AI Act · Legge 132/2025 · Normativa

AI Act: scadenze, autorità e sanzioni. Quello che c'è da sapere adesso

"Tanto è tutto rinviato al 2027" è la frase che sentirai ripetere di più quest'anno, ed è sbagliata. Ecco il quadro normativo vero, la timeline aggiornata dopo il Digital Omnibus, chi controlla e quanto costa fare finta di niente.

DPO di Marco La Diega · Luglio 2026 · Lettura 6 min

Il quadro normativo in due minuti (promesso)

Le norme da conoscere sono due, più una che conosci già. L'AI Act (Regolamento UE 2024/1689) è la cornice europea: classifica i sistemi di AI per rischio e distribuisce obblighi. La Legge 132/2025, in vigore dal 10 ottobre 2025, è l'adattamento italiano: non duplica l'Europa, ma aggiunge le regole su lavoro, sanità, giustizia e professioni. I decreti attuativi approvati in via preliminare dal Consiglio dei Ministri il 10 giugno 2026 completano il quadro con poteri ispettivi e sanzioni (sono ancora in iter: mancano i pareri di Garante, Conferenza unificata e Parlamento, ma la delega scade il 10 ottobre 2026, quindi i testi definitivi sono attesi entro l'autunno).

La terza norma è il GDPR, che non è andato in pensione: AI Act e normativa privacy lavorano in coppia. Il primo si occupa della tecnologia (è sicura? è trasparente?), la seconda dei dati che ci metti dentro (potevi trattarli? li hai protetti?). Il principio che tiene insieme tutto è semplice e persino bello: l'AI supporta le persone, non le sostituisce. Chi firma resta un essere umano, con tutto quello che ne consegue.

Le nuove scadenze: cosa slitta e cosa no

A giugno 2026 l'Unione Europea ha rivisto il calendario dell'AI Act con un pacchetto di modifiche chiamato Digital Omnibus (approvato dal Parlamento europeo il 16 giugno e dal Consiglio UE il 29 giugno): se senti nominare questo termine, è di questo che si parla. Alcune scadenze slittano, altre restano, una addirittura si stringe. Ecco la tabella da tenere sulla scrivania.

Fonte: Regolamento (UE) 2024/1689, come modificato dal Regolamento Digital Omnibus (Parlamento UE 16.6.2026, Consiglio UE 29.6.2026).

Chi vigila: ACN, AgID, Garante e compagnia ispezionante

I controllori sono tanti, ma ognuno ha il suo compito. AgID certifica e controlla chi verifica la conformità dei sistemi. ACN vigila sul mercato e parla con l'Europa: può fare ispezioni anche senza preavviso (con la Guardia di Finanza al seguito) e tiene il registro dei sistemi ad alto rischio. Per banche, finanza e assicurazioni la vigilanza resta alle autorità di sempre: Banca d'Italia, CONSOB e IVASS, che si coordinano con ACN.

Poi c'è il Garante Privacy, che mantiene competenza esclusiva sui dati personali, con consultazione obbligatoria quando ci sono di mezzo dati sensibili: significa che puoi ricevere ispezioni congiunte e sanzioni cumulative, il pacchetto completo. A tenere insieme tutti c'è un Comitato presso la Presidenza del Consiglio, che gestisce anche la sandbox nazionale: uno spazio protetto dove startup e PMI possono sperimentare l'AI sotto controllo, senza rischiare sanzioni.

Le sanzioni: quanto costa fare finta di niente

Le multe (con una precisazione onesta). Gli importi che seguono sono quelli dello schema di decreto legislativo approvato in esame preliminare dal Consiglio dei Ministri il 10 giugno 2026: per diventare definitivi devono ancora passare dai pareri del Garante Privacy, della Conferenza unificata e delle Commissioni parlamentari, e poi in Gazzetta: la delega scade il 10 ottobre 2026, quindi l'approvazione definitiva è attesa entro quella data. Attenzione però a non leggerci un liberi tutti: gli obblighi europei (divieti, trasparenza, formazione) sono già vincolanti perché derivano direttamente dal regolamento UE, e lo schema ricalca la scala dell'Art. 99 dell'AI Act, quindi gli ordini di grandezza non cambieranno. Eccoli: fino a 35 milioni di euro o il 7% del fatturato globale per le pratiche vietate (Art. 5); fino a 15 milioni o 3% per i fornitori di sistemi ad alto rischio; fino a 12 milioni o 2% per gli organismi notificati; fino a 10 milioni o 2% per gli utilizzatori; fino a 5 milioni o 1,5% per le violazioni di trasparenza (Art. 50); fino a 7,5 milioni o 1% per chi racconta frottole alle autorità. Per PMI e startup si applica il valore minore tra importo fisso e percentuale; le persone fisiche hanno un abbattimento del 50%. Curiosità amara: lo schema prevede che i proventi finanzino i bilanci di ACN e AgID, cioè proprio chi fa le ispezioni (Art. 25 dello schema).

La gogna (legalizzata). Nei casi meno gravi le autorità possono ordinare di rimediare entro un termine oppure emettere una dichiarazione pubblica sulla violazione e sul responsabile. Una sanzione reputazionale che, per molte organizzazioni, fa più male della multa: chiedete a chiunque sia finito in un titolo di giornale. Ignorare l'ordine costa la sanzione pecuniaria aumentata fino a un terzo.

Il civile. Il cittadino danneggiato dall'AI gioca in discesa: accesso alla documentazione tecnica del sistema davanti al giudice, presunzione legale del nesso di causalità tra violazione e danno, azione diretta contro l'assicuratore e foro della propria residenza.

Il penale (e il Modello 231). Il nuovo Art. 437 bis c.p. punisce con la reclusione chi omette o altera le misure di sicurezza obbligatorie per i sistemi ad alto rischio quando ne deriva un pericolo concreto per la vita, l'incolumità pubblica o la sicurezza dello Stato (per le condotte colpose serve la colpa grave: gli errori operativi in buona fede non finiscono in tribunale). L'Art. 612 quater c.p. punisce i deepfake dannosi diffusi senza consenso. Entrambe le fattispecie, con le frodi algoritmiche e il copyright penale, entrano nel catalogo 231: i Modelli di Organizzazione e Controllo vanno aggiornati con protocolli di prevenzione del rischio algoritmico.

Il quadro normativo, ora lo conosci. La domanda vera è: cosa fai lunedì mattina? Nel prossimo articolo trovi la guida operativa: cinque cose da fare se hai un'azienda, come approvare le linee guida se lavori in un ente pubblico, un caso reale (con tanto di regolamento comunale già approvato) e la checklist completa da stampare.

Marco La Diega