In Italia la vigilanza sull’intelligenza artificiale è distribuita tra più autorità: AGCM, Garante Privacy, ACN e le autorità di settore, ciascuna con competenze distinte definite dal d.lgs. di recepimento dell’AI Act. Uno studio legale che assiste imprese che sviluppano o usano sistemi AI deve già oggi mappare quale autorità è competente per il caso specifico, perché i poteri sanzionatori — fino al 3% o 6% del fatturato globale — non sono uniformi ma dipendono dal tipo di sistema e dal settore. La fase dell’enforcement è avviata e non attendere che le prime ispezioni o i primi provvedimenti arrivino è un errore che i clienti pagheranno caro.
Punti chiave
- Punto 1 — L’AI Act UE è applicabile dal 2 agosto 2026 per la maggior parte degli obblighi, ma alcuni già vigono.
- Punto 2 — In Italia più autorità condividono la vigilanza AI: nessuna ha competenza esclusiva universale.
- Punto 3 — Le sanzioni arrivano fino al 6% del fatturato mondiale annuo per le violazioni più gravi.
Per uno studio legale che assiste imprese tecnologiche, banche, assicurazioni o pubbliche amministrazioni che usano sistemi di intelligenza artificiale, la domanda non è più «quando arriveranno le regole» ma «chi bussa alla porta e con quali poteri». Il modello italiano di governance AI prevede una pluralità di autorità con competenze sovrapposte e, senza una mappatura precisa, il rischio di fornire consulenza incompleta è concreto.
Secondo quanto riportato da Agenda Digitale, la legge italiana sull’AI e i relativi schemi attuativi costruiscono un sistema multilivello in cui promozione dell’innovazione, vigilanza del mercato e poteri sanzionatori sono ripartiti tra più soggetti. Il nodo critico non è più l’esistenza delle norme, ma la loro applicazione coordinata.
Il contesto normativo
Il Regolamento (UE) 2024/1689 — AI Act — è entrato in vigore il 1° agosto 2024. Il divieto dei sistemi AI inaccettabili ex art. 5 è applicabile dal 2 febbraio 2025. Gli obblighi per i sistemi ad alto rischio (Allegati I e III) scattano invece il 2 agosto 2026. L’Italia ha avviato il recepimento attraverso il d.d.l. delega approvato in Consiglio dei Ministri, che individua nell’AGCM, nel Garante per la protezione dei dati personali, nell’ACN e nelle autorità di settore i soggetti di vigilanza, con un ruolo di coordinamento affidato a una struttura dedicata presso la Presidenza del Consiglio. Sul piano delle sanzioni, l’art. 99 dell’AI Act fissa importi fino al 35 milioni di euro o al 7% del fatturato mondiale per le violazioni dell’art. 5, e fino a 15 milioni o al 3% per le violazioni degli obblighi degli operatori.
Cosa cambia per lo studio
- Prima di qualsiasi parere su un sistema AI, identifica l’autorità di vigilanza competente: non esiste uno sportello unico e la competenza dipende dal settore (finanziario, sanitario, lavoristico) e dalla classificazione del sistema.
- Controlla subito se il cliente usa o fornisce sistemi che rientrano nell’art. 5 AI Act — quelli vietati — perché quel divieto è già operativo dal 2 febbraio 2025 e una violazione espone a sanzioni fino al 7% del fatturato globale.
- Per i sistemi ad alto rischio elencati nell’Allegato III (selezione del personale, scoring creditizio, sistemi biometrici, ecc.), prepara la checklist degli obblighi documentali — registri, valutazioni di conformità, obblighi informativi — in vista della scadenza agosto 2026.
- Nei contratti di fornitura software o di servizi cloud che includono componenti AI, inserisci clausole di allocazione del rischio regolatorio che chiariscano chi risponde in caso di ispezione o sanzione dell’autorità di vigilanza.
- Monitora i provvedimenti del Garante Privacy: nelle more dell’enforcement AI Act, il GDPR — in particolare gli artt. 22 e 35 sul decision-making automatizzato e la DPIA — resta lo strumento più immediato con cui le autorità italiane intervengono sui sistemi AI.
Attenzione a
Il rischio più sottovalutato è la sovrapposizione di competenze tra Garante Privacy e AGCM sugli stessi sistemi AI: un sistema di profilazione usato per finalità commerciali può ricadere contemporaneamente sotto il GDPR, il Codice del Consumo e l’AI Act, con tre filoni sanzionatori paralleli. Consigliare il cliente di «adeguarsi all’AI Act» senza verificare l’esposizione già oggi sul fronte GDPR e pratiche commerciali scorrette è una consulenza incompleta.
Secondo errore frequente: trattare l’AI Act come una questione del reparto IT. Gli obblighi di trasparenza, documentazione e gestione del rischio ex artt. 9, 11 e 13 AI Act ricadono sul «fornitore» e sull’«utilizzatore» come definiti dall’art. 3 del Regolamento — e in molti casi l’utilizzatore è il cliente stesso, non il vendor tecnologico. Chiarire questa distinzione nei contratti è già oggi un’attività che genera valore per lo studio.
Domande frequenti
Chi è l’autorità di vigilanza sull’AI in Italia?
Non esiste un’autorità unica. Il modello italiano distribuisce la vigilanza tra AGCM, Garante Privacy, ACN e autorità di settore (Banca d’Italia, IVASS, ecc.) in base al tipo di sistema AI e al settore di impiego. Il coordinamento è affidato a una struttura presso la Presidenza del Consiglio. Per ogni caso concreto occorre identificare quale autorità è competente prima di strutturare la strategia di compliance.
Quali divieti dell’AI Act sono già in vigore in Italia nel 2025?
I divieti dell’art. 5 AI Act — che includono il social scoring, la manipolazione subliminale, il riconoscimento biometrico in tempo reale in spazi pubblici a fini di law enforcement salvo eccezioni — sono applicabili dal 2 febbraio 2025. Le sanzioni per violazione arrivano fino al 7% del fatturato mondiale annuo o 35 milioni di euro. Chi usa questi sistemi è già esposto oggi.
Il GDPR si applica ancora ai sistemi AI o è sostituito dall’AI Act?
Il GDPR non è sostituito dall’AI Act: i due regolamenti si applicano cumulativamente. In particolare, l’art. 22 GDPR sul decision-making automatizzato e l’art. 35 sulla DPIA rimangono pienamente operativi. Nelle more della piena attuazione dell’AI Act, il Garante Privacy italiano può già oggi intervenire sui sistemi AI attraverso gli strumenti GDPR, come dimostrano i provvedimenti degli ultimi due anni.
Fonte di riferimento: AgendaDigitale