introduce un principio destinato a permeare l’intero sistema: quello della garanzia antropocentrica, dell’uso corretto, trasparente e responsabile dell’intelligenza artificiale e della vigilanza sui rischi per i diritti e le libertà fondamentali. Si tratta di un’affermazione di principio condivisibile che richiama direttamente l’impostazione dell’AI Act e che rappresenta il fondamento costituzionale dell’intero impianto regolatorio.

Tuttavia, proprio la lettura sistematica dello schema evidenzia come la centralità della persona venga perseguita prevalentemente attraverso la distribuzione delle competenze amministrative e dei poteri di vigilanza, mentre risultano meno sviluppati gli strumenti capaci di incidere sulle nuove forme di rischio generate dall’evoluzione dell’intelligenza artificiale.

Governance dell’intelligenza artificiale nello schema AG 421

Uno degli elementi maggiormente innovativi dello schema AG 421 è rappresentato dalla costruzione di un sistema multilivello di governance dell’intelligenza artificiale.

Gli articoli da 4 a 12 disciplinano infatti la distribuzione delle competenze tra AgID, Agenzia per la Cybersicurezza Nazionale, Banca d’Italia, CONSOB, IVASS e Garante per la protezione dei dati personali, prevedendo meccanismi articolati di cooperazione, protocolli d’intesa, coordinamento operativo e condivisione delle informazioni.

Particolarmente significativa appare la previsione contenuta nell’articolo 7, che impone alle autorità la stipula di accordi finalizzati alla condivisione tempestiva dei dati, all’istituzione di meccanismi di risposta rapida agli incidenti e alla promozione di progetti di ricerca, formazione e sperimentazione anche con università e centri di ricerca. Analogamente, gli articoli 8 e 9 disciplinano forme strutturate di coordinamento con le autorità settoriali e con le autorità del settore finanziario, evitando il rischio di sovrapposizioni tra competenze amministrative.

La previsione del Comitato di coordinamento di cui all’articolo 12 costituisce probabilmente il principale elemento di innovazione dell’intero decreto. Tale organismo assume una funzione di indirizzo strategico e di coordinamento delle attività delle diverse autorità, mantenendo ferme le competenze del Garante per la protezione dei dati personali e dell’Autorità per le garanzie nelle comunicazioni quale Coordinatore dei Servizi Digitali.

Proprio su questo punto mi sono soffermato nel corso dell’audizione parlamentare del 21 luglio 2026, sottolineando come il valore dello schema non risieda soltanto nella distribuzione delle competenze amministrative, ma soprattutto nella capacità di costruire una governance realmente integrata tra amministrazioni, autorità indipendenti e sistema della ricerca. Nel corso dell’audizione ho infatti evidenziato come il coordinamento rappresenti una condizione necessaria ma non sufficiente, dovendo essere accompagnato da strumenti di aggiornamento continuo e da una capacità regolatoria coerente con la rapidissima evoluzione delle tecnologie di intelligenza artificiale.

Sotto questo profilo emerge la prima criticità dello schema.

L’intero impianto organizzativo appare costruito attorno alle categorie oggi previste dall’AI Act. Tuttavia, l’esperienza dimostra come il ciclo evolutivo dell’intelligenza artificiale sia ormai significativamente più rapido rispetto ai tempi della produzione normativa. La conseguenza è che il rischio di obsolescenza della disciplina non riguarda soltanto gli aspetti tecnologici, ma investe direttamente la capacità delle istituzioni di prevenire fenomeni ancora non classificati dal legislatore europeo.

In altri termini, il decreto costruisce una governance efficace per l’intelligenza artificiale conosciuta oggi, ma non necessariamente per quella che caratterizzerà il prossimo futuro.

Questa osservazione conduce alla necessità di individuare meccanismi permanenti di aggiornamento regolatorio. La previsione degli atti di indirizzo di cui all’articolo 11 costituisce certamente un primo strumento di flessibilità, consentendo alle Autorità nazionali di adottare linee guida, raccomandazioni e buone pratiche. Tuttavia, tali strumenti presentano natura prevalentemente amministrativa e non possono sostituire un continuo intervento del legislatore sulle categorie fondamentali della disciplina.

Sarebbe pertanto opportuno prevedere, anche sulla scorta delle osservazioni formulate in sede parlamentare, un meccanismo permanente di revisione della normativa, eventualmente mediante una legge annuale sull’intelligenza artificiale ovvero attraverso una delegificazione più ampia in favore delle Autorità indipendenti per gli aspetti strettamente tecnici, mantenendo invece al legislatore le scelte di principio.

Controllo umano e competenze nello schema AG 421

Se il decreto dedica oltre trenta articoli all’organizzazione delle Autorità amministrative, assai meno spazio viene riservato al ruolo dell’essere umano all’interno del ciclo di vita dei sistemi di intelligenza artificiale. Questa impostazione suscita alcune riflessioni. L’intero AI Act si fonda sul principio della human oversight, ma tanto il regolamento europeo quanto lo schema di decreto nazionale sembrano concentrare l’attenzione prevalentemente sull’obbligo organizzativo del controllo umano piuttosto che sulla qualificazione professionale dei soggetti chiamati ad esercitarlo.

Lo schema AG 421 attribuisce infatti ad AgID e ACN funzioni di vigilanza, ispezione, monitoraggio e sperimentazione, prevedendo articolati poteri amministrativi (artt. 13-18) e la costituzione dello Spazio di sperimentazione italiano per l’IA (artt. 26-29). Tuttavia, nessuna disposizione individua le competenze professionali di coloro che, concretamente, dovranno verificare gli input, validare gli output, controllare la qualità dei dati, valutare i bias algoritmici o accertare l’affidabilità dei sistemi durante il loro impiego.

Si tratta di un aspetto che non risulta compiutamente disciplinato che rischia di compromettere l’efficacia dell’intero impianto regolatorio. L’intelligenza artificiale non produce rischi esclusivamente perché gli algoritmi sono imperfetti; molto più frequentemente il rischio deriva dalla qualità dei dati utilizzati, dalla formulazione degli input, dalla mancata interpretazione critica degli output e dall’assenza di verifiche interdisciplinari.

L’evoluzione tecnologica sta progressivamente facendo emergere una nuova figura professionale, variamente definita nella letteratura internazionale come AI Auditor, Algorithm Auditor, Human Oversight Specialist o AI Assurance Professional. Si tratta di professionalità destinate a svolgere funzioni analoghe a quelle che il revisore legale esercita nel settore societario o che il Data Protection Officer esercita nella protezione dei dati personali. Il legislatore italiano potrebbe cogliere l’occasione rappresentata dall’AG 421 per riconoscere normativamente tali competenze, prevedendo requisiti professionali, formazione certificata e responsabilità specifiche, soprattutto nei contesti ad elevata rilevanza costituzionale quali la sanità, la giustizia, la pubblica amministrazione e la formazione.

Non è casuale che anche nel corso dell’audizione parlamentare del 21 luglio 2026 abbia insistito sulla necessità di investire nella formazione e nella costruzione di competenze multidisciplinari, sottolineando come la governance dell’intelligenza artificiale non possa essere affidata esclusivamente agli strumenti tecnologici ma richieda un significativo rafforzamento del capitale umano.

In questa prospettiva gli articoli 7, 26 e 28 dello schema potrebbero essere integrati prevedendo che i protocolli di collaborazione, le attività di sperimentazione e le verifiche effettuate nello Spazio di sperimentazione nazionale coinvolgano stabilmente professionisti certificati nell’auditing algoritmico e nella valutazione dei sistemi di IA.

Sistemi di IA orientativa oltre l’AI Act

La seconda criticità appare ancora più rilevante. L’AI Act ha costruito la propria architettura sulla distinzione tra sistemi vietati, sistemi ad alto rischio, sistemi soggetti ad obblighi di trasparenza e sistemi a rischio minimo. Tale classificazione, recepita integralmente anche dallo schema AG 421, risponde ad una logica prevalentemente funzionale: maggiore è il rischio diretto prodotto dal sistema, maggiore è l’intensità della disciplina.

L’esperienza maturata negli ultimi due anni dimostra tuttavia che questa classificazione potrebbe non essere più sufficiente. Esiste infatti una categoria di sistemi che non produce direttamente danni economici, fisici o sanitari, ma possiede una straordinaria capacità di influenzare i processi cognitivi delle persone. Si tratta di sistemi progettati per orientare preferenze, convinzioni individuali , comportamenti politici, decisioni economiche, consumi culturali e modalità di apprendimento attraverso tecniche di personalizzazione, profilazione comportamentale, ottimizzazione predittiva e generazione dinamica dei contenuti.

Questi sistemi non coincidono necessariamente con le pratiche vietate dall’articolo 5 dell’AI Act. Nella maggior parte dei casi essi operano perfettamente all’interno della legalità formale. Il loro rischio deriva dalla capacità di incidere progressivamente sulla libertà decisionale dell’individuo senza ricorrere ad alcuna forma esplicita di coercizione. È proprio questa la categoria che nel testo originario si era definita come sistemi capaci di orientare l’umano, definizione che appare particolarmente efficace poiché coglie un fenomeno diverso rispetto alla semplice manipolazione.

L’orientamento costituisce infatti una forma di influenza continua, difficilmente percepibile, fondata sull’elaborazione personalizzata dell’informazione. L’attuale AI Act prende in considerazione alcune ipotesi di manipolazione cognitiva e sfruttamento delle vulnerabilità individuali. Tuttavia, rimane sostanzialmente privo di disciplina il fenomeno dell’orientamento algoritmico sistematico delle opinioni pubbliche. La questione assume particolare rilevanza nei settori disciplinati proprio dallo schema AG 421.

La formazione rappresenta probabilmente il contesto più delicato. L’introduzione crescente di sistemi generativi nella didattica rischia infatti di trasformare l’intelligenza artificiale da semplice strumento di supporto ad autentico mediatore culturale. Analogamente, nella pubblica amministrazione sistemi di raccomandazione sempre più sofisticati possono progressivamente orientare l’esercizio del potere discrezionale.

Lo stesso fenomeno interessa il settore dell’informazione pubblica, della comunicazione istituzionale e, soprattutto, della formazione dell’opinione democratica. Sotto questo profilo lo schema AG 421 continua a fondarsi su categorie elaborate prima dell’esplosione dei modelli linguistici generativi di ultima generazione.

Da qui deriva la necessità di introdurre una nuova categoria regolatoria. Accanto ai sistemi ad alto rischio dovrebbe essere prevista la categoria dei sistemi di IA orientativa, definibili come quei sistemi capaci di incidere significativamente sulla formazione delle opinioni o dei comportamenti individuali mediante personalizzazione algoritmica dei contenuti.

Obblighi possibili per i sistemi di IA orientativa

Per tali sistemi potrebbero essere previsti:

• obblighi rafforzati di trasparenza;
• auditing periodico indipendente;
• valutazione preventiva dell’impatto cognitivo;
• registrazione presso le Autorità nazionali;
• controlli specifici nei settori della formazione, dell’informazione e della pubblica amministrazione.

Una simile evoluzione sarebbe perfettamente coerente con il principio antropocentrico richiamato dall’articolo 3 dello schema di decreto, trasformandolo da mera clausola generale a criterio effettivo di regolazione.

Regolazione adattiva dell’intelligenza artificiale

Uno dei principali profili suscettibili di ulteriore approfondimento dello schema AG 421 non consiste tanto nella disciplina oggi introdotta quanto nella mancanza di strumenti capaci di adattarla all’evoluzione futura della tecnologia. L’intero decreto si fonda su un impianto regolatorio destinato ad operare in un contesto tecnologico estremamente dinamico. Tuttavia, mentre i modelli di intelligenza artificiale evolvono nell’arco di pochi mesi, il ciclo ordinario della produzione legislativa richiede spesso anni. Ne deriva un inevitabile disallineamento tra innovazione e regolazione.

Lo stesso schema, in realtà, contiene alcuni strumenti che potrebbero consentire un’evoluzione più flessibile. L’articolo 11 attribuisce alle Autorità nazionali la possibilità di adottare linee guida, raccomandazioni e buone pratiche, mentre l’articolo 12 affida al Comitato di coordinamento una funzione di indirizzo unitario nella stipula degli accordi e dei protocolli di cooperazione. Analogamente, gli articoli da 26 a 29 disciplinano lo Spazio di sperimentazione italiano per l’IA, concepito come sandbox regolatoria destinata a favorire l’innovazione e l’apprendimento normativo attraverso la sperimentazione controllata.

Si tratta di strumenti certamente innovativi, ma ancora potenzialmente non del tutto adeguati. Le linee guida non possono modificare categorie legislative. Le sandbox consentono di sperimentare tecnologie, ma non di introdurre nuovi obblighi giuridici. Il Comitato di coordinamento, infine, svolge prevalentemente funzioni di raccordo tra amministrazioni. Non sembra ancora rinvenirsi un meccanismo di manutenzione permanente della disciplina.

L’esperienza maturata negli ultimi anni dimostra che l’intelligenza artificiale evolve ormai con una velocità tale da rendere rapidamente superate anche le classificazioni elaborate dal legislatore europeo. Per tale ragione potrebbe essere opportuno introdurre, accanto al decreto, una legge annuale sull’intelligenza artificiale, destinata ad aggiornare periodicamente le categorie di rischio, gli obblighi di trasparenza e gli strumenti di controllo sulla base dell’evoluzione scientifica e tecnologica.

Una seconda soluzione potrebbe consistere nell’attribuzione alle Autorità indipendenti di poteri regolatori più incisivi. Lo schema AG 421 assegna ad AgID e ACN funzioni centrali di vigilanza e coordinamento, mantenendo ferme le competenze del Garante per la protezione dei dati personali e dell’AGCOM negli ambiti di rispettiva competenza. Tuttavia, il decreto non prevede una competenza regolatoria espressamente dedicata ai fenomeni emergenti di influenza algoritmica dell’informazione, della comunicazione pubblica e della formazione dell’opinione.

Proprio su questo punto si concentrano alcune delle riflessioni che ho svolto nel corso dell’audizione parlamentare del 21 luglio 2026. Dall’intervento emerge infatti l’esigenza di una governance non limitata all’attività di vigilanza successiva, ma capace di accompagnare l’innovazione mediante strumenti regolatori dinamici, di rafforzare il coordinamento tra le Autorità e di valorizzare il contributo del sistema universitario e della ricerca nella definizione delle politiche pubbliche sull’intelligenza artificiale. Tali osservazioni risultano coerenti con l’impostazione degli articoli 7, 12 e 27 dello schema, ma evidenziano altresì la necessità di rafforzarne la portata precettiva.

Integrazioni possibili allo schema AG 421

Alla luce delle considerazioni svolte, il decreto potrebbe essere ulteriormente rafforzato attraverso alcuni interventi puntuali. In primo luogo, sarebbe opportuno integrare l’articolo 7 prevedendo espressamente che gli accordi di cooperazione tra le Autorità comprendano anche la definizione di standard professionali per i soggetti incaricati delle attività di auditing algoritmico, della verifica degli output e del controllo dei bias.

In secondo luogo, l’articolo 11 potrebbe essere ampliato attribuendo alle Autorità nazionali la facoltà di adottare linee guida specificamente dedicate ai sistemi di IA capaci di incidere sulla formazione delle opinioni e dei comportamenti individuali, in attesa di un eventuale intervento del legislatore europeo.

L’articolo 12, dedicato al Comitato di coordinamento, potrebbe inoltre essere integrato prevedendo una relazione annuale al Parlamento sull’evoluzione dei rischi emergenti dell’intelligenza artificiale, contenente proposte di aggiornamento legislativo e indicazioni sulle nuove categorie tecnologiche non ancora disciplinate.

Infine, gli articoli 26, 27 e 28 relativi allo Spazio di sperimentazione italiano per l’IA potrebbero essere valorizzati trasformando la sandbox non soltanto in un luogo di sperimentazione tecnica, ma anche in uno strumento di apprendimento regolatorio continuo. I risultati delle sperimentazioni dovrebbero alimentare stabilmente l’attività normativa del Governo e del Parlamento, riducendo il tradizionale ritardo del diritto rispetto all’innovazione tecnologica.

Le considerazioni svolte nel presente contributo dovranno, peraltro, essere ulteriormente verificate alla luce della pubblicazione, intervenuta in data 24 luglio 2026, del Regolamento (UE) 2026/1744 (c.d. Omnibus digitale sull’IA), il cui contenuto potrebbe incidere, direttamente o indirettamente, su alcuni degli assetti regolatori esaminati, rendendo necessario un successivo riesame delle conclusioni qui formulate.

Governance dell’intelligenza artificiale e conclusioni

Lo schema di decreto legislativo AG 421 rappresenta, sotto il profilo tecnico, uno dei più avanzati tentativi di costruire un sistema nazionale di governance dell’intelligenza artificiale coerente con il Regolamento (UE) 2024/1689. La distribuzione delle competenze tra AgID, ACN, Autorità di vigilanza del mercato e Comitato di coordinamento, l’introduzione dello Spazio di sperimentazione nazionale e la definizione di un articolato sistema sanzionatorio testimoniano un significativo progresso rispetto alla disciplina contenuta nella legge n. 132 del 2025.

Tuttavia, l’analisi dello schema evidenzia tre profili che meritano un ulteriore approfondimento.

Il primo riguarda la dimensione professionale del controllo umano sull’intelligenza artificiale. La governance algoritmica non può essere affidata esclusivamente alle Autorità amministrative, ma richiede il riconoscimento di nuove competenze professionali dedicate alla valutazione degli input, alla verifica degli output e all’auditing dei sistemi.

Il secondo concerne la necessità di una nuova categoria normativa relativa ai sistemi di IA orientativa. L’attuale classificazione dell’AI Act, recepita dal decreto, appare ancora incentrata sul rischio funzionale, mentre l’evoluzione delle tecnologie rende sempre più rilevante il rischio di orientamento cognitivo, culturale e politico delle persone attraverso strumenti di personalizzazione algoritmica.

Il terzo profilo riguarda la capacità adattiva dell’ordinamento. La rapidità dell’innovazione impone di superare una concezione statica della regolazione, sostituendola con un modello dinamico fondato sull’interazione continua tra legislatore, Autorità indipendenti, università, comunità scientifica e operatori economici.

È proprio in questa prospettiva che le riflessioni emerse nel corso dell’audizione parlamentare del 21 luglio 2026 assumono particolare rilievo. La costruzione di una governance realmente efficace dell’intelligenza artificiale non dipenderà soltanto dalla completezza della disciplina oggi approvata, ma soprattutto dalla capacità dell’ordinamento di evolvere con la stessa rapidità con cui evolvono le tecnologie che intende regolare.