Parere del Garante n. 532 del 14/07/2026

Parere sullo schema di decreto legislativo di adeguamento al regolamento IA

La Presidenza del Consiglio dei Ministri – Dipartimento per gli affari giuridici e legislativi ha richiesto il parere del Garante su uno schema di decreto legislativo di adeguamento dell’ordinamento interno al regolamento (UE) 2024/1689, del 13 giugno 2024, in materia di poteri delle autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione. Il parere è reso ai sensi dell’art. 36, par. 4, del GDPR.

Quadro normativo e contenuto generale dello schema

Lo schema di decreto, trasmesso alle Camere come Atto del Governo n. 421, si inserisce nell’attuazione della delega di cui all’art. 24, commi 1 e 2, lettere a), b), c), d), e), f), g), i), l), m) e n), della legge 23 settembre 2025, n. 132. Il testo si compone di 51 articoli, suddivisi in cinque Capi, e disciplina in particolare le autorità nazionali per l’IA, i meccanismi di cooperazione, lo spazio di sperimentazione, i profili sanzionatori e alcuni ambiti settoriali, tra cui formazione, lavoro e pubblica amministrazione.

Autorità nazionali per l’IA e ruolo del Garante

Nel Capo I, le definizioni individuano le autorità nazionali per l’intelligenza artificiale nell’AgID e nell’ACN, e qualificano come autorità nazionali di vigilanza del mercato anche il Garante, limitatamente alle attribuzioni previste dall’art. 74, par. 8, del regolamento IA. Nel Capo II, l’AgID è designata autorità nazionale di notifica, con compiti di valutazione, designazione e notifica degli organismi di valutazione della conformità, nonché di monitoraggio dei requisiti degli organismi notificati.

L’ACN è invece individuata come autorità principale di vigilanza del mercato sui sistemi di IA, con specifiche competenze anche in relazione ai sistemi ad alto rischio utilizzati nel settore finanziario; per tali ambiti sono coinvolte anche Banca d’Italia, CONSOB e IVASS. Il Garante è contemplato sia come autorità di vigilanza del mercato per i casi di cui all’art. 74, par. 8, sia come soggetto destinatario di forme di coordinamento operativo e informativo con le altre autorità, al fine di assicurare la condivisione tempestiva dei dati e delle informazioni rilevanti.

Cooperazione tra autorità e scambio di informazioni

Lo schema prevede numerose forme di cooperazione: accordi ex art. 15 della legge n. 241 del 1990, protocolli d’intesa, scambi informativi e meccanismi di risposta rapida. Sono previste collaborazioni tra AgID, ACN, autorità settoriali, autorità finanziarie e Guardia di finanza. Il decreto disciplina anche la possibilità di adottare linee guida, raccomandazioni e buone pratiche, nonché un Comitato di coordinamento, con clausola di salvaguardia delle competenze del Garante e dell’AGCOM quale Coordinatore dei Servizi Digitali.

Spazio di sperimentazione italiano per l’IA

L’art. 26 istituisce lo Spazio di sperimentazione italiano per l’IA, sotto la vigilanza delle autorità nazionali per l’intelligenza artificiale, in attuazione dell’art. 57 del regolamento IA. Lo spazio è gestito congiuntamente da AgID e ACN, con modalità operative demandate a provvedimenti dei rispettivi direttori generali. L’art. 28 istituisce un Gruppo operativo per la gestione tecnica e operativa dello spazio, con partecipazione possibile di altre amministrazioni, università e centri di ricerca, e con obbligo di riservatezza dei dati e delle informazioni ai sensi dell’art. 78 del regolamento IA.

Il Garante rileva però che la disciplina non contempla espressamente la sua partecipazione nei progetti che comportano trattamenti di dati personali, in contrasto con l’art. 57, par. 10, del regolamento IA. Da ciò deriva la richiesta di integrare la disposizione per prevedere il suo coinvolgimento, per quanto di competenza, nelle attività connesse allo spazio di sperimentazione.

Disciplina della formazione e profili di tutela dei dati

Nel Capo III, relativo a formazione, professioni, lavoro, sanità e pubblica amministrazione, gli articoli 35, 36 e 37 disciplinano iniziative formative rivolte a studenti e docenti, con particolare attenzione all’uso responsabile dell’IA, alla tutela della privacy, dell’identità digitale, all’interoperabilità dei dati e all’adozione di pratiche digitali sostenibili. Il testo mira anche a promuovere alfabetizzazione digitale, comprensione dei sistemi algoritmici e uso etico, responsabile e trasparente dell’IA, nel rispetto dei diritti fondamentali, della protezione dei dati personali, dell’equità e della non discriminazione.

IA nel lavoro e divieto di decisioni automatizzate

L’art. 40 disciplina l’uso dei sistemi di IA nel rapporto di lavoro. Il datore di lavoro che li utilizza deve garantire che le decisioni relative alla costituzione, modifica o cessazione del rapporto non siano adottate unicamente sulla base di un trattamento automatizzato; la decisione finale deve sempre essere assunta da una persona fisica dotata di potere effettivo e autonomo. L’uso dell’IA deve rispettare dignità, riservatezza e non discriminazione, e il datore deve fornire al lavoratore l’informativa prevista dal d.lgs. n. 152/1997 prima dell’avvio del trattamento. È inoltre riconosciuto il diritto del lavoratore a una motivazione intelligibile della decisione, con indicazione dell’incidenza dell’IA e dei parametri considerati, oltre ai diritti di accesso e alle tutele di cui agli artt. 13, 15 e 22 del GDPR.

Il Garante osserva, in chiave di rafforzamento delle garanzie, che il divieto di decisioni automatizzate dovrebbe valutarsi anche con riguardo alle decisioni di carattere valutativo, suscettibili di determinare implicazioni significative sul rapporto di lavoro.

Profili sanzionatori e protezione dei dati

Gli artt. 19-25 disciplinano il sistema sanzionatorio, anche sotto il profilo della pubblicazione dei provvedimenti sui siti istituzionali, prevedendo forme di anonimizzazione quando la pubblicazione ordinaria comporti una diffusione sproporzionata di dati personali, rischi per la cybersicurezza, pregiudizio per indagini penali o danno sproporzionato agli interessati. Il Garante ritiene necessario, per le sanzioni di sua competenza, un espresso rinvio all’art. 166 del Codice privacy, compreso il comma 7 sulla destinazione dei proventi della riscossione.

Valutazione complessiva del Garante e condizioni poste

Il Garante ritiene lo schema complessivamente coerente con il regolamento IA e con i criteri di delega della legge n. 132 del 2025, ma individua alcune integrazioni necessarie per rafforzare le garanzie in materia di protezione dei dati personali e migliorare la funzionalità dell’azione amministrativa.

Il parere è quindi favorevole, con le seguenti condizioni:

• integrare l’art. 11, estendendo al Garante il potere di adottare linee guida, raccomandazioni e buone pratiche nell’ambito di riferimento;
• rinviare all’art. 166 del Codice per la disciplina del procedimento sanzionatorio di competenza del Garante, inclusa la destinazione dei proventi della riscossione;
• precisare quale opzione dell’art. 31, par. 9, del regolamento IA si intenda adottare in relazione alla responsabilità per la valutazione di conformità di cui all’art. 43, par. 1, rispetto alle attribuzioni del Garante quale organismo notificato;
• integrare l’art. 26 prevedendo la partecipazione del Garante nei progetti che comportano il trattamento di dati personali.

Il Garante formula inoltre un’osservazione: valutare l’opportunità di estendere alle decisioni di carattere valutativo, se idonee a produrre effetti significativi sul rapporto di lavoro, il divieto di assunzione di decisioni fondate unicamente su trattamenti automatizzati di cui all’art. 40.