Dal 23 ottobre 2026 è in vigore il D.Lgs. 179/2026, che applica in Italia il regolamento europeo sull’intelligenza artificiale (AI Act). Per una PMI le novità pratiche riguardano soprattutto il personale: assunzioni, licenziamenti, sanzioni disciplinari e valutazioni non possono essere decise solo da un algoritmo, e l’IA che incide sul lavoro va considerata nella valutazione dei rischi aziendali.
Il decreto è stato firmato il 7 ottobre 2026 e pubblicato in Gazzetta Ufficiale l’8 ottobre 2026. Non introduce un adempimento unico uguale per tutti, ma fissa regole su autorità di controllo, sanzioni, lavoro e formazione. Vediamo cosa cambia davvero per chi gestisce un’azienda.
Che cos’è il D.Lgs. 179/2026 e perché riguarda anche una piccola azienda?
L’AI Act è il regolamento europeo (Reg. UE 2024/1689) che disciplina l’uso dell’intelligenza artificiale. Ogni Stato membro doveva però completarlo con norme nazionali: chi controlla, quali sanzioni si applicano, come si tutelano i lavoratori. Il D.Lgs. 179/2026 è il tassello italiano, secondo l’analisi dello studio Rödl & Partner.
Riguarda anche le PMI perché non si rivolge solo a chi sviluppa software: tocca chi usa l’IA, per esempio per selezionare candidati, valutare i dipendenti, rispondere ai clienti o organizzare i turni.
Cosa cambia concretamente per assunzioni, licenziamenti e valutazioni?
L’articolo 41 stabilisce che le decisioni finali su assunzione, modifica o cessazione del rapporto di lavoro, provvedimenti disciplinari e valutazioni delle prestazioni non possono basarsi unicamente su un trattamento automatizzato. La decisione definitiva spetta a una persona fisica con potere effettivo e autonomo, come riporta Lavorosì.
Le conseguenze pratiche, secondo le fonti consultate, sono quattro:
- il consenso del lavoratore non permette di aggirare il divieto;
- un licenziamento deciso solo da un sistema automatico è nullo;
- il lavoratore può chiedere una spiegazione comprensibile, fornita con l’intervento di una persona, che indichi anche quanto ha pesato l’IA e quali sono stati i parametri principali;
- il datore di lavoro deve rispettare gli obblighi informativi dell’art. 1-bis del D.Lgs. 152/1997 prima di avviare il trattamento.
Ricerca e selezione dei candidati sono trattate in modo diverso: escludere una candidatura nelle fasi iniziali non è considerata decisione finale di assunzione. Restano però applicabili il GDPR (il regolamento europeo sulla privacy) e i divieti di discriminazione.
L’intelligenza artificiale va inserita nel documento di valutazione dei rischi?
Sì, quando incide sul lavoro. L’articolo 42 prevede che i sistemi di IA che influenzano organizzazione, ritmi, modalità di esecuzione del lavoro o decisioni rilevanti per la sicurezza rientrino nella valutazione dei rischi dell’art. 28 del D.Lgs. 81/2008, cioè nel DVR (documento di valutazione dei rischi). Il datore di lavoro deve anche garantire informazione e formazione ai lavoratori sui rischi specifici.
Non significa aggiornare il DVR per ogni software installato. Come osserva Sercam Advisory, conta l’uso concreto: un assistente che riscrive email è diverso da un sistema che assegna i turni o misura i ritmi di produzione.
Quali sono le sanzioni e chi controlla?
Il controllo spetta soprattutto all’ACN (Agenzia per la cybersicurezza nazionale), che vigila sul mercato, mentre AgID gestisce gli organismi di valutazione della conformità. Banca d’Italia, Consob e IVASS intervengono nei rispettivi settori e il Garante Privacy nei casi previsti. Il procedimento può partire d’ufficio o da segnalazioni, con possibili richieste di documenti e ispezioni.
I tetti massimi previsti sono questi:
- pratiche vietate dall’AI Act: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo;
- altri obblighi, trasparenza compresa: fino a 15 milioni di euro o al 3%;
- informazioni inesatte o fuorvianti alle autorità: fino a 7,5 milioni di euro o all’1%.
Sono massimali, non importi automatici. Per PMI, microimprese e start-up innovative si applica il criterio del minore tra importo fisso e percentuale, e per violazioni poco gravi sono possibili misure non pecuniarie, come l’ordine di cessare la violazione.
E la sandbox per sperimentare l’IA?
Il decreto istituisce lo «Spazio di sperimentazione italiano per l’IA», gestito da AgID e ACN, dove fornitori e potenziali fornitori possono testare sistemi sotto supervisione, con priorità a PMI e start-up. Non è una zona franca dalle regole e, come riferisce Innovation Post, servono ulteriori provvedimenti prima che le aziende possano chiedere l’accesso: oggi non esiste uno sportello per le domande.
Un esempio: cosa succede in una PMI di 60 dipendenti?
Esempio ipotetico. Un’azienda manifatturiera di 60 persone usa un software che assegna un punteggio di rendimento agli operatori e propone a fine trimestre chi richiamare o premiare. Dal 23 ottobre il punteggio può essere uno strumento di supporto, ma la decisione deve essere presa da un responsabile che può davvero discostarsene e motivarla. Va poi verificato se il sistema incide sui ritmi di lavoro, e quindi sul DVR, e predisposta una risposta per il dipendente che chiedesse come è stata valutata la sua prestazione.
Per una verifica iniziale servono in genere poche ore: elencare gli strumenti di IA in uso, indicare chi controlla i risultati e archiviare le decisioni prese. È una stima indicativa, non un dato di fonte.
Quali aspetti restano incerti?
Le scadenze europee per i sistemi ad alto rischio non coincidono con la data del decreto italiano. Secondo le fonti consultate, il Regolamento (UE) 2026/1744 le ha spostate al 2 dicembre 2027 per i sistemi dell’Allegato III, tra cui l’ambito lavoro, e al 2 agosto 2028 per l’Allegato I; abbiamo approfondito il rinvio in AI Act rinviato: cosa devono fare le PMI. Il divieto di decisioni solo automatizzate in ambito lavorativo vale invece dal 23 ottobre 2026.
Restano inoltre da definire i provvedimenti attuativi della sandbox, e le prime indicazioni operative delle autorità potrebbero precisare molti dettagli. Prima di modificare contratti o procedure conviene un confronto con il consulente del lavoro o un legale.
Domande frequenti
Una PMI può continuare a usare l’IA per selezionare i curriculum?
Sì. La selezione dei candidati non rientra nel divieto di decisione solo automatizzata. Devono però essere rispettati il GDPR e i divieti di discriminazione.
Se il dipendente è d’accordo, si può usare una decisione automatica?
No. Secondo le fonti consultate il consenso del lavoratore non permette di derogare al divieto dell’art. 41. La decisione finale deve essere di una persona con potere effettivo.
Bisogna aggiornare il DVR per ogni strumento di IA?
Non necessariamente. Va considerato quando l’IA incide su organizzazione, ritmi o modalità del lavoro, o su decisioni rilevanti per la sicurezza. Un uso marginale può non richiedere modifiche.
Le sanzioni da 35 milioni valgono anche per le piccole imprese?
Sono tetti massimi. Per le PMI si applica il minore tra importo fisso e percentuale del fatturato, e nei casi lievi sono previste misure non pecuniarie.
La sandbox è già aperta alle aziende?
No. Il decreto la istituisce, ma servono ulteriori provvedimenti di AgID e ACN. Al momento non esiste uno sportello per presentare domanda.
Da dove partire in azienda
Tre passi bastano per iniziare: mappare gli strumenti di IA usati, indicare per ciascuno chi controlla il risultato e valutare se incidono su personale o sicurezza. Se vuoi capire dove l’IA ti fa risparmiare tempo senza esporti a rischi, trovi anche le nostre soluzioni di AI e automazione.
Gargano ADV lavora con aziende di Varese, Como e Milano. Nell’analisi gratuita di 60 minuti individuiamo con te tre processi da automatizzare e ti diamo una stima indicativa di tempi e costi, partendo da ciò che usi oggi.
Per parlarne con il nostro team puoi contattarci qui.