La legge italiana sull’intelligenza artificiale e i relativi schemi attuativi delineano un modello di governance multilivello, nel quale promozione dell’innovazione, vigilanza del mercato e poteri sanzionatori vengono distribuiti tra più autorità. La questione decisiva non è più l’esistenza delle regole, ma la loro applicazione coordinata, coerente e sostenibile.
Indice degli argomenti
Governance e sanzioni, il vero banco di prova dell’AI Act in Italia
Il 10 giugno 2026 il Consiglio dei Ministri ha approvato, in esame preliminare, due schemi di decreto legislativo destinati a dare attuazione ad alcuni aspetti essenziali della legge 132/2025, recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale” (nel prosieguo, legge sull’intelligenza artificiale), le cui disposizioni si interpretano e si applicano conformemente al regolamento (UE) 2024/1689, il c.d. “AI Act” (nel prosieguo, AI Act). I testi combinano disposizioni settoriali sull’impiego dell’intelligenza artificiale in ambiti sensibili — tra cui sanità, lavoro, professioni, giustizia, pubblica amministrazione e sicurezza — con deleghe legislative volte all’adeguamento dell’ordinamento nazionale al quadro europeo.+
Rispetto a tale ultimo ambito materiale, la presente analisi si concentrerà sui temi della governance, ossia la ripartizione delle competenze tra autorità generali e autorità settoriali, il coordinamento istituzionale e la disponibilità di risorse, e dell’enforcement, con specifico riferimento ai poteri ispettivi, e alle misure correttive e ai procedimenti sanzionatori con relative sanzioni, disciplinati nello “Schema di decreto legislativo: adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di poteri delle autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione”.
AI Act Italia, autorità competenti e delega al Governo
A tal proposito, l’art. 20 individua, rispettivamente, nell’Agenzia per l’Italia digitale (“AgID”) e nell’Agenzia per la cybersicurezza nazionale (“ACN”) le due Autorità nazionali competenti in maniera concorrente ma esclusiva, ciascuna per l’ambito di propria competenza, ai fini della disciplina dell’intelligenza artificiale, ferma la competenza di Banca d’Italia, CONSOB e IVASS quali autorità di vigilanza del mercato nei settori finanziari ai sensi dell’art. 74, par. 6, dell’AI Act. A ciò si aggiunge l’art. 24, che conferisce al Governo la delega ad adottare, entro dodici mesi dall’entrata in vigore della legge, e cioè entro il 10 ottobre 2026, uno o più decreti legislativi per l’adeguamento della normativa nazionale all’AI Act e per la disciplina dei casi di realizzazione e impiego illeciti di sistemi di intelligenza artificiale.
La governance nazionale dell’intelligenza artificiale
La diarchia AgID – ACN
Gli schemi di decreto legislativo, unitamente alla legge sull’intelligenza artificiale, adottano un modello di governance basato su una diarchia funzionale tra AgID e ACN.
L’art. 20 della legge designa entrambe quali Autorità nazionali per l’intelligenza artificiale, ma attribuisce loro compiti differenziati. Lo schema di decreto legislativo conferma e articola tale riparto: l’art. 1, comma 2, lett. a), definisce AgID e ACN quali “autorità nazionali per l’intelligenza artificiale”, mentre le successive lettere ne precisano i ruoli, designando l’ACN quale “punto di contatto unico” (art. 6) e AgID quale “autorità nazionale di notifica” (art. 4, e art. 1, comma 2, lett. e)).
Ad AgID è affidata la funzione di promozione dell’innovazione e dello sviluppo dell’intelligenza artificiale, nonché la definizione delle procedure e l’esercizio delle funzioni in materia di notifica, valutazione, accreditamento e monitoraggio dei soggetti incaricati di verificare la conformità dei sistemi di intelligenza artificiale, nel rispetto della normativa nazionale ed europea. In particolare, l’art. 13 dello schema attribuisce ad AgID poteri puntuali: essa definisce e attua le procedure di valutazione, designazione e notifica degli organismi di valutazione della conformità, assicura il monitoraggio continuo – mediante audit periodici e straordinari – sul mantenimento dei requisiti degli organismi notificati e, in caso di carenze o inadempimenti, avvia i procedimenti di limitazione, sospensione e revoca della designazione, nel rispetto del contraddittorio e della legge 241/1990. Gli oneri per i controlli sul mantenimento dei requisiti sono posti a carico degli organismi notificati (art. 13, comma 4). ACN, invece, è responsabile della vigilanza sui sistemi di intelligenza artificiale, incluse le attività ispettive e sanzionatorie, ed è altresì competente per la promozione e lo sviluppo dell’intelligenza artificiale con riguardo ai profili di cybersicurezza. L’art. 15 dello schema le attribuisce i poteri di vigilanza e ispettivi previsti dall’AI Act e dal regolamento (UE) 2019/1020, nonché il potere di svolgere controlli sulle prove in condizioni reali e di effettuare ispezioni a distanza o in loco, anche senza preavviso.
La scelta di separare la funzione di abilitazione e accesso al mercato dalla funzione di vigilanza e repressione risponde a un’esigenza di equilibrio istituzionale. Da un lato, l’ordinamento intende favorire l’adozione dell’intelligenza artificiale e sostenere lo sviluppo tecnologico; dall’altro lato, esso deve assicurare un presidio indipendente ed effettivo sui rischi per i diritti fondamentali, la sicurezza, la trasparenza e la correttezza dei sistemi.
La coesistenza di una funzione promozionale e di una funzione sanzionatoria, pur affidate a soggetti distinti, renderà necessaria l’adozione di protocolli di coordinamento chiari, specialmente nei casi in cui le valutazioni tecniche rese in fase di conformità possano incidere su successive attività di vigilanza.
Le autorità settoriali e il policentrismo regolatorio
Come sopra accennato, il sistema delineato dalla legge 132/2025 non si esaurisce nel binomio AgID-ACN. L’art. 20 fa espressamente salva l’attribuzione a Banca d’Italia, CONSOB e IVASS del ruolo di autorità di vigilanza del mercato ai sensi dell’art. 74, par. 6, dell’AI Act. Lo schema di decreto precisa ulteriormente tale assetto all’art. 5: l’ACN opera quale autorità generale di vigilanza del mercato ai sensi dell’art. 70 dell’AI Act (comma 1, lett. a)); Banca d’Italia, CONSOB e IVASS sono autorità competenti per i sistemi di intelligenza artificiale ad alto rischio utilizzati rispettivamente nell’erogazione di finanziamenti, servizi finanziari e attività assicurative (comma 1, lett. b)); il Garante per la protezione dei dati personali interviene limitatamente a quanto previsto dall’art. 74, par. 8, dell’AI Act (comma 1, lett. c)).
Si tratta di disposizioni particolarmente rilevanti soprattutto in virtù della previsione dei sistemi di intelligenza artificiale ad alto rischio immessi sul mercato, messi in servizio o utilizzati da operatori finanziari disciplinati dal diritto dell’Unione, rispetto ai quali la vigilanza di mercato è attribuita in maniera funzionale all’autorità nazionale settorialmente competente, secondo un principio di vicinanza e sussidiarietà in grado di assicurare l’assunzione di decisioni quanto più possibile coerenti con l’impianto regolatorio risk-based e armonizzato dell’AI Act, integrato da standard tecnici, linee guida e strumenti di coordinamento applicativo.
Ne deriva un modello di governance multilivello e policentrico, nel quale la competenza generale di ACN e AgID deve coordinarsi con le attribuzioni delle autorità settoriali, di cui vengono sfruttate e, al contempo, valorizzate le competenze tecniche. Al tempo stesso, tale modello pone un tema di certezza giuridica per gli operatori, che dovranno individuare con precisione l’autorità competente in relazione alla natura del sistema, alla qualifica soggettiva dell’operatore e al contesto di utilizzo.
Ebbene, un simile aspetto non è di poco momento. La corretta individuazione dell’autorità competente incide infatti sulla compliance degli operatori in punto di procedimento applicabile, modalità di interlocuzione con il regolatore, esercizio dei poteri ispettivi e regime sanzionatorio eventualmente applicabile. Lo schema affronta il tema del coordinamento con le autorità settoriali all’art. 8, che impone all’ACN di garantire la collaborazione con le pertinenti autorità responsabili della normativa di armonizzazione dell’Unione, prevedendo lo svolgimento congiunto delle attività di vigilanza ove il prodotto sia disciplinato sia dall’AI Act sia dalla normativa di armonizzazione (art. 8, commi 2 e 3). Per i conflitti di competenza, l’art. 8, comma 6, rinvia al meccanismo di cui all’art. 5, comma 8, del d.lgs. 157/2022. Gli schemi di decreto legislativo dovranno pertanto essere valutati anche alla luce della loro capacità di prevenire conflitti positivi o negativi di competenza e di assicurare omogeneità applicativa, senza comprimere le prerogative delle autorità settoriali.
Il Comitato di coordinamento e la rendicontazione istituzionale
L’art. 20 della legge 132/2025 prevede l’istituzione, presso la Presidenza del Consiglio dei Ministri – Dipartimento per la trasformazione digitale, di un Comitato di coordinamento incaricato di assicurare il raccordo tra le autorità nazionali per l’intelligenza artificiale. Lo schema di decreto ne articola le funzioni all’art. 12: il Comitato può fornire indirizzi unitari ai fini della stipula degli accordi e dei protocolli d’intesa previsti dagli artt. 7, 8, 9 e 10, nonché per l’adozione degli atti di indirizzo di cui all’art. 11 (comma 2). ACN e AgID sono tenute a informare il Comitato della stipula degli accordi e dell’avvio delle relative negoziazioni (comma 3). Anche le autorità del settore finanziario partecipano al Comitato quando si trattano questioni di rispettiva competenza, restando ferme le competenze del Garante per la protezione dei dati personali e dell’AGCOM quale Coordinatore dei Servizi Digitali (comma 1). Le autorità trasmettono, per il tramite del Comitato, una relazione annuale alla Presidenza del Consiglio dei Ministri, anche ai fini della valutazione di eventuali interventi correttivi o revisioni normative.
La previsione del Comitato appare coerente con la natura trasversale dell’intelligenza artificiale, ma la sua effettività dipenderà dalla qualità delle regole di funzionamento e dalla capacità di generare prassi comuni. Il coordinamento non dovrebbe limitarsi allo scambio informativo, ma dovrebbe tradursi in criteri condivisi di classificazione del rischio, priorità ispettive, gestione dei reclami, cooperazione con le autorità europee e raccordo con le autorità nazionali competenti in materia di protezione dei dati personali, comunicazioni elettroniche, mercati regolati e sicurezza.
È significativo, sul piano finanziario, che la legge precisi che dall’istituzione e dal funzionamento del Comitato non devono derivare nuovi o maggiori oneri per la finanza pubblica, dovendo le amministrazioni competenti provvedere nell’ambito delle risorse umane, finanziarie e strumentali disponibili a legislazione vigente.
La clausola di invarianza finanziaria, quindi, pur coerente con esigenze di finanza pubblica, pone un problema di capacità amministrativa.
L’efficacia della governance dell’intelligenza artificiale non dipenderà soltanto dalla disponibilità di competenze tecniche, risorse ispettive, infrastrutture di test e strumenti di analisi adeguati alla complessità dei sistemi vigilati ma soprattutto dalla capacità finanziaria delle autorità competenti: in mancanza di adeguati fondi, il rischio è che la governance resti formalmente articolata ma operativamente insufficiente, con conseguenze sia per la tutela dei diritti sia per la certezza degli operatori. D’altro canto, può tuttavia porsi il rischio che si faccia un utilizzo distorto del potere sanzionatorio, con l’unico scopo di poter assicurare alle autorità competenti un volume di entrate adeguato alle proprie necessità. Per tale ragione, la disciplina secondaria e le prassi applicative dovranno preservare la neutralità dell’azione amministrativa, assicurando trasparenza, separazione tra funzione accertativa e gestione delle risorse, e controlli sull’utilizzo dei fondi.
A tal proposito, il meccanismo di riassegnazione dei proventi sanzionatori previsto dall’art. 25 dello schema di decreto legislativo sembra rappresentare un utile correttivo nella misura in cui consente alle autorità di acquisire risorse aggiuntive proporzionate all’intensità della propria attività di enforcement, pur rimanendo subordinato al transito dei proventi per il bilancio dello Stato e alla riassegnazione ministeriale.
Più nel dettaglio, per l’ACN, i proventi delle sanzioni amministrative pecuniarie sono versati all’entrata del bilancio dello Stato per essere riassegnati all’apposito capitolo dello stato di previsione della spesa del MEF, di cui all’art. 18 del decreto legge 82/2021, e destinati, in via prioritaria, all’esercizio delle funzioni attribuite all’Agenzia dalla legge IA e dal decreto stesso (art. 25, comma 1). Per l’AgID, i proventi sono versati ad apposito capitolo dell’entrata del bilancio dello Stato per essere riassegnati, con decreto del MEF, a favore del bilancio dell’AgID, per l’intero ammontare; tali somme sono destinate, in via prioritaria, allo svolgimento delle attività previste dal decreto (art. 25, comma 2). Con riguardo alle autorità del settore finanziario, si rinvia a quanto previsto dalle rispettive normative di settore (art. 25, comma 3).
Il regime sanzionatorio nell’AI Act Italia
La legge 132/2025 affida al Governo il compito di adeguare l’ordinamento nazionale all’AI Act, specificando la disciplina dei casi di realizzazione e impiego illeciti di sistemi di intelligenza artificiale. Gli schemi di decreto legislativo muovono, quindi, dall’art. 99 dell’AI Act e, sulla scorta dei criteri generali di effettività, proporzionalità e dissuasività in esso contenuti, individuano le sanzioni, così come previsto al comma 2 della stessa disposizione.
Ai fini della presente disamina, l’art. 23 dello schema di decreto legislativo dettaglia la graduazione delle sanzioni amministrative pecuniarie in modo più analitico rispetto alla cornice generale dell’art. 99 dell’AI Act. In particolare: la non conformità ai divieti sulle pratiche di intelligenza artificiale vietate (art. 5 AI Act) è punita con una sanzione che può raggiungere i 35 milioni di euro o il 7% del fatturato mondiale annuo (comma 1); il mancato rispetto degli obblighi di cui agli artt. 16, 73 e 80 dell’AI Act è soggetto a sanzione fino a 15 milioni di euro o al 3% del fatturato (comma 2); la violazione dell’art. 22 dell’AI Act è soggetta ad una sanzione che può raggiungere i 12 milioni di euro o il 2% del fatturato (comma 3); quella dell’art. 23 può raggiungere i 10 milioni di euro o il 2% (comma 4); quella dell’art. 24 può raggiungere i 7 milioni di euro o l’1% (comma 5); quella degli artt. 26, 27 e 86 può raggiungere 1 milione di euro o lo 0,5% (comma 6). Ancora, la violazione degli obblighi degli organismi notificati (artt. 31, 33 e 34) può essere sanzionata con un importo fino a 3 milioni di euro o l’1,5% del fatturato (comma 7); l’art. 50 in materia di trasparenza è soggetto a sanzione fino a 5 milioni di euro o all’1,5% (comma 8); la fornitura di informazioni inesatte o fuorvianti fino a 7,5 milioni di euro o all’1% (comma 9).
La graduazione in percentuale del fatturato mondiale annuo – definito come il fatturato totale annuo risultante dall’ultimo bilancio approvato (art. 23, comma 11) – rende evidente la volontà, da parte del legislatore nazionale, di individuare delle regole idonee a spiegare un effetto deterrente anche nei confronti di operatori di grandi dimensioni. Per le persone fisiche soggette agli obblighi dell’AI Act, i limiti edittali sono ridotti del cinquanta per cento (art. 23, comma 10). Per PMI e start-up innovative, la sanzione è determinata secondo il criterio dell’art. 99, par. 6, dell’AI Act (art. 23, comma 13). Nella determinazione dell’importo, l’autorità tiene conto dei criteri già previsti all’art. 99, par. 7, dell’AI Act, nonché della natura, sostanziale o formale, dell’obbligo violato (art. 23, comma 12). La proporzionalità non opera, tuttavia, come fattore di attenuazione automatica: essa richiede una valutazione concreta della natura, gravità, durata e conseguenze della violazione, nonché del comportamento collaborativo dell’operatore.
Misure non pecuniarie e risposta graduata all’inadempimento
Accanto alle sanzioni pecuniarie, l’art. 22 dello schema introduce misure non pecuniarie per le violazioni dell’AI Act caratterizzate da scarsa offensività o pericolosità, in alternativa alle sanzioni pecuniarie di cui all’art. 23. Tali misure comprendono, in particolare: (a) l’ordine di eliminare le infrazioni e di astenersi dal ripeterle, con indicazione delle misure da adottare e del termine per attuarle; (b) la pubblicazione di una dichiarazione pubblica avente ad oggetto la violazione commessa e il soggetto responsabile nell’ipotesi in cui l’infrazione contestata sia cessata.
La funzione di tali misure è quella di consentire all’autorità di vigilanza di perseguire l’obiettivo di conformità senza ricorrere immediatamente alla sanzione pecuniaria, soprattutto nelle ipotesi in cui l’inosservanza non sia particolarmente grave e sia rimediabile e non abbia prodotto un pregiudizio significativo.
In caso di inottemperanza all’ordine impartito dall’autorità entro il termine stabilito, è previsto un inasprimento degli importi rispetto a quanto previsto per la violazione originaria, con un aumento fino a un terzo della sanzione base, fermi restando i massimi edittali previsti dall’art. 23. Restano fermi i poteri spettanti alle autorità di cui all’art. 20, comma 2, della legge 132/2025 in base alla legislazione di settore (art. 22, comma 3).
Si tratta di un meccanismo di enforcement progressivo e graduato, la cui efficacia dipenderà, in primo luogo, dalla precisione delle prescrizioni impartite e dalla capacità di ciascuna autorità di verificarne l’attuazione.
Poteri ispettivi, istruttoria e garanzie procedimentali
Secondo il combinato disposto dell’art. 20 della legge 132/2025 e dell’art. 21 dello schema di decreto legislativo, ACN ha la responsabilità della vigilanza, incluse le attività ispettive e sanzionatorie. Più nel dettaglio, ACN è titolare dei poteri sanzionatori generali (art. 21), mentre AgID detiene quelli relativi alla funzione di notifica, ossia le sanzioni previste dall’art. 99, par. 4, lett. f), e par. 5 dell’AI Act. Da ultimo, alle autorità del settore finanziario sono attribuiti poteri di vigilanza e ispettivi propri, ivi incluso il potere di emanare disposizioni attuative, di effettuare ispezioni a distanza o in loco e di stipulare protocolli con la Guardia di finanza.
Gli schemi, in questa prospettiva, valorizzano strumenti quali richieste di informazioni, accessi ispettivi, controlli sui sistemi ad alto rischio, verifiche sui test in condizioni reali e acquisizione della documentazione tecnica. L’art. 15 dello schema prevede che le modalità per l’esercizio dei poteri di vigilanza e per l’adozione delle misure di cui all’art. 16 siano definite con regolamento adottato con DPCM su proposta dell’ACN (comma 3). L’art. 16, a sua volta, individua nell’ACN l’autorità competente per le misure di cui agli artt. 79, 80, 82 e 83 dell’AI Act, con procedimento avviato a seguito di segnalazione di incidenti gravi, reclami, segnalazione di altre autorità o d’ufficio. L’estensione di tali poteri appare necessaria per evitare che la complessità tecnica dei sistemi di intelligenza artificiale si traduca in opacità regolatoria. Al tempo stesso, l’esercizio dei poteri istruttori dovrà rispettare garanzie procedimentali adeguate, inclusi il contraddittorio, la motivazione del provvedimento, la proporzionalità della richiesta istruttoria e la tutela delle informazioni riservate.
In tale ambito, la compliance preventiva assume un rilievo centrale. Gli operatori dovranno predisporre documentazione tecnica, registri, procedure interne di valutazione del rischio, presidi di human oversight, policy di incident management e meccanismi di tracciabilità delle decisioni. La sanzione, infatti, non colpisce soltanto l’esito dannoso, ma anche la violazione degli obblighi organizzativi e procedurali che il regolamento europeo considera funzionali alla prevenzione del rischio.
Il procedimento sanzionatorio è disciplinato dall’art. 24 dello schema, che prevede la contestazione degli addebiti ai soggetti interessati e l’applicazione delle sanzioni con provvedimento motivato (comma 1). Le modalità procedurali sono differenziate per ciascuna autorità: per l’AgID, con proprio regolamento (comma 2); per l’ACN, con il regolamento adottato ai sensi dell’art. 17, comma 4-quater, del decreto legge 82/2021 (comma 3); per Banca d’Italia, CONSOB e IVASS, secondo le rispettive procedure sanzionatorie di settore (commi 5, 6 e 7). Il provvedimento di irrogazione è pubblicato per estratto sul sito istituzionale dell’autorità, con possibilità di pubblicazione in forma anonima nei casi in cui quella ordinaria possa ledere i dati personali, pregiudicare la cybersicurezza o causare un danno sproporzionato ai soggetti coinvolti (comma 4). Per quanto non diversamente disposto, si applica la legge 689/1981, ad eccezione dell’art. 16 (comma 9).
Considerazioni conclusive
Gli schemi di decreto legislativo in commento rappresentano la tappa preliminare nel processo legislativo di attuazione della legge sull’intelligenza artificiale, laddove individuano i confini dell’apparato istituzionale e fissano i principi del quadro sanzionatorio nazionale in materia di intelligenza artificiale.
Il successo del modello italiano dipenderà da tre fattori. In primo luogo, dalla chiarezza nella ripartizione delle competenze tra AgID, ACN e autorità settoriali, su cui lo schema interviene con gli artt. 4, 5, 7, 8 e 12. In secondo luogo, dall’effettività dei poteri ispettivi e sanzionatori – ora dettagliati dagli artt. 15-17 e 19-24 – che dovranno essere sufficientemente incisivi senza comprimere in modo sproporzionato l’innovazione. In terzo luogo, dalla disponibilità di risorse adeguate: se la clausola di invarianza finanziaria dell’art. 53 dello schema di decreto legislativo pone limiti strutturali, il meccanismo di riassegnazione dei proventi sanzionatori di cui all’art. 25 offre un correttivo potenzialmente significativo, la cui effettività dipenderà dall’entità dell’attività sanzionatoria e dalla tempestività delle procedure di riassegnazione ministeriale.
Partecipa alla community