Chi controlla l’AI Act in Italia: autorità, poteri e sanzioni

Fino a oggi l’AI Act in Italia era un elenco di obblighi senza un indirizzo a cui rispondere. Dal 23 ottobre 2026, con l’entrata in vigore del D.Lgs. 7 ottobre 2026, n. 179, ha anche un’autorità, un procedimento e un listino di sanzioni. Per chi usa l’IA in azienda o in studio le domande pratiche sono due: chi può bussare, e per che cosa.

Le autorità dell’AI Act in Italia: chi fa che cosa

Il decreto distribuisce i ruoli fra cinque soggetti. La tabella riporta, per ciascuno, l’articolo in cui la designazione è scritta: su questo punto diverse sintesi circolate online attribuiscono gli articoli sbagliati.

AgID e ACN insieme sono le «autorità nazionali per l’intelligenza artificiale» già individuate dall’art. 20 della legge 132/2025; il decreto ne definisce poteri e confini. L’Italia risulta anche nell’elenco pubblicato dalla Commissione europea delle autorità di vigilanza del mercato designate, con l’ACN e senza riserve.

Per quasi tutte le imprese l’interlocutore è uno solo

Se non siete una banca, una SIM o un’impresa assicurativa, e se non fornite sistemi biometrici alle forze dell’ordine, l’autorità che vi riguarda è l’ACN. Vale per l’azienda che usa un assistente generativo, per lo studio che adotta un software con funzioni di IA, per la software house che sviluppa e rivende un sistema con il proprio marchio. L’AgID entra in gioco solo in modo indiretto: si occupa degli organismi che certificano, non di chi usa.

Perché compare il Garante privacy, e perché conta meno di quanto sembri

L’art. 74, paragrafo 8, del regolamento riguarda i sistemi biometrici del punto 1 dell’Allegato III quando sono usati per attività di contrasto, gestione delle frontiere, giustizia e democrazia, e i sistemi dei punti 6, 7 e 8 dello stesso allegato. Non riguarda la selezione del personale, né il merito creditizio, né l’assistente che risponde ai clienti: quelli restano all’ACN.

Questo però non toglie nulla al Garante sul suo terreno. Il GDPR è un binario separato e pienamente attivo: un sistema che tratta dati personali senza base giuridica, senza informativa o con una conservazione eccessiva è un problema privacy a prescindere dall’AI Act, con i suoi procedimenti e le sue sanzioni. È il motivo per cui le regole d’uso interne degli strumenti generativi restano la prima cosa da sistemare, come spiegato nell’articolo su ChatGPT in azienda e GDPR.

Cosa può fare, in concreto, chi vi controlla

L’art. 15 del decreto attribuisce all’ACN i poteri previsti dal regolamento IA e dagli articoli 14 e 16 del regolamento (UE) 2019/1020 sulla vigilanza del mercato. Tradotti in pratica, sono questi:

• chiedere documenti, dati e specifiche tecniche sulla conformità, compreso l’accesso al software incorporato nella misura necessaria a valutarla, in qualsiasi formato e ovunque siano conservati;
• svolgere ispezioni in loco e controlli fisici, e accedere a locali, terreni e mezzi usati per l’attività d’impresa o professionale;
• avviare indagini d’ufficio, senza che nessuno abbia segnalato nulla;
• acquisire campioni, anche in forma anonima, ispezionarli e sottoporli a ingegneria inversa;
• chiedere misure per far cessare la non conformità e, se non arrivano, vietare o limitare la messa a disposizione del sistema, imporne il ritiro o il richiamo;
• in assenza di altri mezzi efficaci contro un rischio grave, imporre la rimozione di contenuti da un’interfaccia online o la visualizzazione di un’avvertenza.

Per le prove in condizioni reali, l’art. 15, comma 2, aggiunge il potere di ispezionare a distanza o in loco anche senza preavviso. E quando un sistema presenta un rischio per la salute, la sicurezza o i diritti fondamentali, l’art. 79 del regolamento fissa i tempi: l’autorità valuta, poi chiede misure correttive, ritiro o richiamo entro il termine che prescrive e comunque entro quindici giorni lavorativi, se più breve. Non è una scadenza con cui si negozia.

C’è anche un costo diretto: l’art. 10 del decreto prevede un decreto del Presidente del Consiglio, entro novanta giorni dall’entrata in vigore (quindi entro il 21 gennaio 2027), che stabilisce i parametri per calcolare i costi delle attività di vigilanza sui prodotti risultati non conformi. Il regolamento 2019/1020 consente di addebitarli all’operatore.

Come parte un controllo

L’art. 16, comma 2, elenca quattro inneschi: la segnalazione di un incidente grave ai sensi dell’art. 73 del regolamento, un reclamo non manifestamente infondato, la segnalazione di un’altra autorità, o l’iniziativa d’ufficio dell’ACN.

Il secondo merita attenzione. L’art. 85 del regolamento riconosce a qualsiasi persona fisica o giuridica che abbia motivo di ritenere che vi sia stata una violazione il diritto di presentare un reclamo all’autorità di vigilanza del mercato. Non serve essere parte lesa: può essere un cliente insoddisfatto, un dipendente, un concorrente. L’art. 18 del decreto aggiunge che il reclamo presentato all’autorità sbagliata viene trasmesso d’ufficio a quella giusta, con comunicazione al reclamante: non ci si salva per errore di indirizzo. Le procedure di trattazione saranno definite dall’ACN con decreto del direttore generale.

Le sanzioni: importi, e chi le applica

Gli importi stanno nell’art. 23 del decreto e ricalcano l’art. 99 del regolamento.

Due precisazioni che cambiano la lettura della tabella. La prima: per le piccole e medie imprese, microimprese comprese, e per le start-up innovative vale il criterio dell’art. 99, paragrafo 6, del regolamento, cioè l’importo più basso fra la cifra fissa e la percentuale (art. 23, comma 7). La seconda: l’obbligo di alfabetizzazione dell’art. 4 del regolamento non compare nell’elenco del comma 2. Non ha una sanzione pecuniaria propria, ma resta un obbligo di legge, e l’art. 22 consente comunque all’autorità di ordinare di rimediare.

Prima della multa ci sono gli ordini

Per le violazioni di scarsa offensività o pericolosità, l’art. 22 permette all’autorità, in alternativa alla sanzione pecuniaria, di ordinare di eliminare l’infrazione e di astenersi dal ripeterla, indicando le misure da adottare e il termine, oppure — se l’infrazione è già cessata — di applicare una dichiarazione pubblica che nomina la violazione e il responsabile. Se l’ordine non viene rispettato entro il termine, si torna alle sanzioni pecuniarie aumentate fino a un terzo, fermi restando i massimali.

Vale la pena guardare anche l’art. 24: il provvedimento sanzionatorio è pubblicato senza ritardo e per estratto sul sito dell’autorità, in forma anonima solo in casi definiti (dati personali la cui pubblicazione sarebbe sproporzionata, rischi per la cybersicurezza o per un’indagine penale, pregiudizio sproporzionato e determinabile). Per molte imprese il danno reputazionale pesa più dell’importo. Infine, si applica la legge 689/1981 tranne l’art. 16: niente pagamento in misura ridotta.

Noi di Raputek partiamo da una diagnosi dell’uso dell’IA in azienda e lasciamo per iscritto chi è il fornitore, chi il deployer e quali prove servono: è il materiale che serve se un giorno qualcuno chiede conto.

Sei cose da avere pronte

Non è una lista di adempimenti nuovi, ma di documenti che o esistono già o si ricostruiscono male sotto pressione.

• L’elenco dei sistemi di IA in uso, con finalità, dati trattati e ruolo vostro (fornitore o deployer) per ciascuno. Il check di maturità AI è un modo rapido per farsene un’idea.
• Le istruzioni d’uso del fornitore, conservate nella versione effettivamente applicata: sono il riferimento rispetto al quale si misura l’uso conforme.
• La prova della trasparenza: dove e come dichiarate che un assistente è automatico e che un contenuto è generato con l’IA. È l’obbligo dell’art. 50, sanzionato fino a 15 milioni o al 3%.
• Il registro della formazione: date, contenuti, partecipanti. Per gli iscritti agli ordini professionali l’art. 47 del decreto impone ai consigli nazionali di adeguare i regolamenti della formazione entro sei mesi, cioè entro il 23 aprile 2027.
• Un referente interno e una procedura minima per i reclami e per la segnalazione degli incidenti gravi: se il primo contatto dell’autorità finisce in una casella che nessuno presidia, il termine di quindici giorni lavorativi si consuma da solo.
• I contratti con i fornitori, con dentro chi risponde di che cosa. Il calendario completo degli obblighi, con le date spostate dal Digital Omnibus, è nell’articolo su AI Act per PMI.

Se la formazione è il punto scoperto, la trattiamo nel servizio dedicato a AI Act e governance.

Non solo controlli: lo Spazio di sperimentazione italiano

Lo stesso decreto istituisce, agli articoli 26 e seguenti, lo Spazio di sperimentazione italiano per l’IA, previsto dall’art. 57 del regolamento: un ambiente controllato gestito congiuntamente da AgID e ACN, con accesso per fornitori e potenziali fornitori e una priorità esplicita, richiamata dall’art. 62 del regolamento, per le piccole e medie imprese e le start-up.

Le modalità di accesso e di funzionamento devono però essere stabilite con un decreto congiunto dei direttori generali di AgID e ACN che, alla data di pubblicazione di questo articolo, non è ancora stato adottato. Finché non esce, è un’opportunità annunciata: vale la pena tenerla d’occhio, non costruirci sopra un piano.

Questo articolo ha scopo informativo e non costituisce consulenza legale.

Domande frequenti