AI Act in Italia: dal 23 ottobre scattano i controlli, cosa rischiano le PMI

Dal 23 ottobre chi usa l’intelligenza artificiale per fare contenuti, gestire social o prendere decisioni sul personale ha un’autorità che può bussare alla porta senza avvisare. Non è un allarme da convegno: è una data con un numero di decreto accanto, e le cifre delle multe hanno sei zeri. Se la tua azienda pubblica un reel generato con l’IA senza dichiararlo, o se un software filtra i candidati, questo pezzo ti riguarda da vicino.

L’AI Act in Italia smette di essere una cornice europea astratta e diventa un sistema di controllo con nomi, poteri e sanzioni. Il decreto legislativo 179/2026, pubblicato in Gazzetta l’8 ottobre, entra in vigore dal 23 e completa l’attuazione italiana dell’AI Act, distribuendo vigilanza e poteri sanzionatori tra più autorità.

Cos’è il D.Lgs. 179/2026 e cosa cambia dal 23 ottobre

È il decreto che dà all’Italia le autorità, i poteri e le sanzioni per far rispettare l’AI Act europeo. Non introduce nuovi divieti sull’uso dell’IA: dice chi controlla, cosa si sanziona e quanto si rischia.

Il decreto non riscrive il regolamento europeo né impone un’autorizzazione preventiva per usare l’IA. Non significa, quindi, che ogni impresa debba sottoporre in anticipo all’autorità i sistemi che usa. Costruisce però l’impianto nazionale che fa funzionare i controlli: reclami, ispezioni, ordini correttivi, multe. È il secondo tassello dopo la legge quadro del 2025, e si inserisce nel percorso che abbiamo già raccontato parlando delle autorità di vigilanza AI Act diventate operative.

Chi controlla l’AI Act in Italia: ACN, AgID e le autorità di settore

La vigilanza generale sui sistemi di IA è dell’ACN, l’Agenzia per la cybersicurezza nazionale. Accanto a lei lavorano AgID, Banca d’Italia, CONSOB, IVASS e il Garante Privacy, ciascuno nel proprio ambito.

Il riparto è netto e vale la pena averlo chiaro prima di chiedersi “a chi rispondo io”. AgID è l’autorità nazionale di notifica, che segue gli organismi di valutazione della conformità; l’ACN è l’autorità di vigilanza del mercato sui sistemi di IA in generale e il punto di contatto unico nazionale. Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati rispettivamente in finanziamenti, servizi finanziari e assicurazioni, con poteri ispettivi propri. Per una PMI che fa comunicazione, l’interlocutore di riferimento è l’ACN. Il punto operativo da non sottovalutare: i poteri di vigilanza includono ispezioni, e non è detto che arrivi prima un preavviso.

Quanto si rischia: le sanzioni dell’AI Act in Italia

Le multe seguono la gravità e si calcolano sul maggiore tra una cifra fissa e una percentuale del fatturato mondiale. Al vertice, le pratiche vietate.

• Pratiche vietate (manipolazione, scoring sociale, riconoscimento delle emozioni sul lavoro): la fascia più alta.
• Altri obblighi, come trasparenza e requisiti sui sistemi ad alto rischio: la fascia intermedia.
• Informazioni inesatte o fuorvianti fornite alle autorità: la fascia più bassa.

Le cifre non sono teoria. Per le pratiche vietate dall’articolo 5, la sanzione arriva fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, applicando l’importo più alto tra i due. Per la violazione di altri obblighi si scende fino a 15 milioni o al 3%, e per le informazioni scorrette alle autorità fino a 7,5 milioni o all’1% (Fonte: articolo 23 del D.Lgs. 179/2026, riportato da Ingenio-web, ottobre 2026).

Prima di andare nel panico: c’è un correttivo pensato apposta per chi è piccolo. Per PMI e start-up innovative vale l’importo più basso tra la cifra fissa e la percentuale sul fatturato. In concreto, nessuno pretende 35 milioni da chi fattura una frazione di quella cifra: la proporzionalità resta il principio guida. Ma “più basso” non vuol dire “irrilevante”, e un procedimento costa anche in tempo e reputazione.

IA e decisioni sul personale: la decisione finale resta a una persona

Se usi l’IA per decidere su assunzioni, licenziamenti, provvedimenti disciplinari o valutazioni, la scelta finale deve restare a una persona fisica. E il consenso del lavoratore non basta a cambiare questa regola.

Questo è il punto che tocca chiunque gestisca un team, non solo le grandi aziende. L’articolo 41 riserva a una persona fisica, dotata di un potere effettivo e autonomo, ogni decisione finale sul rapporto di lavoro, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, e il consenso del lavoratore non basta a derogare al divieto. Un responsabile non può limitarsi a ratificare in modo meccanico ciò che suggerisce il software: deve poter valutare il contesto, mettere in discussione l’esito e assumersi la responsabilità della scelta. Restano fuori da questo obbligo le attività di ricerca e selezione delle candidature, anche quando portano alla mancata ammissione alle fasi successive — il che non significa che un algoritmo di reclutamento possa ignorare GDPR e divieti di discriminazione.

È la stessa logica che ripetiamo quando parliamo di sistemi ad alto rischio: lo strumento calcola, la persona decide. Vale per le risorse umane come per la comunicazione.

Contenuti e influencer virtuali: la trasparenza che evita la multa (e la perdita di reach)

Chi usa l’IA per generare contenuti, voci o volti sintetici deve dichiararlo. La marcatura non è un fastidio burocratico: è ciò che ti tiene dentro le regole e, allo stesso tempo, dentro gli algoritmi delle piattaforme.

Qui si incrociano due rischi. Il primo è la sanzione: un contenuto generato dall’IA lasciato senza marcatura, o un chatbot che non si dichiara, rientra tra gli obblighi di trasparenza che possono costare caro — ne abbiamo scritto spiegando gli obblighi dell’articolo 50. Il secondo rischio è più silenzioso ma quotidiano: le piattaforme hanno iniziato a etichettare e in certi casi a penalizzare i contenuti AI non dichiarati. Un reel che nasconde di essere sintetico rischia meno reach, non di più.

Per questo, in agenzia, il lavoro parte sempre dalla mappatura: dove entra l’IA nel processo, in che misura, e come si dichiara. Che si tratti di uno spot, di una stagione di contenuti ricorrenti o di un volto virtuale, l’etichetta corretta fa parte del prodotto, non è un passaggio aggiunto alla fine. È un ragionamento che vale anche per chi gestisce i social da sé: un’azienda di Vanzago che pubblica contenuti ogni settimana deve sapere, post per post, cosa è generato e come dichiararlo.

Lo spazio di sperimentazione: l’opportunità per PMI e start-up

Il decreto non è solo divieti. Prevede un ambiente controllato dove testare i sistemi di IA sotto la vigilanza delle autorità, con corsia preferenziale proprio per chi è piccolo.

L’articolo 26 istituisce lo Spazio di sperimentazione italiano per l’IA, con finalità di cooperazione, innovazione e accesso più rapido al mercato europeo, in particolare per PMI e start-up. È un ambiente gestito da AgID e ACN in cui testare i sistemi sotto la vigilanza delle autorità, con priorità di accesso per PMI e start-up; modalità e criteri saranno fissati con un decreto successivo. Tradotto: lo stesso quadro che impone obblighi apre anche una porta per chi vuole sperimentare in regola invece di muoversi a tentoni. Non serve a chi fa due reel al mese, ma conta per chi costruisce prodotti e servizi sopra l’IA.

Cosa fare adesso: la mappa prima dell’ispezione

Il primo passo non è legale, è di inventario: sapere dove usi l’IA. Non puoi dichiarare, documentare o difendere ciò di cui non tieni traccia.

• Mappa dove entra l’IA nella tua comunicazione: testi, immagini, voci, montaggio, pianificazione, risposte automatiche.
• Documenta cosa è generato e in che misura, così da avere una risposta pronta se qualcuno la chiede.
• Prepara le disclosure: etichette corrette sui contenuti sintetici, dichiarazione dei chatbot, trasparenza sugli avatar.
• Tieni la decisione in mano a una persona ogni volta che l’IA tocca scelte sul personale.

Chi fa comunicazione in modo artigianale è avvantaggiato qui, e non per modo di dire. Quando un video o un format nascono dal lavoro di persone, con l’IA usata come strumento e non come scorciatoia, la tracciabilità esiste già: sai cosa hai girato davvero e cosa hai generato, e dichiararlo è naturale. È un vantaggio che si tocca con mano nella produzione video aziendale, dove la differenza tra una ripresa reale e un elemento sintetico è parte del preventivo fin dall’inizio. Lo stesso principio di tracciabilità vale per chi, in un comune come Assago, vuole gestire i propri social restando dalla parte giusta delle regole.

Chi ha già rimandato tutto a “vediamo come va” sta facendo il calcolo sbagliato. La compliance tardiva costa più di quella preventiva, e un’ispezione non aspetta che tu sia pronto. Metti ordine ora nei contenuti che pubblichi: è la cosa che ti protegge da una multa e, allo stesso tempo, dalla penalizzazione silenziosa delle piattaforme.

Parla con Zero Limiti dei tuoi contenuti: mappiamo dove usi l’IA e costruiamo una comunicazione che regge l’etichetta, l’algoritmo e il controllo.

Domande frequenti

Da quando è in vigore l’AI Act in Italia?

Il D.Lgs. 179/2026 è stato pubblicato in Gazzetta Ufficiale l’8 ottobre 2026 ed è efficace dal 23 ottobre 2026. Completa l’attuazione italiana del regolamento europeo, definendo autorità, poteri e sanzioni.

Chi controlla l’uso dell’IA nelle aziende?

L’ACN è l’autorità di vigilanza del mercato sui sistemi di IA in generale. Accanto operano AgID come autorità di notifica, Banca d’Italia, CONSOB e IVASS per i settori finanziari e assicurativi, e il Garante Privacy nel suo ambito. Per una PMI che comunica, il riferimento è l’ACN.

Le PMI rischiano davvero multe da 35 milioni di euro?

No, non in quelle cifre assolute. Per PMI e start-up si applica l’importo più basso tra la cifra fissa e la percentuale sul fatturato mondiale, per il principio di proporzionalità. Resta comunque un rischio concreto, oltre ai costi di un procedimento e al danno reputazionale.

Posso usare un software per selezionare i candidati?

La ricerca e selezione delle candidature non è considerata “decisione finale” e non rientra nell’obbligo di controllo umano dell’articolo 41. Ma restano fermi il GDPR, i divieti di discriminazione e le regole sui sistemi ad alto rischio. La decisione finale su assunzione o licenziamento, invece, deve sempre spettare a una persona.

Devo dichiarare che un contenuto è stato fatto con l’IA?

Sì. I contenuti sintetici e i chatbot rientrano negli obblighi di trasparenza dell’AI Act. Oltre al rischio sanzionatorio, le piattaforme tendono a etichettare o penalizzare i contenuti AI non dichiarati: la disclosure corretta protegge dalle multe e dalla perdita di reach.

Cosa conviene fare per primo?

Mappare dove usi l’IA nella tua comunicazione e documentarlo. Senza una mappa non puoi dichiarare, difenderti o dimostrare correttezza. È il passo che rende tutto il resto — etichette, informative, supervisione umana — gestibile invece che caotico.