La legge 23 settembre 2025, n. 132 non sostituisce l’AI Act europeo: lo interpreta e lo completa sul piano nazionale. Per le imprese italiane conta soprattutto capire cosa resta europeo, cosa è specificamente italiano e chi sono le autorità di riferimento.
Informazione generale, non consulenza legale.
Cos’è la legge 132/2025
È la legge italiana recante “disposizioni e deleghe al Governo in materia di intelligenza artificiale”, pubblicata in Gazzetta Ufficiale ed entrata in vigore il 10 ottobre 2025 (Normattiva).
L’articolo 1 chiarisce due punti:
- promuove un uso corretto, trasparente e responsabile dell’IA, in chiave antropocentrica;
- le sue disposizioni si interpretano e si applicano conformemente al Regolamento (UE) 2024/1689 (AI Act).
In più, l’articolo 3 comma 5 afferma esplicitamente che la legge non produce nuovi obblighi rispetto a quelli già previsti dall’AI Act per sistemi e modelli di IA per finalità generali. È un segnale importante contro il panico da “doppia burocrazia”.
AI Act vs legge italiana: chi fa cosa
| Livello | Cosa regola | Fonte | |---|---|---| | Unione Europea | Classificazione del rischio, obblighi provider/deployer, trasparenza, GPAI, sanzioni quadro | AI Act | | Italia | Principi nazionali, settori (lavoro, PA, sanità, professioni), autorità, deleghe, alcuni profili penali | L. 132/2025 |
L’AI Act resta il motore degli obblighi tecnici e di mercato. La legge 132 costruisce il quadro italiano di principi, governance e specificazioni settoriali.
Cosa cambia davvero per le imprese
Per una PMI che usa AI nei processi, i punti più rilevanti della legge italiana sono operativi, non teorici.
Lavoro (art. 11)
L’uso di IA in ambito lavorativo deve essere sicuro, affidabile, trasparente e non discriminatorio. Il datore di lavoro o il committente deve informare il lavoratore dell’utilizzo di IA nei casi e con le modalità previsti dalla normativa sul rapporto di lavoro richiamata dalla legge. Non è un dettaglio da HR “quando capital”: se usate screening CV automatici o tool di valutazione, la trasparenza interna conta.
Professioni intellettuali (art. 13)
L’IA è ammessa come supporto strumentale all’attività professionale, con prevalenza del lavoro intellettuale. Le informazioni sui sistemi usati vanno comunicate al cliente in modo chiaro. Se siete uno studio o una società di consulenza che usa GenAI nelle deliverable, l’informativa non è optional.
Pubblica amministrazione (art. 14)
Per chi vende o integra AI nella PA: l’IA resta strumentale; la persona resta responsabile del provvedimento. Serve conoscibilità e tracciabilità dell’uso.
Governance nazionale (art. 20)
Vengono designate come Autorità nazionali per l’IA:
- AgID (Agenzia per l’Italia digitale): promozione, innovazione, funzioni di notifica/valutazione/accreditamento dei soggetti che verificano la conformità;
- ACN (Agenzia per la cybersicurezza nazionale): vigilanza del mercato e punto di contatto unico con le istituzioni UE, ferme restando le competenze di Banca d’Italia, CONSOB e IVASS nei rispettivi ambiti.
Questo risponde a una domanda pratica: “a chi ci si riferisce in Italia?”. La risposta ufficiale è AgID + ACN, con vigilanza di settore dove prevista.
Cosa non cambia (e conviene non confondere)
- L’AI Act europeo continua ad applicarsi direttamente.
- Usare ChatGPT o Copilot non diventa “illegale” per effetto della sola legge 132.
- Non serve inventare una compliance parallela disallineata dall’Europa: la legge rinvia esplicitamente al regolamento UE.
- Restano in campo GDPR e regole settoriali (lavoro, dati sanitari, ecc.).
Il rischio reale per le PMI non è “non conoscere l’articolo X”. È usare AI senza inventario, senza regole sui dati e senza ownership. Su questo, legge italiana e AI Act spingono nella stessa direzione.
FAQ
La legge 132/2025 sostituisce l’AI Act in Italia?
No. Si interpreta e applica conformemente al regolamento UE. Non crea, per i sistemi e modelli GPAI, obblighi aggiuntivi rispetto a quelli europei (art. 3, c. 5).
Da quando è in vigore?
Dal 10 ottobre 2025 (Normattiva).
Chi controlla in Italia?
AgID e ACN sono le Autorità nazionali per l’IA; restano le competenze di vigilanza di mercato di Banca d’Italia, CONSOB e IVASS nei settori previsti (art. 20).
Devo fare qualcosa di diverso se opero solo in Italia?
Dovete rispettare AI Act + specificità nazionali rilevanti (informativa lavoratori/clienti, principi settoriali, rapporti con le autorità). La checklist operativa parte comunque da inventario, ruolo (provider/deployer), trasparenza e literacy.
Fonti
- Normattiva: Legge 23 settembre 2025, n. 132
- EUR-Lex: Regolamento (UE) 2024/1689 – AI Act
- Commissione Europea: quadro regolatorio AI
Approfondisci nella serie
- AI Act: guida pratica per le aziende
- Deployer vs provider: checklist PMI
- AI literacy e formazione obbligatoria
- Responsabilità e accountability AI
Se vuoi capire, sul vostro perimetro reale (tool, processi, dati), cosa è già coperto dall’AI Act e cosa richiede attenzione specifica in Italia, ne parliamo senza trasformarlo in un trattato. Scrivici a info@zendata.it o visita zendata.it.
Pietro Ciattaglia, CEO di Zendata AI, Roma