Da domani, 23 ottobre 2026, il D.Lgs. 179/2026 entra in vigore e trasforma l'uso dell'intelligenza artificiale in un rischio da mettere nero su bianco nel DVR. Il decreto attua la legge IA e l'AI Act (Regolamento UE 2024/1689) e tocca anche le decisioni sul rapporto di lavoro.
Cosa cambia per chi usa l'IA in azienda
L'art. 42 del D.Lgs. 179/2026 inserisce l'IA nella valutazione dei rischi prevista dall'art. 28 del D.Lgs. 81/2008. L'uso di sistemi che incidono su organizzazione del lavoro, ritmi produttivi, modalità di esecuzione della prestazione o processi decisionali rilevanti per la sicurezza va valutato nel DVR. Quando l'introduzione dell'IA modifica in modo significativo quei processi, scatta l'aggiornamento previsto dall'art. 29, comma 3. Il decreto è stato pubblicato in Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 e si applica a tutti i datori di lavoro, privati e pubblici, che impiegano a qualsiasi livello software basati su IA, algoritmi o automazioni avanzate. Ipsoa Quotidiano segnala l'obbligo di aggiornare il DVR, in particolare per i fattori che incidono su organizzazione, ritmi, modalità di esecuzione e processi decisionali.
Le quattro aree da mappare nel DVR
La mappatura non si ferma al software: coinvolge RSPP, Medico Competente e RLS e deve descrivere come l'IA entra nei flussi aziendali. Confcommercio Umbria indica quattro direttrici di analisi.
| Area | Cosa verificare |
|---|---|
| Organizzazione e compiti | Software per archiviazione automatizzata, generazione documenti, estrazione dati o profilazione di lacune operative |
| Modalità operative e DPI | Dispositivi di protezione connessi a sensori per cadute, frequenza cardiaca, stress termico o monitoraggio di aree a rischio |
| Ritmi di lavoro e produttivi | Assegnazione dei compiti tramite algoritmi, gestione automatizzata dei turni e tracciamento dei carichi lavorativi |
| Processi aziendali e manutenzione | Algoritmi predittivi per analisi della domanda, supply chain o manutenzione predittiva dei macchinari |
Accanto ai benefici, l'IA introduce rischi intangibili: tecno-stress, ansia da monitoraggio continuo, sovraccarico informativo e ritmi rigidi impostati dagli algoritmi. Un'altra criticità è l'eccessiva fiducia nel software, che può portare a errori di valutazione o "allucinazioni" pericolose per la sicurezza. Per mitigarli, le aziende possono riprogettare le pause e devono garantire all'operatore la possibilità di disattivare o correggere le indicazioni del sistema.
Decisioni sul personale: cosa resta vietato
L'art. 41 impone che le decisioni finali su costituzione, modifica e risoluzione del rapporto di lavoro, compresi provvedimenti disciplinari e valutazioni delle prestazioni, non siano adottate esclusivamente su trattamento automatizzato. La decisione definitiva spetta a una persona fisica con potere effettivo e autonomo; le decisioni prese in violazione sono nulle. Il decreto tocca anche l'impiego dell'IA nei servizi per il lavoro (art. 48), ma per il titolare la parte più operativa resta il DVR. La ricerca e selezione delle candidature resta fuori dal perimetro del comma 1, ma non è un far west: dal 2 dicembre 2027 i datori che usano sistemi ad alto rischio per il recruiting sono soggetti agli obblighi del deployer (artt. 26 e 86 AI Act). La nullità delle decisioni assunte in violazione dell'art. 41 si applica dal 23 ottobre 2026; le sanzioni fino a 15 milioni di euro, per gli obblighi del deployer su sistemi ad alto rischio (art. 26 AI Act), decorrono dal 2 dicembre 2027. Per il diritto alla spiegazione è prevista una sanzione fino a 1 milione (art. 23, commi 2 e 4).
Informazione, formazione e diritto alla spiegazione
Il decreto aggiunge due obblighi operativi: informare prima dell'avvio del trattamento e formare i lavoratori sui rischi specifici dell'IA. Il datore deve assolvere agli obblighi informativi dell'art. 1-bis del D.Lgs. 152/1997 e garantire, su richiesta, una "motivazione intelligibile" della decisione, con l'indicazione dell'incidenza del sistema e dei principali parametri usati. L'art. 42, comma 3, chiede un'adeguata informazione e formazione sui rischi connessi all'IA e sulle misure di prevenzione e protezione. Non basta un corso generico: i lavoratori devono capire funzionamento, limiti e comportamenti sicuri. Il comma 4 promuove un utilizzo responsabile dell'IA come strumento di prevenzione di infortuni e malattie professionali.
Tre passi per mettersi in regola
Dal 23 ottobre 2026 le aziende devono avviare la revisione dei processi interni e aggiornare il DVR. Il percorso indicato da Confcommercio Umbria si articola in tre fasi.
- Mappatura: identificare tutti i software e i dispositivi dotati di moduli di intelligenza artificiale o algoritmi decisionali in uso.
- Aggiornamento del DVR: redigere la nuova valutazione del rischio d'intesa con RSPP, Medico Competente e RLS.
- Piani formativi e procedurali: erogare la formazione specifica ai lavoratori e, se necessario, riprogrammare ritmi di lavoro e pause.
Il coordinamento delle misure è affidato al Ministero del Lavoro e delle Politiche Sociali, in raccordo con l'INL e le istituzioni preposte. Il Sole 24 Ore riassume il provvedimento con tre parole: formazione, sanzioni e regulatory sandbox.
La vera urgenza per il titolare
La scadenza del 23 ottobre 2026 non è l'unica da segnare in agenda. Tra l'entrata in vigore e il 2 dicembre 2027, quando scattano gli obblighi del deployer per il recruiting, passano 13 mesi e 9 giorni (calcolati dal 23 ottobre 2026 al 2 dicembre 2027). Chi usa IA per selezionare, valutare o gestire turni ha quindi due binari: l'adeguamento immediato del DVR e la preparazione, più avanti, degli obblighi da AI Act. Il punto critico è la prova: è opportuno documentare la supervisione umana, perché in caso di contenzioso il datore deve dimostrare che la decisione è stata presa con potere effettivo e autonomo. La nullità delle decisioni assunte in violazione dell'art. 41 si applica dal 23 ottobre 2026; le sanzioni fino a 15 milioni, per gli obblighi del deployer su sistemi ad alto rischio (art. 26 AI Act), decorrono dal 2 dicembre 2027.
Per un'impresa, il vero costo non è la consulenza per aggiornare il DVR, ma l'aver usato un algoritmo come se fosse una scorciatoia organizzativa senza presidio umano. La regola che emerge dal decreto è semplice: l'IA può assistere, non decidere al posto dell'impresa.
