Tag: compliance IA

Pubblicato il di

Intelligenza artificiale in azienda: pubblicato il D.Lgs. 179/2026. Cosa cambia e come prepararsi

Nuove disposizioni su controlli, sanzioni, formazione e tutela delle informazioni aziendali. Le imprese che utilizzano sistemi di intelligenza artificiale devono verificare la propria organizzazione e aggiornare, ove necessario, procedure e strumenti di compliance.

Il quadro normativo italiano sull’intelligenza artificiale compie un nuovo passo avanti.

Con la pubblicazione nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 del Decreto Legislativo 7 ottobre 2026, n. 179, il legislatore nazionale interviene per adeguare la disciplina italiana al Regolamento (UE) 2024/1689, meglio conosciuto come AI Act.

Il provvedimento, che entrerà in vigore il 23 ottobre 2026, disciplina diversi aspetti dell’attuazione nazionale della normativa europea, con particolare attenzione ai poteri delle autorità competenti, alla vigilanza del mercato, al sistema sanzionatorio e all’utilizzo dell’intelligenza artificiale nella formazione.

Per le aziende, la novità non riguarda soltanto gli aspetti tecnologici, ma anche la gestione dei rischi, l’organizzazione interna e la capacità di dimostrare un utilizzo responsabile dei sistemi di IA.

1. Intelligenza artificiale e gestione del personale

L’impiego dell’intelligenza artificiale nei processi di selezione, valutazione e gestione dei lavoratori rappresenta uno degli ambiti più delicati.

I sistemi utilizzati per il reclutamento, la selezione dei candidati, la valutazione delle prestazioni e determinate decisioni riguardanti i rapporti di lavoro possono rientrare tra quelli classificati ad alto rischio dall’AI Act.

Le imprese devono pertanto verificare:

  • Le finalità per cui vengono utilizzati gli strumenti di IA.
  • La presenza di un’effettiva supervisione umana.
  • Il rispetto degli obblighi di trasparenza e protezione dei dati personali.
  • I rischi di discriminazione e di decisioni automatizzate illegittime.

Attenzione: il D.Lgs. 179/2026 non deve essere interpretato come l’introduzione di un divieto assoluto e generalizzato di qualsiasi decisione automatizzata in ambito lavorativo. Occorre valutare le disposizioni concretamente applicabili, comprese quelle del GDPR, dell’AI Act e della normativa sul lavoro.

2. Sicurezza sul lavoro e valutazione dei rischi

L’introduzione dell’intelligenza artificiale nei processi produttivi può incidere sull’organizzazione del lavoro e sulle condizioni di sicurezza.

Si pensi, ad esempio, ai sistemi di gestione automatizzata delle attività, ai dispositivi intelligenti utilizzati negli stabilimenti o agli algoritmi che influenzano i ritmi produttivi.

In questi casi, il datore di lavoro deve valutare se l’utilizzo della tecnologia introduce nuovi rischi o modifica quelli già esistenti.

Può quindi risultare necessario aggiornare il Documento di Valutazione dei Rischi (DVR), in applicazione del D.Lgs. 81/2008.

L’aggiornamento non discende automaticamente dal semplice utilizzo di qualsiasi applicazione di IA, ma dalla concreta incidenza della tecnologia sui rischi lavorativi.

3. Formazione sull’intelligenza artificiale: un’attività sempre più importante

La formazione costituisce un elemento centrale del nuovo quadro normativo.

Il D.Lgs. 179/2026 interviene anche sull’utilizzo dell’intelligenza artificiale nei percorsi formativi e sullo sviluppo delle competenze.

Per le aziende assume particolare importanza anche l’articolo 4 dell’AI Act, relativo all’alfabetizzazione in materia di IA.

Le organizzazioni che utilizzano sistemi di intelligenza artificiale devono adottare misure per assicurare un adeguato livello di conoscenza e competenza del personale coinvolto, tenendo conto delle caratteristiche dei sistemi utilizzati e del contesto operativo.

Non si tratta semplicemente di insegnare ai dipendenti a utilizzare un software.

La formazione dovrebbe comprendere anche la conoscenza dei rischi, dei limiti degli algoritmi, della protezione delle informazioni riservate e delle responsabilità connesse all’utilizzo dell’IA.

4. Algoritmi, dati aziendali e segreti commerciali

Un ulteriore aspetto riguarda la protezione delle informazioni aziendali utilizzate nello sviluppo e nell’impiego dei sistemi di intelligenza artificiale.

Dati di addestramento, algoritmi, modelli e conoscenze tecnico-industriali possono costituire risorse strategiche per le imprese.

La disciplina nazionale interviene sul rapporto tra queste informazioni e la tutela prevista dal Codice della Proprietà Industriale.

Per le aziende diventa quindi importante verificare la riservatezza dei dati utilizzati, le condizioni contrattuali con i fornitori e le misure di protezione del patrimonio informativo.

La tutela come segreto commerciale resta subordinata alla sussistenza dei requisiti previsti dalla legge.

5. Autorità di controllo e sistema sanzionatorio

Il decreto definisce il quadro nazionale dei poteri di controllo e vigilanza connessi all’applicazione dell’AI Act.

Un ruolo centrale è attribuito all’Agenzia per l’Italia Digitale (AgID) e all’Agenzia per la Cybersicurezza Nazionale (ACN), nell’ambito delle rispettive competenze.

Rilevano inoltre le autorità di vigilanza settoriali, comprese quelle operanti nei mercati finanziari e nella protezione dei dati personali.

Il sistema sanzionatorio deve essere letto congiuntamente alla disciplina europea.

L’AI Act prevede, per determinate violazioni particolarmente gravi, sanzioni che possono raggiungere 35 milioni di euro oppure il 7% del fatturato mondiale annuo, secondo i criteri previsti dal regolamento.

Tali importi rappresentano i massimali previsti per specifiche violazioni e non costituiscono una sanzione automaticamente applicabile a qualsiasi irregolarità nell’utilizzo dell’intelligenza artificiale.

6. Sperimentazione normativa e innovazione

Il decreto disciplina anche gli spazi di sperimentazione normativa per l’intelligenza artificiale.

L’obiettivo è favorire lo sviluppo e la verifica di sistemi innovativi in ambienti controllati, con il coinvolgimento delle autorità competenti.

Si tratta di strumenti che possono agevolare il confronto tra imprese, sviluppatori e organismi di vigilanza, senza eliminare gli obblighi di conformità applicabili.

7. Cosa dovrebbero fare concretamente le aziende?

Alla luce del nuovo quadro normativo, le organizzazioni che utilizzano sistemi di intelligenza artificiale dovrebbero avviare una verifica interna articolata in alcune attività fondamentali:

  1. Censire i sistemi di IA utilizzati, identificando applicazioni, finalità, fornitori e funzioni aziendali coinvolte.
  2. Valutare i rischi normativi e organizzativi, distinguendo i sistemi ad alto rischio dagli altri strumenti.
  3. Verificare le policy aziendali, con particolare attenzione all’utilizzo dell’IA da parte dei dipendenti.
  4. Aggiornare la documentazione, ove necessario, in materia di privacy, sicurezza, gestione dei rischi e controlli interni.
  5. Programmare la formazione, assicurando competenze adeguate alle responsabilità del personale.
  6. Definire responsabilità e controlli, documentando la supervisione umana e le verifiche periodiche.

Queste attività costituiscono un percorso operativo consigliabile: non rappresentano un elenco di adempimenti indistintamente obbligatori per tutte le imprese.

Il D.Lgs. 179/2026 rappresenta un ulteriore tassello nella costruzione del sistema italiano di regolamentazione dell’intelligenza artificiale.

Per le imprese, la principale sfida consiste nell’integrare progressivamente l’IA nei propri processi senza trascurare gli aspetti giuridici, organizzativi e di controllo.

L’intelligenza artificiale non deve essere gestita soltanto come uno strumento informatico, ma come una tecnologia da governare attraverso responsabilità definite, formazione e adeguate misure di compliance.

Per consulenti e professionisti si apre inoltre un importante ambito di attività nell’assistenza alle imprese per la valutazione dei rischi, l’aggiornamento delle procedure e la formazione del personale.

Fonte normativa: Decreto Legislativo 7 ottobre 2026, n. 179, Gazzetta Ufficiale n. 234 dell’8 ottobre 2026.

A cura del Dr. Matteo Rapparini
Editore di Edirama.org e Alert231.it

Pubblicato il di

Intelligenza artificiale e D.Lgs. 231/2001: nuovi reati e nuovi rischi per le imprese

L’intelligenza artificiale entra sempre più direttamente nel sistema della responsabilità amministrativa degli enti disciplinato dal D.Lgs. 231/2001.

Il percorso di adeguamento dell’ordinamento italiano all’AI Act – Regolamento (UE) 2024/1689, insieme alla Legge 23 settembre 2025, n. 132, sta infatti producendo importanti conseguenze anche sul fronte della responsabilità penale e dei Modelli Organizzativi 231.

La Legge n. 132/2025 ha già introdotto nell’ordinamento italiano specifiche disposizioni penali legate all’impiego dell’intelligenza artificiale e ha delegato il Governo ad adottare i decreti necessari per l’adeguamento della normativa nazionale all’AI Act.

Per imprese, Organismi di Vigilanza e consulenti 231 si apre quindi una nuova area di compliance: il rischio derivante dalla progettazione, produzione, commercializzazione e utilizzo dei sistemi di intelligenza artificiale.

Il nuovo scenario: IA e responsabilità 231

Tra gli interventi più significativi previsti nel percorso di adeguamento figura l’introduzione del nuovo art. 437-bis del Codice penale, relativo all’omessa adozione delle misure di sicurezza previste per i sistemi di intelligenza artificiale ad alto rischio e all’alterazione di tali sistemi.

La fattispecie assume particolare importanza ai fini della responsabilità degli enti perché è prevista la sua collocazione nel catalogo dei reati presupposto del D.Lgs. 231/2001 attraverso il nuovo art. 25-vicies. ente una questione tecnologica o di conformità all’AI Act, ma può diventare anche un elemento rilevante sul piano della responsabilità penale e della responsabilità dell’organizzazione.

Quali condotte diventano rilevanti?

Particolare attenzione deve essere riservata ai sistemi di IA ad alto rischio.

Il nuovo quadro riguarda la mancata adozione delle misure tecniche e organizzative di sicurezza previste per attività quali:

  • progettazione;
  • addestramento;
  • produzione;
  • immissione sul mercato;
  • utilizzo professionale di sistemi di IA ad alto rischio.

Il rischio, pertanto, può interessare diversi soggetti della catena del valore dell’intelligenza artificiale: fornitori, importatori, distributori, deployer e, più in generale, organizzazioni che utilizzano professionalmente sistemi classificati ad alto rischio.

Non si tratta quindi di un problema limitato alle software house o alle aziende che sviluppano algoritmi.

Anche un’impresa che utilizza sistemi IA di terzi potrebbe dover valutare attentamente i nuovi rischi.

Non solo sistemi ad alto rischio: attenzione anche ai deepfake

Un’altra area particolarmente delicata riguarda l’utilizzo dell’intelligenza artificiale per la creazione e diffusione illecita di contenuti manipolati.

La Legge n. 132/2025 ha introdotto, attraverso l’articolo 26, diverse modifiche al Codice penale connesse all’utilizzo dell’IA, prevedendo anche una specifica aggravante quando il sistema di intelligenza artificiale costituisce un mezzo insidioso, ostacola la difesa oppure aggrava le conseguenze del reato.

Il tema dei deepfake e dei contenuti artificialmente generati o alterati diventa pertanto un ulteriore elemento da considerare nella mappatura dei rischi aziendali.

Perché cambia il Modello 231

L’ingresso dei rischi IA nell’universo 231 impone alle organizzazioni di superare un approccio esclusivamente informatico.

Il punto centrale diventa la cosiddetta colpa di organizzazione.

In presenza di un illecito commesso attraverso sistemi di IA, potrebbe infatti assumere rilevanza la capacità dell’ente di dimostrare di avere preventivamente identificato il rischio e predisposto un sistema organizzativo adeguato per governarlo.

Per questo motivo il Modello 231 dovrebbe progressivamente integrare l’AI Risk Management all’interno dei tradizionali sistemi di controllo.

Cosa dovrebbero fare le aziende

Le organizzazioni dotate di un Modello 231 dovrebbero innanzitutto effettuare un censimento dei sistemi di intelligenza artificiale utilizzati e verificare quali processi aziendali risultino maggiormente esposti.

L’aggiornamento dovrebbe quindi interessare almeno:

  • Risk Assessment 231, inserendo i nuovi scenari di rischio connessi all’IA;
  • Parte Generale del Modello, introducendo il governo e il controllo dei sistemi IA;
  • Parti Speciali, individuando processi sensibili, soggetti coinvolti e protocolli preventivi;
  • Codice Etico, disciplinando principi e limiti nell’utilizzo dell’intelligenza artificiale;
  • Sistema disciplinare, prevedendo conseguenze per la violazione delle policy e dei protocolli IA;
  • procedure aziendali, con regole per selezione, acquisto, sviluppo, configurazione e utilizzo dei sistemi IA;
  • flussi informativi verso l’Organismo di Vigilanza;
  • Piano di Vigilanza dell’OdV, introducendo audit specifici sull’utilizzo dell’intelligenza artificiale.

 

Pubblicato il di

Articolo 50 AI Act: obblighi di trasparenza dal 2 agosto 2026

Dal 2 agosto 2026 diventano pienamente applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. Aziende, professionisti, fornitori di sistemi di intelligenza artificiale e deployer devono quindi verificare se i sistemi utilizzati o messi a disposizione del pubblico rientrano nel campo di applicazione della norma.

L’obiettivo è ridurre i rischi di inganno, impersonificazione, manipolazione, frode e disinformazione. La persona deve poter capire quando sta interagendo con un sistema di IA o quando un contenuto è stato generato o modificato artificialmente.

I quattro obblighi dell’articolo 50 AI Act

L’articolo 50 stabilisce quattro principali obblighi:

  1. Informare le persone che stanno interagendo direttamente con un sistema di IA.
  2. Marcare e rendere rilevabili i contenuti sintetici generati o manipolati dall’intelligenza artificiale.
  3. Informare le persone esposte a sistemi di riconoscimento delle emozioni o categorizzazione biometrica.
  4. Dichiarare l’origine artificiale di deepfake e determinati testi di interesse pubblico.

A questi si aggiunge una regola generale: l’informazione deve essere chiara, distinguibile, accessibile e fornita al più tardi al momento della prima interazione o esposizione.

Fornitore o deployer? La qualificazione viene prima degli adempimenti

Uno degli errori più frequenti consiste nel non individuare correttamente il ruolo dell’organizzazione.

Il fornitore è il soggetto che sviluppa o fa sviluppare un sistema di IA e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Anche chi integra un modello di terzi in un proprio sistema e lo commercializza a proprio nome assume gli obblighi del fornitore.

Il deployer è invece il soggetto che utilizza un sistema di IA sotto la propria autorità, decidendone finalità e modalità d’uso. La stessa azienda può essere fornitore per un sistema e deployer per un altro, oppure assumere entrambi i ruoli per il medesimo sistema.

Quali sistemi devono essere verificati?

La valutazione deve riguardare, tra gli altri:

  • chatbot e assistenti virtuali;
  • agenti IA che interagiscono con clienti, utenti o dipendenti;
  • sistemi che generano testi, immagini, video o audio;
  • strumenti di riconoscimento delle emozioni;
  • sistemi di categorizzazione biometrica;
  • applicazioni utilizzate per produrre deepfake;
  • sistemi impiegati per realizzare testi destinati a informare il pubblico.

Gli obblighi possono cumularsi. Un chatbot che genera immagini, per esempio, può richiedere sia l’informazione sull’interazione con l’IA sia la marcatura tecnica degli output. Se le immagini costituiscono deepfake, anche il deployer dovrà applicare un’etichetta percepibile.

Come prepararsi operativamente

Le aziende dovrebbero avviare un censimento dei sistemi di IA, attribuire a ciascuno il ruolo corretto e verificare quali paragrafi dell’articolo 50 risultino applicabili.

Occorre poi predisporre:

  • informative contestuali per chatbot e assistenti virtuali;
  • etichette per contenuti generati o manipolati;
  • procedure per deepfake e contenuti sintetici;
  • informative per riconoscimento delle emozioni e biometria;
  • responsabilità interne e controlli periodici;
  • evidenze documentali delle valutazioni svolte;
  • clausole con fornitori, agenzie e partner distributivi.

Non è sufficiente inserire un riferimento generico nelle condizioni d’uso. L’informazione deve essere concretamente visibile e comprensibile nel momento in cui la persona interagisce con il sistema o viene esposta al contenuto.

Le violazioni degli obblighi di trasparenza possono comportare sanzioni fino a 15 milioni di euro o, per le imprese, fino al 3% del fatturato mondiale annuo, secondo i criteri stabiliti dall’AI Act.

Tag: AI Act, articolo 50 AI Act, trasparenza intelligenza artificiale, adempimenti AI Act, compliance IA, deployer AI Act, fornitore sistemi IA, sistemi di intelligenza artificiale, sanzioni AI Act, aziende e intelligenza artificiale

Pubblicato il di

GDPR e AI Act: due normative, un’unica responsabilità di compliance

L’AI Act non sostituisce il GDPR, ma si integra con esso creando un sistema di obblighi convergenti per chi utilizza sistemi di intelligenza artificiale. Questo articolo chiarisce perché affrontare separatamente le due normative espone le organizzazioni a rischi ispettivi e come strutturare una compliance unitaria, solida e verificabile.

GDPR e AI Act: perché non sono due percorsi separati

Con l’introduzione dell’AI Act, molte organizzazioni stanno trattando la nuova normativa come un livello aggiuntivo rispetto al GDPR. In realtà, quando un sistema di intelligenza artificiale tratta dati personali, le due discipline operano simultaneamente.

Il GDPR disciplina:

  • liceità del trattamento

  • minimizzazione dei dati

  • diritti degli interessati

  • accountability del titolare

L’AI Act introduce:

  • classificazione del rischio dei sistemi IA

  • requisiti di trasparenza e controllo umano

  • obblighi documentali rafforzati

  • responsabilità su progettazione e utilizzo

Separare i due framework porta quasi sempre a documentazione incoerente e difficile da difendere in sede ispettiva.

Il vero rischio: compliance teorica ma non dimostrabile

Uno degli errori più frequenti è confondere la conformità formale con la conformità dimostrabile.
Molte organizzazioni dispongono di:

  • DPIA GDPR formalmente corrette

  • informative privacy aggiornate

  • policy interne sull’uso dell’IA

Ma non sono in grado di collegare questi elementi al funzionamento concreto del sistema di intelligenza artificiale.

In caso di controllo, l’Autorità non valuta l’intenzione, ma la tracciabilità delle scelte, la coerenza documentale e la capacità di fornire evidenze verificabili.

Cosa viene richiesto in un’ispezione su sistemi di IA

Un controllo su sistemi di intelligenza artificiale tende a concentrarsi su alcuni elementi chiave:

  • descrizione del sistema e delle sue finalità

  • valutazioni di rischio e impatto (GDPR e AI Act)

  • misure di mitigazione adottate

  • modalità di controllo umano

  • output documentali disponibili

Il punto critico non è “avere” le informazioni, ma averle strutturate in modo comprensibile e immediatamente esibibile.

L’importanza degli output ispettivi

La compliance moderna non si basa solo su policy e principi, ma su output operativi:

  • report di valutazione pronti

  • checklist di controllo

  • registri e schede sistema

  • evidenze coerenti e aggiornate

Senza questi elementi, anche un sistema progettato correttamente può risultare non conforme durante un’ispezione.

Un approccio integrato alla compliance dei sistemi IA

Un modello efficace di conformità AI Act + GDPR si fonda su tre pilastri:

1. Integrazione normativa

Le valutazioni GDPR e AI Act devono dialogare tra loro, evitando duplicazioni e contraddizioni.

2. Standardizzazione documentale

I documenti devono seguire una logica uniforme, orientata al controllo e non solo alla compliance teorica.

3. Orientamento ispettivo

Ogni documento deve rispondere a una domanda chiave:
“Questo è difendibile davanti a un’Autorità?”

Il supporto operativo: dalla teoria alla verifica

Il Kit Ispezione Sistemi IA – AI Act & GDPR nasce per colmare il divario tra obblighi normativi e gestione concreta della compliance.
Il suo valore risiede negli output ispettivi pronti, progettati per:

  • integrare GDPR e AI Act

  • supportare audit e controlli

  • rendere dimostrabile la conformità

Non sostituisce il ruolo del consulente o del DPO, ma fornisce una base documentale strutturata, coerente e immediatamente utilizzabile.