Premessa
La legge 23 settembre 2025, n. 132 (d’ora in avanti, Legge AI), tracciata nel solco dell’AI Act, Regolamento (UE) 2024/1689, costituisce il primo tentativo dell’ordinamento italiano di disciplinare l’impiego dei sistemi e modelli di intelligenza artificiale in diversi settori ritenuti sensibili dal legislatore.
La ratio del provvedimento è duplice: da un lato, favorire lo sviluppo tecnologico ed economico del Paese, dall’altro, presidiare i rischi connessi alla tutela dei diritti fondamentali.
L’intervento normativo si caratterizza per una struttura articolata in sei Capi, che alternano disposizioni di principio a norme di settore, deleghe legislative, tante, e misure di attuazione
Principi generali e finalità
Gli artt. 1-6 definiscono il quadro assiologico della disciplina. I principi cardine della normativa sono:
- il carattere antropocentrico dello sviluppo dell’IA, che deve rispettare l’autonomia decisionale dell’uomo;
- il richiamo ai fondamentali principi costituzionali ed eurounitari quali: trasparenza, proporzionalità, sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione, parità dei sessi e sostenibilità;
- la prevalenza del metodo democratico e della sovranità dello Stato;
- a qualificazione della cybersicurezza come precondizione essenziale lungo tutto il ciclo di vita dei sistemi di IA.
Ambiti applicativi settoriali
Sanità
Gli artt. 7-10 disciplinano l’utilizzo dell’IA in ambito sanitario promuovendo strumenti a supporto della diagnosi e della cura e prevedendo il diritto dell’interessato ad essere informato sull’impiego di tecnologie di IA, il divieto di selezionare e condizionare l’accesso alle prestazioni sanitarie secondo criteri discriminatori, la non sostituibilità della decisione medica.
Per il supporto alle finalità di cura e per l’assistenza territoriale è istituita una piattaforma di intelligenza artificiale, la cui progettazione e realizzazione è rimessa all’AGENAS.
Ricerca scientifica
La legge prevede, ferma l’informativa all’interessato, la ricerca e la sperimentazione di sistemi di IA in ambito sanitario, attraverso il trattamento di dati, anche personali, necessari ai fini della realizzazione e utilizzazione di banche dati e modelli, il tutto sulla base giuridica del rilevante interesse pubblico.
Per i medesimi fini è sempre autorizzato l’uso secondario di dati personali particolari se privati degli elementi identificativi.
Tuttavia, per la disciplina del trattamento dei dati personali particolari tramite sistemi di IA e machine learnig viene fatto rinvio a un decreto che il Ministero della Salute dovrà emanare entro 120 giorni dall’entrata in vigore della legge. Viene inoltre fatto rinvio, per le procedure di anonimizzazione dei dati, alle linee guida che l’Agenas che può stabilire e aggiornare. Non è tuttavia prevista né una indicazione in merito al valore normativo delle suddette linee guida né cosa accade se la possibilità di redazione non viene soddisfatta..
Infine, per i trattamenti di ricerca e sperimentazione scientifica nella realizzazione di sistemi di IA è previsto l’invio di una comunicazione al Garante contenente gli elementi richiesti dagli artt. 24, 25, 32, 35 del GDPR e l’attività di trattamento può essere avviata, in applicazione del meccanismo del silenzio assenso, decorsi 30 giorni senza l’emanazione di provvedimenti di blocco da parte dell’Autorità Garante.
Lavoro
La legge prevede l’utilizzo dell’IA nell’attività lavorativa al fine di migliorare le condizioni di lavoro, tutelare l’integrità psicofisica dei lavoratori e accrescere la qualità delle prestazioni lavorative e la produttività dei lavoratori.
La disciplina dell’IA in ambito lavorativa introduce un duplice livello di garanzia:
- la tutela della dignità del lavoratore (art. 11), imponendo obblighi informativi a carico del datore di lavoro e vietando discriminazioni;
- l’istituzione di un Osservatorio presso il Ministero del lavoro e delle politiche sociali (art. 12), con funzioni di monitoraggio dell’impatto dell’IA sul mercato del lavoro e di formazione di lavoratori e datori di lavoro.
Professioni intellettuali
Quanto alle professioni intellettuali (art. 13), l’utilizzo di sistemi di IA è ammesso solo come supporto strumentale: resta prevalente il contributo umano, a salvaguardia del rapporto fiduciario con il cliente. L’impiego dell’IA deve essere comunicato al cliente con linguaggio chiaro, semplice ed esaustivo.
Pubblica amministrazione e giustizia
La legge riserva l’art. 14 all’uso della IA nella PA. Lo scopo primario è quello di incrementare l’efficienza, ridurre i tempi di definizione dei procedimenti, aumentare la qualità e quantità dei servizi erogati, ma con obbligo di tracciabilità e mantenimento della responsabilità di procedimenti e dei provvedimenti in capo al funzionario.
In ambito giudiziario (art. 15), la legge ribadisce che la decisione spetta sempre al magistrato a cui è riservata altresì ogni decisione sull’interpretazione e applicazione delle leggi e sulla valutazione dei fatti e delle prove: l’IA è ammessa unicamente per attività organizzative e di supporto.
Cybersicurezza e difesa
L’art. 18 valorizza l’IA quale risorsa per il rafforzamento della cybersicurezza nazionale, anche tramite partenariati pubblico-privato. Restano tuttavia escluse dal campo di applicazione (art. 6) le attività degli apparati di intelligence e delle forze armate, che seguono regole speciali. Si tratta di un equilibrio delicato tra esigenze di segretezza e vincoli costituzionali.
Governance e strategie nazionali
La Legge IA istituisce una strategia nazionale per l’intelligenza artificiale (art. 19), coordinata dalla Presidenza del Consiglio, che funge da strumento di indirizzo politico e di coordinamento interministeriale e favorisce la collaborazione tra PA e soggetti privati relativamente allo sviluppo e all’adozione di sistemi di IA.
Le Autorità nazionali designate, Agenzia per l’Italia digitale (AgID) e Agenzia per la cybersicurezza nazionale (ACN) assumono competenze rispettivamente in materia di promozione e vigilanza, con compiti di notifica e controllo di conformità (art. 20). È previsto un Comitato di coordinamento presso Palazzo Chigi, composto dai direttori di AgID e ACN e dal capo del dipartimento della trasformazione digitale della Presidenza del Consiglio, con la partecipazione anche delle autorità di vigilanza finanziaria, Banca d’Italia, CONSOB, IVASS, quando si trattano questioni di rispettiva competenza.
Questa architettura mira a bilanciare promozione dell’innovazione e controllo di legalità, sebbene non manchino rischi di sovrapposizione istituzionale.
Profili di diritto d’autore
Un cenno merita anche alla tutela del diritto d’autore sulle opere generate con l’ausilio dell’IA.
L’art. 25 delle Legge AI introduce modifiche alla L. 633/1941 prevedendo la tutela delle opere dell’ingegno umano anche laddove create con l’ausilio di strumenti di intelligenza artificiale purché costituenti risultato del lavoro intellettuale dell’autore.
Reati
La Legge AI apporta modifiche anche al codice penale introducendo aggravanti e fattispecie specifiche di reato per i casi di abusi connessi all’impiego dell’IA, come i reati di deep fake.
Deleghe al Governo
La Legge AI, come già indicato, prevede numerose, probabilmente troppe, deleghe al Governo in materia di IA per l’adozione di decreti legislativi, regolamentari e ministeriali per l’adeguamento della normativa nazionale all’AI Act (Reg. UE 2024/1689).
Disciplina di dati, algoritmi e metodi matematici
L’art. 16 conferisce al Governo la delega a definire, con uno o più decreti legislativi, una disciplina organica sull’uso di dati, algoritmi e metodi matematici per l’addestramento di sistemi di IA.
Il legislatore delegato dovrà:
- individuare i casi in cui occorre dettare un regime giuridico specifico dell’utilizzo di dati, algoritmi e metodi matematici per l’addestramento dei sistemi di IA;
- stabilire diritti e obblighi delle parti che intendano procedere al suddetto utilizzo;
- prevedere strumenti di tutela risarcitori e inibitori e un apparato sanzionatorio per il caso di violazione delle disposizioni disciplinati i sistemi di IA;
- attribuire le relative controversie inerenti i sistemi di IA alle sezioni specializzate in materia di impresa.
Numerosissime sono le ulteriori deleghe previste dal legislatore, tra queste ne ricordiamo solo alcune come il dovere di disciplinare il trattamento dei dati nella ricerca sanitaria, incluso l’uso secondario dei dati personali, modificare e coordinare la normativa sostanziale e processuale; introdurre autonome fattispecie di reato; prevedere strumenti, anche cautelari, finalizzati a inibire la diffusione e a rimuovere contenuti generati illecitamente anche con sistemi di IA; adeguare il quadro sanzionatorio; definire i poteri di vigilanza, ispettivi e sanzionatori delle Autorità nazionali AgID e ACN; prevedere apposita disciplina per l’utilizzo di sistemi di IA per l’attività di polizia; etc.
Considerazione conclusive
La legge n. 132/2025 rappresenta un passaggio cruciale verso la costruzione di una costituzionalizzazione dell’IA nell’ordinamento italiano. Essa recepisce l’impostazione europea del Regolamento (UE) 2024/1689, ma vi innesta elementi peculiari, in particolare:
- la tutela del dibattito democratico,
- la valorizzazione dell’IA nella sanità e nel lavoro,
- la creazione di un modello di governance multi-istituzionale.
Resta aperto il nodo dell’effettività: molte disposizioni, come abbiamo visto, rinviano a decreti attuativi o a futuri interventi del Governo, sollevando interrogativi in termini di certezza normativa e centralità parlamentare e lasciando sospeso il grado di precettività immediata, con un conseguente rischio di inefficacia della normativa. Sarà decisivo valutare come l’Esecutivo eserciterà le deleghe, nel rispetto dei principi di proporzionalità, trasparenza e controllo umano, veri pilastri della regolazione dell’intelligenza artificiale.