Da oggi, 23 ottobre 2026, il D.Lgs. 179/2026 sposta l'onere su chi usa l'intelligenza artificiale per gestire le persone: un licenziamento, una sanzione disciplinare o una valutazione delle prestazioni decisi solo da un algoritmo sono nulli, e il consenso del lavoratore non sana il vizio. Per il titolare d'impresa la conseguenza pratica è che ogni decisione su assunzione, modifica o cessazione del rapporto deve passare da una persona fisica con potere effettivo e autonomo. Nello stesso giorno scattano anche i nuovi obblighi di sicurezza e i poteri sanzionatori delle autorità di controllo.
Cosa non può più decidere un algoritmo in azienda
La gestione del rapporto di lavoro non può basarsi unicamente su decisioni prese da un sistema di IA. Assunzione, modifica e cessazione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni richiedono l'intervento di una persona fisica con potere effettivo e autonomo: le decisioni adottate in modo esclusivamente automatizzato sono nulle (art. 41, commi 1 e 4).
Il consenso del lavoratore è irrilevante: non esiste una scorciatoia contrattuale al divieto. Resta invece ammessa la selezione automatica dei curricula nelle offerte di lavoro, purché venga rispettato il GDPR; su questo fronte gli obblighi dei sistemi ad alto rischio seguono il calendario europeo rinviato dall'Omnibus digitale, come già riportato in questa serie.
Prima di avviare il trattamento il datore deve consegnare l'informativa dell'art. 1-bis del D.Lgs. 152/1997. Il dipendente può chiedere, con l'intervento di una persona, una motivazione comprensibile della decisione che lo riguarda, con l'indicazione del peso avuto dall'IA e dei principali parametri considerati (art. 41, comma 3). A questi si aggiungono gli obblighi di trasparenza richiamati nell'analisi delle nuove disposizioni e delle relative decorrenze.
Il DVR va aggiornato: l'IA entra nella valutazione dei rischi
I sistemi di IA che incidono su organizzazione, ritmi produttivi o modalità della prestazione devono entrare nella valutazione dei rischi dell'art. 28 del D.Lgs. 81/2008. I dipendenti vanno informati e formati sui rischi specifici dell'IA. L'obbligo è operativo da subito, insieme alle regole sulle decisioni algoritmiche.
Il perimetro è più ampio di quanto sembri: il controllo dei lavoratori con l'IA resta soggetto anche all'art. 4 dello Statuto dei lavoratori, e le stesse cautele si sommano alle regole sul lavoro tramite piattaforme digitali per chi organizza prestazioni tramite app. Per le aziende la sintesi è duplice: garantire un'effettiva supervisione umana e rispettare gli obblighi informativi, ma anche valorizzare le opportunità che gli stessi sistemi offrono su organizzazione e prevenzione.
Sanzioni: fino a 35 milioni, ma le PMI pagano il tetto più basso
L'art. 23 del decreto fissa i massimali sugli stessi valori dell'art. 99 del Regolamento europeo. Per le grandi imprese vale il valore più alto tra importo fisso e percentuale del fatturato mondiale annuo; per PMI, microimprese e start-up innovative si applica il più basso.
| Violazione | Sanzione massima |
|---|---|
| Pratiche di IA vietate (es. riconoscimento delle emozioni sul luogo di lavoro) | 35 milioni di euro o 7% del fatturato mondiale |
| Obblighi su sistemi ad alto rischio e trasparenza (chatbot, deepfake) | 15 milioni di euro o 3% del fatturato mondiale |
| Informazioni inesatte, incomplete o fuorvianti alle autorità | 7,5 milioni di euro o 1% del fatturato mondiale |
| Mancata valutazione d'impatto e diritto alla spiegazione | 1 milione di euro o 0,5% del fatturato mondiale |
Il punto di equilibrio tra i due criteri si ricava dividendo il massimale in euro per la percentuale: 35 milioni diviso 7% e 15 milioni diviso 3% danno entrambi 500 milioni di fatturato mondiale. Per PMI, microimprese e start-up innovative, sotto quella soglia paga sempre la percentuale (art. 23, comma 7, che applica il più basso). Per le grandi imprese vale il più alto: sotto i 500 milioni prevale l'importo fisso, sopra prevale la percentuale. Per la fascia da 7,5 milioni lo spartiacque sale a 750 milioni (7,5 diviso 0,01), mentre per il milione dello 0,5% scende a 200 milioni.
L'esempio pratico vale più della tabella: una PMI con 2 milioni di fatturato che usa un chatbot sul sito senza dichiarare ai clienti che stanno dialogando con un sistema di IA rischia un tetto del 3%, cioè 60.000 euro, perché inferiore ai 15 milioni. E la sanzione è già irrogabile dall'ACN da oggi, dato che l'obbligo di trasparenza dell'art. 50, par. 1, si applica dal 2 agosto 2026: i due tasselli, letti insieme, significano che il rischio non parte con il decreto ma è già maturato.
Per le violazioni di scarsa offensività l'art. 22 consente all'autorità di ordinare la rimozione dell'infrazione entro un termine o, se già cessata, di limitarsi a una dichiarazione pubblica; chi non rispetta l'ordine paga la multa aumentata fino a un terzo. Ogni provvedimento è pubblicato per estratto sul sito dell'autorità che lo adotta.
Chi controlla l'IA in Italia e dove testarla
AgID è l'autorità di notifica che designa e controlla gli organismi di valutazione della conformità; l'ACN è l'autorità di vigilanza del mercato sui sistemi di IA e il punto di contatto unico con le istituzioni europee. Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati per credito, servizi di investimento e attività assicurativa, mentre il Garante privacy interviene su contrasto, frontiere, giustizia e processi democratici. Il coordinamento è affidato al Comitato istituito presso la Presidenza del Consiglio.
Per chi sviluppa soluzioni c'è uno strumento in più: l'art. 26 istituisce lo Spazio di sperimentazione italiano per l'IA, ambiente controllato gestito da AgID e ACN con priorità di accesso per PMI e start-up; modalità e criteri saranno fissati con un decreto congiunto dei direttori generali delle due agenzie. Il testo conta 54 articoli divisi in 5 capi. Sulla data di pubblicazione le fonti non concordano: Informazione Fiscale la colloca al 7 ottobre 2026, mentre PMI.it indica la Gazzetta Ufficiale n. 234 dell'8 ottobre 2026, con firma del Presidente della Repubblica il 7 ottobre. L'entrata in vigore resta il 23 ottobre 2026.
Le scadenze che riguardano chi ha una partita IVA
Non tutto è operativo da subito. Ordini e collegi professionali hanno sei mesi, fino al 23 aprile 2027, per inserire percorsi di alfabetizzazione e formazione sull'IA nei programmi di formazione iniziale e continua degli iscritti; i parametri dell'equo compenso vanno integrati in base al rischio dei sistemi di IA usati entro il 23 ottobre 2027. Sul fronte scolastico, il piano di formazione docenti su social e IA è atteso entro il 21 gennaio 2027.
Il contenuto dei corsi è già definito: funzionamento degli strumenti, Regolamento europeo e norme italiane, profili deontologici, cioè responsabilità del professionista, obblighi informativi verso il cliente e principio antropocentrico della Legge 132/2025. Il 23 aprile 2027 è il termine entro cui ordini e collegi devono adeguare i regolamenti sulla formazione IA; per lo studio professionale le fonti non indicano una scadenza autonoma.
La prima mossa utile, però, non è comprare un nuovo software: è l'elenco dei sistemi di IA già in uso in azienda, perché è da lì che discende se un sistema entra nel DVR, se serve l'informativa al lavoratore e se la decisione finale richiede una firma umana.
