La legge italiana sull’intelligenza artificiale. Cinque cose che il regolamento europeo non dice.

L’Italia ha una sua legge sull’IA da prima che l’AI Act diventasse applicabile, ed è passata quasi inosservata. Tocca il lavoro, le professioni, i dati dei minori, il diritto d’autore, e introduce un reato che prima non esisteva.

Questo pezzo sta dentro la guida agli obblighi dell’AI Act per le aziende e le PMI e ne isola il lato italiano. È scritto per chi dirige un’impresa, e finisce dove comincia il lavoro di un avvocato.

Cosa è, cosa aggiunge, e perché non è un recepimento

La Legge 23 settembre 2025 n. 132 si intitola Disposizioni e deleghe al Governo in materia di intelligenza artificiale. È stata pubblicata sulla Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è entrata in vigore il 10 ottobre 2025, quindici giorni dopo.

Un regolamento europeo non si recepisce, si applica da solo. Per questo la 132/2025 non traduce l’AI Act: mette dei principi accanto a esso e delega il Governo a costruire il raccordo con l’ordinamento italiano. L’articolo 1 lo dichiara apertamente, dicendo che le sue disposizioni si interpretano e si applicano conformemente al Regolamento (UE) 2024/1689.

Anche le definizioni vengono da lì. L’articolo 2 rimanda all’articolo 3 del regolamento europeo per sistema di IA e per modello di IA, e aggiunge che per quanto non previsto valgono comunque le definizioni europee. Chi cerca il significato di deployer lo trova nel glossario dell’AI e dell’automazione, non in questa legge.

Messe in fila, le differenze si vedono meglio. L’AI Act regola il prodotto e il ruolo di chi lo mette in circolazione; la legge italiana entra nei rapporti, cioè lavoro, cliente, autore, persona offesa.

Materia	Cosa dice la legge italiana	Rapporto con l’AI Act
Lavoroarticoli 11 e 12	Informare il lavoratore dell’uso dell’IA, con il rinvio al decreto legislativo 152 del 1997. Uso sicuro, trasparente, non discriminatorio. Osservatorio al Ministero del lavoro.	Aggiunta italiana. L’AI Act non impone un obbligo generale di informazione verso i dipendenti.
Professioniarticolo 13	IA solo per attività strumentali, con prevalenza del lavoro intellettuale. Comunicazione al cliente dei sistemi usati, in linguaggio chiaro.	Aggiunta italiana. Non ha un corrispondente nel regolamento europeo.
Diritto d’autorearticolo 25	Opere dell’ingegno umano. Tutela per le opere fatte con l’ausilio dell’IA solo se risultato del lavoro intellettuale dell’autore.	Aggiunta italiana, su una materia che l’AI Act tocca solo di lato.
Penalearticolo 26	Nuovo articolo 612 quater, aggravante comune 11 decies, pena aumentata per l’inganno dell’articolo 294.	Aggiunta italiana. L’AI Act prevede sanzioni amministrative, non reati.
Autoritàarticolo 20	AgID e ACN designate come Autorità nazionali per l’IA, con Banca d’Italia, CONSOB e IVASS che restano autorità di vigilanza del mercato nei loro settori.	Attuazione: il regolamento chiede agli Stati di designarle, la legge italiana lo fa.

Il lavoro: informare, e non è una circolare interna

L’articolo 11 stabilisce che il datore di lavoro o il committente deve informare il lavoratore dell’utilizzo dell’intelligenza artificiale, nei casi e con le modalità dell’articolo 1 bis del decreto legislativo 26 maggio 1997 n. 152. Quel rinvio è la parte che pesa, perché punta a una disciplina di informazione già esistente e già sanzionata.

Lo stesso articolo pone quattro condizioni all’uso dell’IA nel rapporto di lavoro: deve essere sicuro, affidabile e trasparente, non può contrastare con la dignità umana, non può violare la riservatezza dei dati personali, e deve garantire i diritti del lavoratore senza discriminazioni per sesso, età, origine, credo, orientamento, opinioni e condizioni personali.

L’articolo 12 istituisce presso il Ministero del lavoro un Osservatorio sull’adozione dell’IA nel mondo del lavoro, con il compito di definire una strategia, monitorare l’impatto sul mercato e promuovere la formazione di lavoratori e datori di lavoro. Si tiene con l’obbligo di alfabetizzazione dell’articolo 4 dell’AI Act, che vale già dal 2 febbraio 2025.

Le professioni intellettuali devono dirlo al cliente

L’articolo 13 riguarda commercialisti, avvocati, consulenti, architetti e chiunque svolga una professione intellettuale. Stabilisce che l’uso di sistemi di IA è ammesso per le sole attività strumentali e di supporto, con prevalenza del lavoro intellettuale oggetto della prestazione.

La seconda parte è quella operativa e quasi nessuno la applica: per assicurare il rapporto fiduciario, le informazioni sui sistemi di IA usati dal professionista sono comunicate al cliente con linguaggio chiaro, semplice ed esaustivo. È un obbligo di comunicazione, non una facoltà.

Per un’impresa che compra servizi professionali, la lettura pratica è semplice: potete chiedere al vostro consulente quali strumenti usa sui vostri documenti, e la legge italiana dice che ve lo deve dire.

Dati personali, e una riga sui minori di quattordici anni

L’articolo 4 chiede che l’uso di sistemi di IA garantisca il trattamento lecito, corretto e trasparente dei dati personali e la compatibilità con le finalità per cui i dati sono stati raccolti, in conformità al diritto dell’Unione. Sul rapporto completo fra le due discipline c’è la pagina su AI Act e GDPR.

Lo stesso articolo chiede che le informazioni sul trattamento siano rese con linguaggio chiaro e semplice, per garantire la conoscibilità dei rischi e il diritto di opporsi. È una richiesta di leggibilità, e mette sotto pressione le informative scritte per non essere lette.

Poi c’è la riga sui minori, che riguarda chiunque abbia un pubblico giovane o un servizio aperto al pubblico: l’accesso alle tecnologie di IA sotto i quattordici anni, e il trattamento dei dati che ne consegue, richiedono il consenso di chi esercita la responsabilità genitoriale.

Il diritto d’autore adesso dice «umano»

L’articolo 25 interviene sulla legge 633/1941 con una modifica di una parola sola, e cambia molto. Nell’articolo 1 la protezione passa dalle «opere dell’ingegno» alle «opere dell’ingegno umano».

La norma aggiunge che la tutela vale anche per le opere create con l’ausilio di strumenti di intelligenza artificiale, purché costituenti risultato del lavoro intellettuale dell’autore. Il contributo creativo della persona diventa la condizione della protezione, e un contenuto prodotto interamente dalla macchina non la ottiene.

Per un’azienda che produce cataloghi, testi o immagini con strumenti generativi, la conseguenza è concreta: quello che esce senza un intervento creativo documentabile rischia di non essere vostro in senso giuridico, e quindi di non essere difendibile se qualcuno lo copia.

Lo stesso articolo inserisce l’articolo 70 septies sull’estrazione di testo e dati da materiali cui si ha legittimamente accesso, richiamando la disciplina degli articoli 70 ter e 70 quater. Riguarda chi addestra modelli, molto più di chi li usa.

Il reato nuovo, e l’aggravante che vale per tutti

L’articolo 26 modifica il codice penale in tre punti. Il più noto è il nuovo articolo 612 quater, che punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto a una persona diffondendone contenuti falsificati.

«Chiunque cagiona un danno ingiusto ad una persona, cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante l’impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità.»
Codice penale, articolo 612 quater, introdotto dalla legge 132/2025

Il delitto è punibile a querela della persona offesa, e si procede d’ufficio quando il fatto è connesso ad altro delitto procedibile d’ufficio. La soglia sta nel danno ingiusto e nell’idoneità a ingannare sulla genuinità del contenuto.

Gli altri due interventi contano quanto il primo. All’articolo 61 del codice penale arriva l’aggravante comune 11 decies, per chi commette un fatto usando sistemi di IA come mezzo insidioso o in modo da ostacolare la difesa o aggravare le conseguenze. All’articolo 294, sull’inganno, la pena sale a reclusione da due a sei anni quando l’inganno è posto in essere con sistemi di IA.

Chi vigila, e il pezzo che manca ancora

L’articolo 20 designa AgID e ACN come Autorità nazionali per l’intelligenza artificiale. All’AgID spettano notifica, valutazione, accreditamento e monitoraggio dei soggetti che verificano la conformità dei sistemi. All’ACN spetta la vigilanza, ivi incluse le attività ispettive e sanzionatorie, anche per i profili di cybersicurezza.

Restano ferme le competenze di Banca d’Italia, CONSOB e IVASS come autorità di vigilanza del mercato, secondo l’articolo 74, paragrafo 6, del regolamento europeo. Chi opera in quei settori guarda lì prima che ad AgID e ACN.

Il pezzo che manca è l’attuazione. L’articolo 24 delega il Governo ad adottare uno o più decreti legislativi per adeguare la normativa nazionale al regolamento, entro dodici mesi dall’entrata in vigore, cioè entro il 10 ottobre 2026, attribuendo alle autorità dell’articolo 20 tutti i poteri di vigilanza, ispettivi e sanzionatori previsti dall’AI Act.

Finché quei decreti non arrivano, l’impianto sanzionatorio italiano dell’AI Act è incompleto, mentre gli obblighi europei sono già pieni. Le sanzioni del regolamento restano quelle dell’articolo 99, fino a 15 milioni di euro o il 3% del fatturato mondiale annuo per la fascia che comprende la trasparenza, con l’importo inferiore fra i due parametri quando si tratta di PMI.

Cosa deve fare una PMI, in concreto

Il lavoro che questa legge aggiunge a un’impresa ordinaria sta in quattro mosse, e nessuna richiede un progetto. Chi ha già la lista dei sistemi in uso ne ha una già fatta.

Uno, dirlo a chi lavora. Se un sistema di IA entra in un processo che tocca il lavoro delle persone, l’informazione va data prima, nei modi del decreto legislativo 152 del 1997. Due, chiedere ai professionisti. Il vostro consulente vi deve dire quali sistemi usa sui vostri documenti.

Tre, guardare i contenuti che pubblicate. Quello che esce da uno strumento generativo senza un intervento creativo documentabile potrebbe non essere protetto dal diritto d’autore, e le voci o i volti sintetici di persone reali entrano in un’area dove esiste un reato.

Quattro, tenere il punto umano. Su ogni processo automatico che tocca un cliente, i soldi o una comunicazione in uscita, una persona approva prima che parta. Le risposte su informazioni già approvate dal titolare possono partire da sole, dichiarando di essere un sistema come chiede l’articolo 50, applicabile dal 2 agosto 2026. Il perimetro esteso sta nei principi AI, i sistemi che usiamo davvero nella pagina di trasparenza AI.

Domande e risposte

Questo articolo è una ricognizione operativa, non un parere legale. Sulle situazioni specifiche, e in particolare sui rapporti di lavoro e sui profili penali, la risposta la dà un professionista che guarda la vostra azienda.