Legge AI Italiana: l'AI Act che parla italiano 🇮🇹
Leggere la Legge 132/2025 è un’esperienza strana: è la prima legge italiana organica sull’IA, e il suo messaggio principale è “non ti preoccupare, ti copriamo noi ma non aggiungiamo nulla”. L’Art. 3.5 è quasi rassicurante: la legge non produce nuovi obblighi rispetto all’AI Act. Eppure basta arrivare all’Art. 612-quater del codice penale per capire che qualcosa è cambiato davvero: ora il deepfake è un reato, da uno a cinque anni di reclusione.
Vuoi il quadro completo? Principi, autorità, deleghe, sanzioni penali, impatti per settore e checklist di conformità sono nella guida pratica: Legge AI Italiana — Guida pratica.
Una legge che risponde alla domanda “chi vigila?” 🎯
Il Regolamento (UE) 2024/1689 è una legge europea perfetta: dice cosa devono fare i fornitori di sistemi di IA e lascia agli Stati membri il compito scomodo di designare le autorità e fissare le sanzioni. La Legge 132/2025 — pubblicata in Gazzetta Ufficiale il 25 settembre 2025, in vigore dal 10 ottobre 2025 — risponde esattamente a quella domanda.
E la risposta ha due nomi. L’AgID promuove l’innovazione e gestisce notifiche, accreditamenti e monitoraggio dei soggetti che verificano la conformità dei sistemi di IA (è l’autorità di notifica dell’Art. 70 AI Act). L’ACN — la stessa Agenzia per la cybersicurezza nazionale che veglia sulle tue infrastrutture — è l’autorità di vigilanza del mercato: ispezioni, controlli e sanzioni passano da lei.
Per chi fa business: da oggi hai due referenti statali. Chi ti ispeziona sarà l’ACN, e l’ACN non fa picnic. Il “punto di contatto unico” con l’Unione Europea per gli aspetti di vigilanza è la stessa agenzia.
Il principio che non era scontato: human oversight per tutti 🧑⚕️
L’AI Act parla di sorveglianza umana per i sistemi ad alto rischio. La legge italiana fa di più: eleva l’autonomia e il potere decisionale dell’uomo a principio generale, valido per qualunque sistema — e lo affianca a un secondo principio, la cybersicurezza lungo tutto il ciclo di vita, “secondo un approccio basato sul rischio, con specifici controlli di sicurezza e resilienza contro tentativi di alterazione”.
Chi scrive codice riconosce il linguaggio: è quello del Cyber Resilience Act, applicato stavolta ai sistemi di IA. Non è una coincidenza, è il quadro che si chiude.
Il pezzo nuovo: il diritto penale entra nell’IA 🚨
Mentre l’AI Act sanziona a livello amministrativo, l’Italia ha scelto di scrivere anche nel codice penale. Le modifiche più importanti da conoscere:
- Art. 612-quater c.p. — illecita diffusione di contenuti generati o alterati con sistemi di IA. Diffondere senza consenso immagini, video o voci falsificati o alterati mediante IA, idonei a trarre in inganno sulla genuinità, è punito con la reclusione da 1 a 5 anni. Procedibilità a querela, salvo connessione con altri delitti o vittime vulnerabili.
- Art. 61, n. 11-undecies c.p. — nuova aggravante comune: impiegare l’IA come mezzo insidioso o che ostacoli la difesa.
- Art. 294 c.p. — violenza privata mediante IA: reclusione da 2 a 6 anni.
- Art. 2637 c.c. e Art. 185 TUF — manipolazione del mercato mediante IA: da 2 a 7 anni, più multa fino a €6.000.000 in ambito finanziario.
La lettura più onesta: la legge non punisce “l’IA” — punisce chi la usa per fare danno. Ma se il tuo prodotto genera o altera contenuti (voce, video, immagini), il consenso non è più una checkbox: è quello che separa un servizio da un reato.
Il diritto d’autore che torna umano ✍️
C’è anche una risposta alla grande domanda sul copyright: le opere create con l’ausilio dell’IA restano protette purché siano il risultato del lavoro intellettuale dell’autore — l’AI Act e la legge italiana tengono il “fattore umano” al centro.
E per chi addestra modelli: il text-and-data mining di opere in rete resta consentito entro i confini degli artt. 70-ter e 70-quater della legge sul diritto d’autore (l’eccezione della Direttiva 2019/790, con le riserve dei titolari). La novità? Violare quei confini, anche mediante IA, è ora reato (Art. 171 a-ter l.a.).
Le deleghe: dove si deciderà tutto il resto 🧾
L’Art. 24 delega al Governo l’adozione, entro 12 mesi (ottobre 2026), di decreti legislativi per adeguare la normativa nazionale all’AI Act: poteri ispettivi e sanzionatori per AgID/ACN, quadro delle sanzioni dell’Art. 99 AI Act (fino a €35M o 7% del fatturato), nuove fattispecie di reato per l’uso professionale di sistemi di IA senza misure di sicurezza, regole sull’uso dell’IA nelle indagini preliminari.
Le deleghe non sono carta straccia: sono la parte che ancora non c’è ma che arriverà. Seguirle è come seguire i changelog di una dipendenza critica.
Chi applica la legge, nel frattempo 🏥
In sanità l’IA è supporto, non sostituto: la decisione resta al medico, e il paziente ha diritto di essere informato. Al lavoro, niente discriminazione algoritmica e informativa obbligatoria al lavoratore sull’uso dell’IA. Per le professioni intellettuali, l’IA resta strumentale e il cliente va informato “con linguaggio chiaro, semplice ed esaustivo”. Nella PA il funzionario resta l’unico responsabile del provvedimento. In Tribunale, ogni decisione resta al magistrato.
E ci sono i numeri: un miliardo di euro in investimenti pubblici in capitale di rischio per PMI italiane innovative in IA, cybersicurezza e calcolo quantistico, attraverso il Fondo di sostegno al venture capital. Si può discutere se basti; non si può dire che il segnale manchi.
Conclusione: la conformità ora ha un indirizzo 🗺️
La Legge 132/2025 non ti chiede di rifare il tuo sistema IA. Ti chiede di sapere chi è il tuo vigile (ACN, con AgID al semaforo delle notifiche), di non usare l’IA per fare danni (il deepfake è reato), di rispettare l’ingegno umano e le riserve del text-and-data mining, e di tenere d’occhio i decreti in arrivo entro ottobre 2026.
È la conferma definitiva che il puzzle normativo è completo: GDPR per i dati, NIS 2 per l’organizzazione, CRA per il prodotto, AI Act per il sistema, e adesso la legge italiana per l’applicazione reale. Chi aveva “aspettato di capire come si fa” non ha più scuse: le regole ci sono tutte, e ora hanno anche un indirizzo dove suonare.
Vuoi i dettagli operativi — deleghe, sanzioni, checklist per il tuo settore? Sono nella guida pratica: Legge AI Italiana — Guida pratica.