L'AI Act
diventa diritto italiano.

La funzione dell'IA è di supporto. Le forze di polizia usano i sistemi secondo un approccio antropocentrico e basato sul rischio. Prima di impiegare risultati in atti che incidono sulla sfera giuridica delle persone è prevista una revisione umana qualificata e tracciata.

La disciplina contempla collaborazioni di ricerca, ambienti di sperimentazione controllati, trattamento dei dati nel rispetto delle garanzie applicabili e formazione del personale su bias, limiti, cybersicurezza e supervisione.

Uso mirato, non sorveglianza generalizzata. Il decreto regola trattamenti biometrici, identificazione remota in tempo reale per finalità tassativamente determinate e riconoscimento facciale a posteriori nel contrasto ai reati.

Sono previsti presupposti rigorosi, autorizzazioni e garanzie differenziate, valutazioni d'impatto, registri di log e notifiche. Per le ipotesi di identificazione in tempo reale l'art. 9 prescrive registrazioni immodificabili conservate per cinque anni nei termini previsti dalla norma.

L'art. 437-bis c.p. sanziona, alle condizioni previste, l'omessa adozione di misure tecniche di sicurezza o di sorveglianza umana relative a sistemi di IA ad alto rischio quando ne derivi pericolo per vita o incolumità. Prevede altresì l'illecita alterazione di sistemi ad alto rischio in presenza di specifici eventi di pericolo.

La norma contempla ipotesi aggravate per il pericolo alla sicurezza dello Stato, una disciplina della colpa grave per le condotte del primo comma e una fattispecie riferita all'utilizzatore professionale che ometta intenzionalmente la sorveglianza umana.

Intervalli edittali: da 1 a 5 anni per le condotte del primo comma con pericolo per vita o incolumità; da 2 a 8 anni in caso di pericolo per la sicurezza dello Stato. Le altre ipotesi hanno pene distinte.

L'art. 13 inserisce l'art. 359-ter c.p.p. per l'identificazione biometrica remota in tempo reale nell'ambito di specifiche indagini, con autorizzazione del giudice e procedure rigorose nei casi d'urgenza. L'art. 14 interviene sull'esecuzione del sequestro preventivo di contenuti online generati anche con sistemi IA.

L'art. 15 inserisce nel D.Lgs. 231/2001 l'art. 25-vicies, relativo ai reati richiamati dalla disposizione, con sanzioni pecuniarie espresse in quote e ulteriori sanzioni interdittive. Per il reato ex art. 437-bis c.p. sono previste da 600 a 1.000 quote; per il reato ex art. 612-quater c.p. da 200 a 700 quote.

Implicazione pratica: occorre valutare l'eventuale adeguamento del modello 231 alla luce dei reati presupposto effettivamente rilevanti, evitando automatismi.

L'art. 16 disciplina l'ambito delle nuove regole probatorie per i danni contrattuali ed extracontrattuali da uso di sistemi IA e prevede un ulteriore foro per il danneggiato persona fisica che agisca fuori dall'attività professionale o imprenditoriale.

Su istanza e alle condizioni di legge, il giudice può ordinare l'esibizione di elementi relativi al funzionamento del sistema, inclusi log, documentazione sulla gestione dei rischi, elementi tecnici e supervisione umana. L'ordine è necessario e proporzionato e deve tutelare i segreti commerciali. Il rifiuto ingiustificato comporta conseguenze probatorie, con disciplina distinta per i terzi.

Presunzione relativa: se il danno deriva dalla violazione di uno o più obblighi previsti dall'AI Act, il nesso tra violazione e danno è presunto salvo prova contraria. Non significa che qualsiasi malfunzionamento generi automaticamente diritto al risarcimento.

La conformità del sistema all'AI Act, anche se certificata, non esclude di per sé la responsabilità del convenuto. Restano fermi gli altri regimi di responsabilità richiamati dal decreto.

Il danneggiato può agire direttamente contro l'impresa assicuratrice che copre la responsabilità civile del soggetto indicato come responsabile, nei limiti del massimale assicurato. Il responsabile è litisconsorte necessario.

La norma consente di richiedere preventivamente informazioni sulla copertura, con risposta entro 30 giorni; la richiesta non è condizione di procedibilità. Sono opponibili al danneggiato le eccezioni contrattuali anteriori al sinistro secondo le regole dell'articolo.

Il Titolo III raccoglie le disposizioni transitorie e finanziarie del decreto. Per i casi concreti è necessario leggere la formulazione vigente e verificare l'eventuale applicabilità temporale delle singole norme.

AgID è autorità nazionale di notifica e cura la designazione e il monitoraggio degli organismi di valutazione della conformità. ACN è autorità nazionale di vigilanza del mercato per i sistemi IA e punto di contatto unico, secondo le competenze normative.

Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio nei rispettivi settori finanziari. Il Garante Privacy interviene come autorità di vigilanza del mercato nei limiti dell'art. 74, par. 8, AI Act e conserva le proprie competenze sulla protezione dei dati.

Il decreto coordina le autorità, gli organismi di notifica e il sistema di vigilanza, definendo competenze, collaborazioni e poteri di accertamento.

L'art. 14 attribuisce ad ACN specifiche competenze per la registrazione nazionale di sistemi IA ad alto rischio relativi all'allegato III, punto 2, dell'AI Act. L'art. 17 disciplina poteri di vigilanza e ispezione delle autorità del settore finanziario.

Le autorità competenti esercitano poteri sanzionatori secondo il decreto e il regolamento UE. L'art. 22 consente, per violazioni di scarsa offensività o pericolosità, misure non pecuniarie come ordini di cessazione e dichiarazioni pubbliche, nei presupposti previsti.

L'art. 23 prevede massimali differenziati: fino a 35 milioni di euro o al 7% del fatturato mondiale per pratiche vietate; 15 milioni o 3% per gli obblighi tassativamente indicati; 7,5 milioni o 1% per informazioni inesatte o fuorvianti alle autorità; 1 milione o 0,5% per gli obblighi degli artt. 27 e 86 AI Act. Si applicano condizioni, criteri e regole speciali anche per PMI e microimprese.

È istituito uno spazio di sperimentazione normativa sotto la vigilanza delle autorità nazionali, gestito da AgID e ACN secondo le rispettive competenze, per lo sviluppo e la prova controllata di soluzioni IA.

Il decreto prevede criteri di accesso, piani di sperimentazione, monitoraggio e collaborazione anche con università, centri di ricerca e PMI. Non è una deroga generale agli obblighi del regolamento o del GDPR. Gli aspetti operativi richiedono ulteriori atti delle autorità.

Formazione degli studenti e dei docenti, educazione all'uso critico di social e strumenti IA, percorsi per gli adulti tramite CPIA e competenze per il personale pubblico.

L'art. 38 demanda a successivo decreto ministeriale criteri e modalità dei percorsi per i docenti. L'art. 39 promuove l'alfabetizzazione degli adulti anche in raccordo con le politiche attive. L'art. 40 riguarda il quadro di competenze nell'amministrazione pubblica.

Il datore che utilizza sistemi IA nelle decisioni relative a costituzione, modifica, cessazione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non può adottare le decisioni finali unicamente mediante trattamento automatizzato. Serve una persona fisica con potere decisionale effettivo e autonomo.

La disposizione esclude dal proprio concetto di decisione finale di costituzione le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle fasi successive. Non è una liberalizzazione degli algoritmi di selezione: restano da verificare AI Act, privacy e antidiscriminazione.

Il consenso del lavoratore non deroga al divieto. Restano gli obblighi informativi dell'art. 1-bis D.Lgs. 152/1997 e il diritto a una spiegazione intelligibile a richiesta. Il comma 4 prevede nullità delle decisioni assunte in violazione del comma 1 e del licenziamento intimato in tali condizioni.

Se l'uso dell'IA incide su organizzazione del lavoro, ritmi produttivi, modalità della prestazione o decisioni rilevanti per la sicurezza, i relativi rischi vanno valutati ai sensi dell'art. 28 del D.Lgs. 81/2008.

Il datore assicura informazione e formazione adeguate sui rischi specifici e sulle misure di prevenzione e protezione. Il Ministero del lavoro coordina e promuove un uso responsabile delle tecnologie.

Università, enti di ricerca, AFAM e ITS Academy concorrono alla costruzione di competenze tecniche, giuridiche ed etiche e alla sperimentazione. Sono regolati anche programmi per il personale dell'amministrazione della giustizia.

L'art. 43 permette iniziative di alfabetizzazione rivolte ai professionisti anche tramite convenzioni con ordini e associazioni.

I percorsi formativi degli ordini professionali devono includere l'IA nelle sue dimensioni tecniche, giuridiche e deontologiche. La formazione deve affrontare funzionamento, limiti, interrogazione dei sistemi e responsabilità del professionista verso i clienti.

I consigli nazionali e gli organismi competenti devono adeguare entro sei mesi dall'entrata in vigore i propri regolamenti o atti organizzativi, secondo le regole di settore. Il decreto non fissa un numero uniforme di ore per tutte le professioni.

L'art. 48 consente ai soggetti pubblici e autorizzati o accreditati dei servizi per il lavoro di usare l'IA per orientamento, matching e competenze, nel rispetto delle norme vigenti e garantendo supervisione umana, trasparenza e diritti.

L'art. 49 prevede la possibile modulazione dell'equo compenso in funzione del rischio del sistema IA utilizzato e richiede l'adeguamento dei parametri entro dodici mesi dall'entrata in vigore. Non stabilisce una riduzione generalizzata dei compensi dei professionisti che utilizzano IA.

Misure di sensibilizzazione sui rischi dell'IA nei servizi finanziari e integrazione di contenuti dedicati nei programmi di formazione continua sanitaria e manageriale.

L'art. 52 integra l'art. 98 del Codice della proprietà industriale, chiarendo che anche dati, algoritmi e metodi matematici di addestramento dell'IA possono rientrare tra le informazioni tutelate come segreti commerciali, solo se sussistono i requisiti previsti dall'articolo stesso.

L'art. 53 attribuisce le relative controversie alle sezioni specializzate in materia di impresa. L'art. 54 contiene la clausola finanziaria.