DECRETO LEGISLATIVO 7 ottobre 2026, n. 179

Adeguamento nazionale alla disciplina europea sull’intelligenza artificiale

Il decreto adegua la normativa nazionale al regolamento (UE) 2024/1689 («regolamento IA») e coordina l’esercizio dei poteri delle autorità nazionali con la disciplina settoriale. L’impostazione dichiarata è antropocentrica e mira a promuovere un uso corretto, trasparente e responsabile dei sistemi di IA e la vigilanza sui rischi per diritti e libertà.

Ambito e definizioni

Il decreto si applica ai soggetti indicati dall’articolo 2, paragrafo 1, del regolamento IA. Le definizioni sono quelle del regolamento, della legge 23 settembre 2025, n. 132, e delle discipline bancarie, finanziarie e assicurative richiamate, integrate da definizioni specifiche.

Sono individuate come autorità nazionali per l’intelligenza artificiale l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN). Le autorità nazionali di vigilanza del mercato sono ACN, Banca d’Italia, CONSOB, IVASS e Garante per la protezione dei dati personali, ciascuno nell’ambito delle competenze attribuite. AgID è l’autorità nazionale di notifica; ACN è il punto di contatto unico. Le autorità settoriali di vigilanza sono le amministrazioni designate ai sensi del decreto legislativo n. 157/2022 per l’esecuzione delle norme di armonizzazione dell’Unione elencate nell’allegato I al regolamento IA.

La definizione di «istituti finanziari» comprende, tra gli altri, banche, intermediari e imprese di investimento, gestori e società di investimento, Poste Italiane per le attività di Bancoposta, istituti di pagamento e di moneta elettronica, operatori di crowdfunding e di cripto-attività, sedi di negoziazione, depositari centrali, controparti centrali, imprese e intermediari assicurativi, secondo le categorie e autorizzazioni indicate nella disposizione.

Notifica e organismi di valutazione della conformità

AgID predispone e attua le procedure di valutazione, designazione e notifica degli organismi di valutazione della conformità e ne cura il monitoraggio. Svolge controlli continuativi, mediante audit periodici e straordinari, sul mantenimento dei requisiti e sull’adempimento degli obblighi da parte degli organismi notificati e dei soggetti richiamati dall’articolo 33 del regolamento IA.

Quando emergono carenze o inadempimenti, previo contraddittorio con l’organismo notificato, AgID può avviare procedimenti di limitazione, sospensione o revoca della designazione, secondo il regolamento IA e la legge n. 241/1990. I costi dei controlli sul mantenimento dei requisiti sono a carico degli organismi notificati; AgID può avvalersi dell’organismo nazionale di accreditamento. Può inoltre adottare disposizioni attuative nelle materie di propria competenza e collabora con le autorità nazionali e settoriali, la Commissione europea e le autorità di notifica degli altri Stati membri.

Autorità di vigilanza e riparto delle competenze

ACN vigila sul mercato dei sistemi di IA secondo il regolamento IA. Banca d’Italia, CONSOB e IVASS sono competenti, rispettivamente, per i sistemi di IA ad alto rischio utilizzati nella prestazione di servizi disciplinati dalla normativa bancaria, finanziaria e assicurativa. Il Garante esercita la competenza limitata prevista dall’articolo 74, paragrafo 8, del regolamento IA, ferme le attribuzioni dell’Ufficio europeo per l’IA.

ACN registra a livello nazionale i sistemi di IA ad alto rischio indicati nell’allegato III, punto 2, del regolamento IA. Le modalità di registrazione e di gestione delle informazioni dell’allegato VIII sono stabilite con decreto del direttore generale dell’ACN, d’intesa con AgID. ACN coordina inoltre lo scambio informativo con il punto di contatto unico previsto dal decreto legislativo n. 134/2024.

Il decreto legislativo n. 157/2022 sulla vigilanza del mercato si applica alle attività di ACN, in quanto compatibile con il regolamento IA, con esclusione dei suoi articoli 11 e 12. In relazione a prodotti disciplinati sia dal regolamento IA sia dalla normativa di armonizzazione dell’Unione, ACN e autorità settoriali svolgono congiuntamente le attività di vigilanza; ACN può avvalersi del loro supporto e dei soggetti contemplati dal decreto legislativo n. 157/2022. Le autorità settoriali informano tempestivamente ACN quando ritengano che una verifica di conformità riguardi un prodotto contenente sistemi di IA soggetti al regolamento. Gli eventuali conflitti di competenza sono risolti secondo il decreto legislativo n. 157/2022.

Per gli istituti finanziari, ACN e autorità finanziarie collaborano nella vigilanza sui sistemi di IA, salvo i casi attribuiti dal regolamento alle autorità finanziarie. Sono inoltre previste forme di collaborazione tra ACN, autorità finanziarie e Garante per i sistemi non ad alto rischio nei contesti contemplati dall’articolo 74, paragrafo 8, del regolamento. Le autorità di vigilanza collaborano e si scambiano informazioni anche con le autorità competenti sugli istituti finanziari in base alla disciplina di settore.

Punto di contatto, cooperazione e coordinamento

ACN svolge le funzioni di punto di contatto unico; le modalità di contatto sono pubblicate sul suo sito istituzionale e le relative informazioni sono inserite nell’elenco europeo dei punti di contatto.

AgID e le autorità nazionali di vigilanza stipulano accordi per condividere tempestivamente e integralmente dati e informazioni utili e per predisporre meccanismi efficaci e rapidi di cooperazione in caso di incidenti gravi. Gli accordi o protocolli che incidono sulle amministrazioni territoriali sono comunicati prima dell’adozione alla Conferenza delle Regioni e delle Province autonome, ad ANCI e a UPI. AgID promuove inoltre il coordinamento con le autorità di notifica degli altri Stati membri e lo scambio di informazioni e buone pratiche.

Le autorità possono stipulare convenzioni e protocolli per progetti di ricerca, sperimentazione e formazione con università, enti pubblici di ricerca, istituzioni AFAM e ITS Academy. Le autorità di vigilanza definiscono il coordinamento con gli organismi che tutelano i diritti fondamentali; le autorità nazionali per l’IA e quelle finanziarie curano il coordinamento informativo con il Garante. Nell’esercizio dei poteri di vigilanza e ispezione, ACN individua forme di coordinamento con Guardia di finanza, Polizia di Stato, Arma dei Carabinieri e Direzione investigativa antimafia, nel rispetto delle rispettive competenze.

Il Comitato di coordinamento istituito presso la Presidenza del Consiglio coinvolge le autorità finanziarie quando tratta questioni di loro competenza e può fornire indirizzi unitari per accordi, protocolli e atti di indirizzo. AgID e ACN lo informano della stipula degli accordi e protocolli e dell’avvio delle relative negoziazioni. Restano ferme le attribuzioni del Garante e dell’Autorità per le garanzie nelle comunicazioni quale Coordinatore dei Servizi Digitali.

Poteri di vigilanza, ispezione e indirizzo

ACN esercita i poteri previsti dal regolamento IA, dal regolamento (UE) 2019/1020 e dalla normativa nazionale di attuazione. Anche per le prove in condizioni reali può controllarne lo svolgimento ed effettuare ispezioni a distanza o in loco, anche senza preavviso. Le modalità di esercizio dei poteri e di adozione delle misure sono demandate a un regolamento da adottare con decreto del Presidente del Consiglio, su proposta di ACN.

ACN è competente per le misure previste dagli articoli 79, 80, 82 e 83 del regolamento IA e dagli articoli 14 e 16 del regolamento (UE) 2019/1020. Il relativo procedimento può iniziare a seguito di segnalazione di incidenti gravi, reclamo non manifestamente infondato, segnalazione di un’altra autorità oppure d’ufficio.

Banca d’Italia, CONSOB e IVASS dispongono dei poteri di vigilanza e ispezione previsti dal regolamento IA e dal regolamento (UE) 2019/1020 nei confronti degli istituti finanziari vigilati, ferme le prerogative dell’articolo 22 della legge n. 262/2005. Possono controllare le prove in condizioni reali dei sistemi ad alto rischio e svolgere ispezioni a distanza o in loco, anche senza preavviso. Possono adottare disposizioni attuative e devono stipulare protocolli con Guardia di finanza e Direzione investigativa antimafia per lo scambio di informazioni nei rispettivi ambiti.

Nei limiti stabiliti dal regolamento IA e dalla legge IA, le autorità nazionali per l’IA, quelle finanziarie e, per la propria competenza, il Garante possono adottare linee guida, raccomandazioni e buone pratiche.

Reclami e risoluzione stragiudiziale

Le autorità nazionali di vigilanza ricevono e trattano i reclami previsti dal regolamento IA secondo le proprie procedure, garantendo il pieno contraddittorio. Se il reclamo è presentato a un’autorità incompetente, questa lo trasmette d’ufficio a quella competente e ne informa il reclamante. ACN disciplina con decreto del direttore generale la trattazione dei reclami di propria competenza.

Per le violazioni del regolamento IA commesse da istituti finanziari aderenti e nell’ambito delle materie di competenza degli organismi, possono essere presentati ricorsi ai sistemi stragiudiziali istituiti ai sensi della normativa bancaria, assicurativa e finanziaria: articolo 128-bis del testo unico bancario, articolo 187.1 del codice delle assicurazioni private e articolo 32-ter, comma 2, del testo unico della finanza.

Sanzioni e procedimenti

AgID irroga le sanzioni amministrative pecuniarie previste dall’articolo 99 del regolamento IA per le violazioni connesse alle proprie funzioni di notifica. Le autorità nazionali di vigilanza irrogano, secondo le rispettive competenze, le sanzioni previste dal decreto nei confronti dei soggetti indicati dal regolamento.

Per violazioni di scarsa offensività o pericolosità, in alternativa alla sanzione pecuniaria, l’autorità può ordinare la cessazione dell’infrazione e l’astensione dal ripeterla, indicando eventuali misure e termine per attuarle; se la violazione è cessata, può disporre una dichiarazione pubblica sulla violazione e sul responsabile. L’inosservanza dell’ordine comporta la sanzione pecuniaria prevista per la violazione originaria, aumentabile fino a un terzo, nel rispetto dei massimali.

Salvo che il fatto costituisca reato, sono previste le seguenti sanzioni massime:

• violazione del divieto delle pratiche di cui all’articolo 5 del regolamento IA: fino a 35 milioni di euro o, se superiore, fino al 7% del fatturato mondiale totale annuo dell’esercizio precedente;
• violazione degli obblighi degli articoli 16, 22, 23, 24, 25, 26, 31, 33, paragrafi 1, 3 e 4, 34, 50, 73 e 80 del regolamento: fino a 15 milioni di euro o, se superiore, fino al 3% del fatturato;
• comunicazione di informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità competenti in risposta a una richiesta: fino a 7,5 milioni di euro o, se superiore, fino all’1% del fatturato;
• violazione degli obblighi degli articoli 27 e 86 del regolamento: fino a 1 milione di euro o, se superiore, fino allo 0,5% del fatturato.

La determinazione considera i criteri dell’articolo 99 del regolamento IA e la natura sostanziale o formale dell’obbligo violato. Per PMI, microimprese e start-up innovative si applica il criterio specifico previsto dall’articolo 99, paragrafo 6, del regolamento.

Le sanzioni sono adottate con provvedimento motivato, dopo la contestazione degli addebiti e entro un termine ragionevole. AgID e ACN definiscono le rispettive procedure e i termini con i regolamenti indicati dal decreto. Il provvedimento è pubblicato tempestivamente per estratto; in caso di impugnazione e del relativo esito ne viene data menzione. La pubblicazione è anonima quando quella ordinaria comporterebbe una divulgazione sproporzionata di dati personali, rischi per la cybersicurezza o pregiudizio a un’indagine penale, oppure un pregiudizio sproporzionato determinabile per gli interessati.

Per le sanzioni di Banca d’Italia, CONSOB, IVASS e Garante si applicano le rispettive procedure settoriali. Per quanto non diversamente disposto, si applica in quanto compatibile la legge n. 689/1981, escluso l’articolo 16. ACN è competente per gli adempimenti dell’articolo 99, paragrafo 11, del regolamento e riceve da AgID e dalle autorità di vigilanza informazioni sulle sanzioni pecuniarie e sulle controversie o i procedimenti giudiziari correlati.

I proventi delle sanzioni di ACN sono versati al bilancio dello Stato e riassegnati al capitolo previsto per le funzioni dell’Agenzia, con priorità per i compiti attribuiti dalla legge IA e dal decreto. I proventi delle sanzioni AgID sono riassegnati per intero al bilancio dell’Agenzia e destinati prioritariamente alle attività previste dal decreto. Per le sanzioni delle autorità finanziarie resta ferma la disciplina settoriale.

Spazio di sperimentazione italiano per l’IA

È istituito, sotto la vigilanza diretta di AgID e ACN, lo Spazio di sperimentazione italiano per l’IA, volto a condividere buone pratiche, promuovere innovazione e competitività, sostenere l’ecosistema nazionale, favorire l’apprendimento normativo e agevolare l’accesso al mercato dell’Unione. Le PMI e le start-up hanno priorità secondo criteri da definire con decreto.

Lo Spazio offre a fornitori e potenziali fornitori un ambiente controllato, gestito congiuntamente da AgID e ACN. Un decreto congiunto dei rispettivi direttori generali, con il coordinamento del Comitato, stabilisce accesso, gestione e funzionamento. L’ammissione avviene sulla base di criteri di eleggibilità; i requisiti devono essere oggettivi e trasparenti e riguardare soggetti eleggibili, priorità e maturità delle soluzioni.

Il Comitato di coordinamento definisce indirizzi strategici e priorità di sperimentazione, anche previa consultazione dei portatori di interesse e delle Regioni e Province autonome, e determina l’ordine di selezione nel rispetto di un accesso ampio e paritario. AgID e ACN istituiscono un Gruppo operativo paritetico, incaricato della gestione delle attività. Possono partecipare rappresentanti di altre amministrazioni competenti e, per progetti innovativi che comportano trattamento di dati personali, il Garante. Per specifiche valutazioni tecniche o rischi, il Gruppo coinvolge università o centri di ricerca. Ai componenti non spettano compensi, gettoni, rimborsi o altri emolumenti.

Il Gruppo svolge l’istruttoria di ammissibilità, seleziona i progetti e approva, gestisce e monitora i piani di sperimentazione; controlla sviluppo, test e validazione, rispetto del piano e delle tempistiche, anche mediante logging, auditing e tracciabilità delle modifiche, nonché la conformità normativa e regolatoria. Decreti congiunti definiscono composizione, funzionamento, servizi, modalità di erogazione e criteri di eleggibilità, in coerenza con gli atti di esecuzione europei. Le autorità rispettano la riservatezza dei dati e delle informazioni acquisiti. Il Ministero dell’università e della ricerca contribuisce alla definizione dei requisiti tecnici, scientifici e metodologici dei progetti di propria competenza.

Le autorità possono coinvolgere organismi notificati, enti di normazione, imprese e innovatori, PMI e start-up, impianti di prova, poli europei dell’innovazione digitale, centri di eccellenza e altri soggetti indicati dal decreto, per favorire la cooperazione pubblico-privato. La cooperazione con gli organismi notificati è supervisionata da AgID. Lo Spazio può promuovere iniziative transfrontaliere e progetti pilota per elaborare buone pratiche comuni e favorire il mutuo riconoscimento dei risultati.

Ulteriori spazi di sperimentazione

Regolamenti adottati con decreto del Presidente del Consiglio, su proposta delle autorità nazionali per l’IA, definiscono le modalità per istituire, gestire e far funzionare spazi di sperimentazione per sistemi a impiego duale, sentito il Ministero della difesa, e per modelli e sistemi applicabili all’attività giudiziaria, sentito il Ministero della giustizia.

Possono inoltre essere istituiti spazi regionali o locali e spazi congiunti con autorità di altri Stati membri. Per quelli regionali e locali i decreti sono adottati sentita la Conferenza unificata. Un accordo sancito in Conferenza stabilisce gli strumenti di raccordo con lo Spazio nazionale e criteri omogenei per inserire gli esiti delle sperimentazioni nella relazione prevista dal decreto.

Termini e disposizioni attuative

Il testo non stabilisce una data generale di cessazione dell’applicabilità. Prevede un termine specifico di 90 giorni dall’entrata in vigore per l’adozione del decreto del Presidente del Consiglio che, su proposta di ACN e di concerto con il Ministro dell’economia e delle finanze, definisce i parametri di calcolo dei costi delle attività di vigilanza relative ai prodotti risultati non conformi. Numerose modalità operative e procedurali sono rinviate ai regolamenti e ai decreti congiunti indicati nelle singole disposizioni.