Mentre tutti guardavano il 2 agosto e l'entrata in applicazione dell'AI Act, in Italia è successa una cosa più concreta due giorni dopo. Il 4 agosto 2026 il Consiglio dei Ministri ha approvato in via definitiva due decreti legislativi attuativi della legge 132/2025, con cui l'ordinamento nazionale si adegua al Regolamento (UE) 2024/1689.
Erano stati approvati in via preliminare il 10 giugno 2026 e poi trasmessi alle commissioni parlamentari per i pareri. Adesso il quadro italiano ha finalmente le gambe: prima c'erano principi e deleghe, ora ci sono poteri e sanzioni.
Primo decreto: polizia, responsabilità penale e civile
Il primo provvedimento disciplina l'uso dei sistemi di IA nelle attività di polizia, con un impianto costruito attorno alla sorveglianza umana e alla tracciabilità delle decisioni.
Sull'identificazione biometrica in tempo reale la regola è restrittiva: ammessa solo in casi eccezionali, per periodi limitati e con autorizzazione giudiziaria. È vietata la raccolta massiva e indiscriminata di dati biometrici da fonti online, in linea con il divieto già previsto dall'articolo 5 dell'AI Act.
La novità che riguarda anche le imprese sta però nel codice penale. Il decreto introduce l'articolo 437-bis, che punisce l'omessa adozione di misure di sicurezza relative ai sistemi di IA ad alto rischio e la loro alterazione illecita.
Leggilo bene, perché è un cambio di piano: finora, sull'IA, il rischio per un'azienda era amministrativo. Adesso, sui sistemi ad alto rischio, la mancata adozione delle misure di sicurezza entra nel perimetro penale.
Le tutele per chi subisce un danno
Sempre nel primo decreto ci sono le disposizioni civilistiche, e sono quelle che nella pratica cambieranno di più i contenziosi.
Sono previsti l'accesso alla documentazione tecnica per il danneggiato, meccanismi di presunzione sul nesso causale, un foro alternativo vicino alla residenza della vittima e l'azione diretta nei confronti dell'assicuratore.
Tradotto: fino a ieri, per un cittadino, provare che un sistema opaco gli aveva causato un danno era praticamente impossibile — non aveva accesso a niente. Adesso l'asimmetria si riduce. Per chi produce o usa questi sistemi significa che la documentazione tecnica smette di essere un adempimento e diventa materiale probatorio.
Secondo decreto: autorità, sanzioni, formazione
Il secondo decreto struttura la governance nazionale. Conferma AgID come autorità di notifica e l'Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza di mercato, e ripartisce le competenze settoriali confermando Banca d'Italia, CONSOB e IVASS per i sistemi ad alto rischio nei servizi finanziari.
Sul fronte sanzionatorio c'è un dato interessante: le sanzioni nazionali sono calibrate su livelli inferiori rispetto ai massimali europei, con la previsione di misure alternative non pecuniarie per le violazioni minori.
È l'unica notizia buona per una piccola impresa che si trovi con un adempimento sbagliato invece che con una condotta abusiva: la reazione dell'ordinamento è graduata.
Il decreto interviene inoltre sull'uso dell'IA nei percorsi di formazione, e più in generale sui profili di professioni, lavoro, sanità e pubblica amministrazione già toccati dalla legge 132/2025.
Cosa cambia per te, in concreto
Se usi soltanto strumenti generici in ufficio, poco: i tuoi adempimenti restano alfabetizzazione, trasparenza e buon senso sui dati.
Se stai costruendo o impiegando un sistema che finirà ad alto rischio — screening dei CV, scoring creditizio, valutazione di studenti, servizi essenziali — cambia parecchio. Le misure di sicurezza smettono di essere una voce di check-list e diventano un obbligo la cui omissione ha un profilo penale. E la documentazione tecnica che ti chiederà l'AI Act dal 2 dicembre 2027 è la stessa che un domani un danneggiato potrà chiedere di vedere in giudizio.
Il consiglio è banale e vale oro: scrivi le cose adesso, con le date. Chi ricostruisce dopo, ricostruisce sempre peggio.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Per due anni si è discusso di principi. Da agosto 2026 si discute di poteri, sanzioni e responsabilità. È un altro campionato.
Domande frequenti
I decreti sono già in vigore?
L'approvazione definitiva in Consiglio dei Ministri è del 4 agosto 2026. L'efficacia decorre secondo quanto previsto dai testi e dalla pubblicazione in Gazzetta Ufficiale: verifica sempre il testo pubblicato per le singole decorrenze.
Cosa punisce il nuovo articolo 437-bis del codice penale?
L'omessa adozione di misure di sicurezza relative ai sistemi di IA ad alto rischio e la loro alterazione illecita. È una fattispecie che sposta parte del rischio dal piano amministrativo a quello penale.
Le sanzioni italiane sono più basse di quelle europee?
Il decreto prevede sanzioni calibrate su livelli inferiori rispetto ai massimali del regolamento, con misure alternative non pecuniarie per le violazioni minori. I massimali europei restano il riferimento per le fattispecie più gravi.