Guide · 2026-10-14
D.lgs. 179/2026: guida alla conformità IA in Italia
Le regole di trasparenza dell'AI Act si applicano dal 2 agosto 2026 — ma il 23 ottobre 2026 l'Italia diventa il primo Stato membro a dotarsi di una propria macchina nazionale di applicazione. Il decreto legislativo 179/2026 nomina i controllori, apre un sandbox normativo, introduce doveri di formazione e somma sanzioni nazionali alle multe europee. Se pubblichi contenuti generati con IA o distribuisci sistemi di IA al pubblico italiano, questa è la scadenza che trasforma l'AI Act da pratica burocratica europea in rischio ispettivo domestico. Testo informativo, non consulenza legale.
Il decreto in 30 secondi
Il D.lgs. 179/2026 è l'attuazione nazionale italiana dell'AI Act. L'AI Act è un regolamento — si applica direttamente — ma lascia agli Stati membri la designazione delle autorità di vigilanza del mercato, delle autorità di notifica, dei sandbox e delle procedure sanzionatorie. Il decreto colma questi spazi per l'Italia: chi ispeziona, chi sanziona, come si testano i sistemi innovativi, quale formazione spetta ai deployer. Non sostituisce i doveri dell'AI Act (le regole di trasparenza dell'articolo 50 restano di fonte europea); decide chi, in Italia, te li fa rispettare.
Le due autorità da conoscere
ACN — Agenzia per la Cybersicurezza Nazionale: autorità di vigilanza del mercato e punto di contatto unico. In pratica, è l'organo operativo: ispeziona i sistemi di IA sul mercato italiano ed è la porta d'ingresso della cooperazione con le autorità degli altri Stati membri. AgID — Agenzia per l'Italia Digitale: autorità di notifica; notifica e valuta gli organismi di valutazione della conformità per i sistemi di IA ad alto rischio. Se qualcosa va storto con un sistema di IA in Italia, ACN è il nome sulla lettera; se certifichi un sistema ad alto rischio, AgID è il nome sulla procedura.
Cosa cambia per chi pubblica contenuti
Il dovere centrale dell'articolo 50 — marcatura leggibile dalle macchine e informativa visibile alla prima esposizione — si applica già. Il livello italiano aggiunge un corollario pratico: l'informativa deve essere comprensibile al destinatario. Un badge "AI-generated" solo in inglese su contenuti serviti al pubblico italiano è una risposta debole a un ispettore ACN. La posizione difendibile è un'informativa in italiano — badge e didascalia, posizionati dove non possono essere ritagliati o sepolti — più provenienza leggibile dalle macchine (manifesto C2PA o metadati XMP/EXIF di generazione) che sopravviva alla pipeline di pubblicazione.
Le sanzioni: amministrative e penali
L'Italia stratifica tre livelli. Primo, i massimali dell'AI Act applicati dagli organi nazionali: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo per le violazioni della trasparenza (articolo 50), fino a 35 milioni o il 7% per le pratiche vietate. Secondo, le sanzioni amministrative nazionali del decreto. Terzo — ed è ciò che rende l'Italia il regime nazionale più severo dell'UE — le sanzioni penali della Legge 132/2025 (articoli 2–7) per gli usi illeciti gravi dell'IA, incluse le immagini intime non consensuali generate con IA. Le pene penali sono stabilite dal giudice sui fatti del caso: non esiste una formula, e qualsiasi esposizione a quel livello impone il coinvolgimento immediato di un penalista.
Il sandbox normativo
Il decreto apre un sandbox nazionale: uno spazio vigilato dove i fornitori possono testare sistemi di IA innovativi prima della piena immissione sul mercato, sotto il controllo dell'autorità e con garanzie definite. I sandbox ammettono innovazione genuina con un piano di test scritto — obiettivi, durata, soggetti coinvolti, controlli dei rischi, supervisione umana e piano di uscita verso il mercato — non software di routine. Se stai costruendo un sistema di IA innovativo per il mercato italiano, valutare l'ammissibilità al sandbox prima del lancio fa ormai parte di un dossier di conformità serio.
La checklist operativa
- Informativa in italiano su ogni asset generato con IA destinato al pubblico italiano — badge più didascalia, alla prima esposizione.
- Marcatura leggibile dalle macchine incorporata in esportazione (C2PA dove gli strumenti lo supportano, XMP/EXIF come minimo) e verificata dopo la pubblicazione.
- Registri per singolo asset — cosa è stato generato, quale informativa è stata applicata, dove è stato pubblicato. L'ACN chiede evidenze, non intenzioni.
- ACN/AgID nella procedura di incident response — nominare l'autorità di vigilanza e il punto di contatto prima di averne bisogno.
- Formazione documentata del team sui doveri di informativa IA.
- Valutazione sandbox per i nuovi sistemi di IA ad alto impatto prima della distribuzione.
In sintesi
Il 23 ottobre 2026 è il giorno in cui l'AI Act ottiene un indirizzo italiano di applicazione. I doveri restano la stessa disciplina operativa già richiesta dall'articolo 50 — informare visibilmente, marcare per le macchine, conservare le evidenze — ma ora a vigilare c'è un'autorità domestica con un sandbox, un capitolo sulla formazione e una legge penale. Chi arriva con etichette in italiano, provenienza intatta e un dossier di evidenze ottiene una conversazione. Chi arriva senza niente ottiene un fascicolo. L'Italy Enforcement Pack di DisclosureGuard automatizza il lato evidenze — modelli di informativa in italiano, riferimenti ACN/AgID, calcolo dell'esposizione sanzionatoria e dossier esportabile in formato da audit — ma il dovere resta tuo. Verifica gli obblighi con un legale.
Domande frequenti
Quando entra in vigore il D.lgs. 179/2026?
Il 23 ottobre 2026. Da quella data il quadro nazionale italiano di attuazione dell'AI Act è operativo: AgID come autorità di notifica, ACN come autorità di vigilanza del mercato e punto di contatto unico, con sandbox, formazione e sanzioni. Verificare il testo ufficiale vigente del decreto.
Chi applica l'AI Act in Italia?
Due soggetti ai sensi del D.lgs. 179/2026: l'ACN (Agenzia per la Cybersicurezza Nazionale), autorità di vigilanza del mercato e punto di contatto unico — l'organo operativo di controllo; e l'AgID (Agenzia per l'Italia Digitale), autorità di notifica degli organismi di valutazione della conformità.
L'informativa IA deve essere in italiano?
L'AI Act richiede un'informativa chiara e distinguibile per il destinatario, e il quadro nazionale applica questo dovere sul territorio italiano. Per contenuti destinati al pubblico italiano, la posizione difendibile è un'informativa in lingua italiana. Verificare con un legale.
Quali sono le sanzioni per le violazioni IA in Italia?
Tre livelli: i massimali dell'AI Act (fino a 15 milioni di euro o il 3% del fatturato mondiale per la trasparenza; fino a 35 milioni o il 7% per le pratiche vietate), le sanzioni amministrative nazionali del decreto, e le sanzioni penali della Legge 132/2025 per gli usi illeciti gravi. Le sanzioni effettive dipendono dall'autorità e dai fatti — verificare con un legale.
Cos'è il sandbox normativo italiano per l'IA?
Uno spazio di sperimentazione controllata previsto dal decreto, dove i fornitori testano sistemi di IA innovativi prima della piena immissione sul mercato sotto la vigilanza dell'autorità. L'ammissione privilegia l'innovazione genuina con piano di test scritto, controlli dei rischi, supervisione umana e piano di uscita.
Questa guida è una consulenza legale?
No. Riassume informazioni pubbliche sul D.lgs. 179/2026 a fini operativi. Non è un'interpretazione legale — verificare gli obblighi con un legale prima di farvi affidamento.
Testo informativo, non consulenza legale. Verifica un asset specifico contro le regole vigenti con una scansione gratuita DisclosureGuard.
Also available in English: EU AI Act Italy Enforcement: D.lgs. 179/2026 Compliance Guide.