di Antonio Felice Uricchio, Professore ordinario di Diritto tributario, già Presidente ANVUR -Università degli Studi di Bari Aldo Moro
Claudio Caldarola. Avvocato, dottore di ricerca in Artificial Intelligence Health and Life Sciences -Università Campus Bio-Medico di Roma
Abstract [It]
Il controllo umano sui sistemi di intelligenza artificiale vale quanto la competenza di chi lo esercita. Muovendo da questa premessa, il contributo esamina il decreto legislativo 7 ottobre 2026, n. 179, che adegua l’ordinamento italiano al regolamento UE 2024/1689 sull’intelligenza artificiale in materia di vigilanza e di formazione. Si chiede in quale misura tale competenza sia giuridicamente esigibile, dopo che il regolamento UE 2026/1744 ha attenuato l’obbligo di alfabetizzazione. L’analisi ordina le disposizioni formative in quattro modelli e le confronta con le regole sulla decisione e sulla responsabilità. La tesi è che la competenza acquisti forza giuridica soprattutto attraverso queste ultime, e in particolare attraverso la sorveglianza dei sistemi ad alto rischio, assistita anche da un presidio penale, e la riserva delle decisioni sul rapporto di lavoro a una persona fisica, letta come requisito di competenza. Il rilievo civilistico dell’obbligo di alfabetizzazione resta invece incerto. Il confronto con Germania e Spagna misura la specificità della soluzione italiana. Seguono i dubbi di delega e il rapporto tra segreto commerciale e diritto alla spiegazione.
Title
AI literacy and the competence of human decision-makers. Supervision and training in Legislative Decree No. 179 of 7 October 2026
Abstract [En]
Human control over artificial intelligence systems is only as strong as the competence of those who exercise it. Starting from this premise, the article examines Legislative Decree No. 179 of 7 October 2026, which adapts Italian law to Regulation (EU) 2024/1689 on artificial intelligence as regards supervision and training. It asks to what extent such competence is legally enforceable now that Regulation (EU) 2026/1744 has softened the AI literacy obligation. It sorts the training provisions into four models of binding force and compares them with the rules on decisions and liability. It argues that competence acquires legal force mainly through the latter, in particular through human oversight of high-risk systems, which is also backed by criminal law, and through the reservation of employment decisions to a natural person, read as a competence requirement. The civil-law relevance of the literacy obligation remains uncertain. A comparison with Germany and Spain measures the specificity of the Italian solution. The article then examines doubts as to the scope of the delegated powers and the relationship between trade secrets and the right to explanation.
Parole chiave
Intelligenza artificiale, alfabetizzazione, sorveglianza umana, decisione automatizzata, formazione.
Keywords
Artificial intelligence, AI literacy, human oversight, automated decision-making, training.
Sommario
1) Oggetto e metodo. 2) L’alfabetizzazione e la competenza di chi sorveglia nel diritto dell’Unione. 3) La legge n. 132 del 2025 e i decreti attuativi. 4) Le autorità di vigilanza e il presidio dell’articolo 4. 5) Quattro modelli di intensità precettiva. 6) Il “potere effettivo e autonomo” come requisito di competenza. 7) I limiti della riserva e la copertura di delega. 8) Segreto commerciale e diritto alla spiegazione. 9) Obiezioni e proposte. 10) Conclusioni.
1) Oggetto e metodo
Il diritto europeo fa del controllo umano un presidio dei sistemi di intelligenza artificiale (IA) più rischiosi. Quel controllo vale quanto la competenza di chi lo esercita. Il decreto legislativo 7 ottobre 2026, n. 179, si colloca su questo terreno. È stato pubblicato nella Gazzetta Ufficiale dell’8 ottobre 2026, e la sua entrata in vigore è fissata al 23 ottobre 2026[1]. Esso adegua l’ordinamento italiano al regolamento UE 2024/1689 sull’IA per due profili che il titolo tiene insieme, i poteri delle autorità nazionali e l’utilizzo dell’IA nella formazione. È il secondo decreto attuativo dell’articolo 24 della legge 23 settembre 2025, n. 132, che reca le deleghe al Governo in materia[2], e segue il decreto legislativo 9 settembre 2026, n. 160, dedicato all’attività di polizia e alla responsabilità civile e penale[3].
L’accostamento tra vigilanza e formazione consente una lettura unitaria dell’atto, che qui si ricostruisce intorno al rapporto tra competenza e controllo umano. Il regolamento europeo affida anche alle persone fisiche la sorveglianza dei sistemi ad alto rischio, a tutela della sicurezza e dei diritti fondamentali. L’articolo 26, paragrafo 2, dedicato agli obblighi dei deployer, cioè degli utilizzatori professionali dei sistemi, impone di affidarla a persone dotate della competenza e della formazione necessarie, cui vanno assicurati l’autorità e il sostegno necessari[4]. Il diritto dell’Unione presuppone dunque un nesso tra competenza e controllo umano, e la sua tenuta dipende anche dagli ordinamenti nazionali, ai quali spettano l’organizzazione dell’istruzione e la disciplina delle professioni e del lavoro. Nel luglio 2026 il legislatore europeo ha attenuato l’obbligo generale di alfabetizzazione in materia di IA[5].
Il contributo si chiede se, e in quale misura, il decreto renda effettivo quel nesso. Per effettività si intende qui l’esigibilità giuridica della competenza, che assume due forme. In senso forte la competenza è requisito della decisione o della sorveglianza umana, e la sua mancanza comporta una sanzione o l’invalidità dell’atto. In senso debole essa forma oggetto di un obbligo di formazione dal contenuto determinato, assistito dalla responsabilità disciplinare o da verifiche con effetti incentivanti, e vi rientra anche l’obbligo la cui violazione rileva nel giudizio di responsabilità civile. L’efficacia di fatto dei percorsi formativi esula invece dall’indagine, perché mancano dati che la misurino (par. 9). La domanda si articola in tre quesiti. Il primo riguarda la natura precettiva delle disposizioni formative del Capo III, e il secondo individua i luoghi nei quali la competenza diviene requisito giuridico. Il terzo misura i limiti della scelta legislativa sul piano delle fonti e delle risorse[6].
La tesi di chi scrive si articola in due proposizioni. La prima, di carattere descrittivo, è che il decreto persegua l’alfabetizzazione con un modello promozionale, cioè mediante facoltà e programmi più che mediante obblighi presidiati. Il decreto ne affida lo sviluppo ai circuiti preesistenti dell’istruzione e delle professioni, con intensità precettiva diseguale e a risorse invariate, e lascia privo di sanzione pecuniaria l’obbligo di alfabetizzazione degli operatori soggetti alla vigilanza nazionale. La seconda, di carattere ricostruttivo, è che la competenza di chi decide acquisti forza giuridica soprattutto attraverso le regole sulla decisione e sulla responsabilità, mentre le regole sulla formazione vi concorrono in misura minore. Rilevano anzitutto la sorveglianza dei sistemi ad alto rischio, presidiata dal 2 dicembre 2027 dalla sanzione europea e da una nuova fattispecie penale, e la riserva alla persona fisica delle decisioni sul rapporto di lavoro. Quest’ultima include un requisito di competenza secondo la lettura dell’articolo 41, sulla tutela del lavoratore nei processi decisionali assistiti, proposta in questo scritto. Gli strumenti processuali del decreto n. 160 del 2026 rafforzano poi la posizione del danneggiato, e il loro rilievo per l’obbligo di alfabetizzazione resta incerto. Ne discende un’indicazione per l’attuazione, che dovrebbe legare la competenza alla decisione e assicurare a chi decide le condizioni organizzative richieste dal diritto dell’Unione (par. 9)[7].
Il lavoro classifica le disposizioni formative in quattro modelli, costruiti sulla forza del precetto e sulla presenza di un circuito di verifica. Propone poi una lettura dell’articolo 41 secondo la quale il “potere effettivo e autonomo” della persona fisica include un requisito di competenza. La sostiene con l’interpretazione dell’articolo 22 del regolamento generale sulla protezione dei dati, relativo alle decisioni automatizzate, e con una teoria delle condizioni della sorveglianza efficace. Verifica infine alcune scelte del decreto rispetto alla legge di delega e al diritto dell’Unione, con un criterio unico (par. 7). Il confronto con gli ordinamenti tedesco e spagnolo è limitato al presidio dell’alfabetizzazione e alla decisione nel rapporto di lavoro, e serve a misurare la specificità della soluzione italiana[8].
Quanto al metodo, l’analisi distingue la ricognizione del dato positivo dall’interpretazione, che il testo segnala come lettura di chi scrive, e colloca le proposte nel par. 9. Per l’iter si utilizzano la relazione illustrativa dello schema e il parere del Garante per la protezione dei dati personali (par. 3). Quanto al lessico, il termine “competenza”, riferito alla persona, ne designa la capacità, mentre per la sfera di azione di un ufficio si usa il termine “attribuzioni”. La “sorveglianza umana” è la funzione disciplinata dagli articoli 14 e 26 del regolamento, dedicati rispettivamente alla progettazione dei sistemi ad alto rischio e agli obblighi dei deployer. Il “controllo umano” è la nozione più ampia, comprensiva di ogni intervento della persona nella decisione, e la “vigilanza” è l’attività delle autorità sugli operatori. L’analisi è condotta a prima lettura, in assenza di prassi applicativa e prima dell’adozione di gran parte degli atti attuativi. La disciplina europea dei sistemi ad alto rischio, cui il decreto rinvia, si applicherà dal 2 dicembre 2027 e, per i sistemi incorporati in prodotti soggetti alla normativa di armonizzazione dell’allegato I, sezione A, dal 2 agosto 2028[9].
2) L’alfabetizzazione e la competenza di chi sorveglia nel diritto dell’Unione
L’articolo 3, punto 56, del regolamento UE 2024/1689, che reca le definizioni, descrive l’alfabetizzazione in materia di IA come un insieme di capacità e conoscenze più ampio della sola abilità tecnica. Esse consentono agli operatori e alle persone interessate di procedere a una diffusione informata dei sistemi e di acquisire consapevolezza delle loro opportunità e dei loro rischi, compresi i danni che possono causare[10].
Nel testo originario l’articolo 4, dedicato all’alfabetizzazione, imponeva a fornitori e deployer di adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione del personale e di chiunque operasse per loro conto[11]. La disposizione si applicava dal 2 febbraio 2025. Il regolamento UE 2026/1744, entrato in vigore il 27 luglio 2026, l’ha sostituita[12]. Il nuovo paragrafo 1 stabilisce che fornitori e deployer “adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA” del personale e delle altre persone che operano per loro conto. Precisa poi che tale obbligo “non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona”. Il paragrafo 2 prevede che la Commissione e gli Stati membri “sostengono e agevolano gli sforzi dei fornitori e dei deployer di sistemi di IA, in particolare delle PMI”, cioè delle piccole e medie imprese. Il paragrafo 3 affida al consiglio per l’IA l’adozione di raccomandazioni, anche mediante obiettivi comuni[13].
Il considerando 8 del regolamento modificativo espone le ragioni della riforma dell’articolo 4. Un obbligo rigoroso di garantire un livello sufficiente è parso inadatto alla varietà degli operatori e fonte di oneri di conformità, specie per le imprese più piccole. L’alfabetizzazione “dovrebbe essere una priorità strategica, indipendentemente dagli obblighi normativi e dalle possibili sanzioni”. Il sostegno pubblico può consistere nell’offerta di formazione e nella diffusione di buone pratiche, anche alla luce dei quadri europei delle competenze. Il medesimo considerando colloca lo sviluppo dell’alfabetizzazione lungo un arco che muove “dall’istruzione e dalla formazione” e prosegue “con l’apprendimento permanente”[14].
La riforma incide sull’analisi sotto tre profili. L’obbligo degli operatori permane e muta contenuto, perché alla garanzia di un livello subentra il dovere di predisporre misure di sostegno, la cui adeguatezza si misura sul contesto. Compare poi un compito di sostegno degli Stati membri, assente nel testo originario, e resta fermo, infine, il dovere di presidio. L’articolo 99, sulle sanzioni, esclude l’articolo 4 dalle disposizioni la cui violazione comporta una sanzione pecuniaria determinata dal regolamento. Il suo paragrafo 1 impone però agli Stati membri di stabilire sanzioni e altre misure di esecuzione per le violazioni commesse dagli operatori. Tali misure possono includere anche “avvertimenti e misure non pecuniarie”, e le sanzioni devono essere effettive e dissuasive, in misura proporzionata alla violazione[15]. Il presidio della violazione dell’articolo 4 è dunque dovuto, e la scelta del suo tipo spetta agli Stati membri. Fa eccezione il perimetro dell’ufficio per l’IA, istituito presso la Commissione. L’articolo 75, paragrafo 1, sulla vigilanza del mercato, gli conferisce in via esclusiva il controllo dei sistemi basati su modelli di IA per finalità generali, quando modello e sistema provengono dallo stesso fornitore o da fornitori della medesima impresa. Le sue attribuzioni si estendono ai sistemi integrati nelle piattaforme e nei motori di ricerca online di dimensioni molto grandi. Per i relativi fornitori l’articolo 75 quater, dedicato alle decisioni di inosservanza e alle penalità di mora, assoggetta alle sanzioni pecuniarie dell’articolo 99, paragrafo 4, la violazione di qualsiasi disposizione applicabile, comprese quelle estranee all’elenco di quel paragrafo, tra le quali l’articolo 4. Per gli altri operatori le indicazioni della Commissione attribuiscono la vigilanza sull’articolo 4 alle autorità nazionali di vigilanza del mercato ed escludono la necessità di attestati e di un livello determinato di alfabetizzazione[16].
La competenza richiesta a chi sorveglia i sistemi ad alto rischio segue un regime diverso, che il regolamento modificativo ha lasciato intatto nel contenuto e ha differito nel tempo. L’articolo 14, sulla sorveglianza umana, esige che tali sistemi siano progettati per una supervisione efficace. Le persone incaricate devono essere poste in condizione, ove opportuno e proporzionato, di comprenderne capacità e limiti e di restare consapevoli della tendenza a fare eccessivo affidamento sull’output, cioè della “distorsione dell’automazione”. Devono poi saper interpretare correttamente l’output e poter decidere di ignorarlo o di rinunciare al sistema[17]. Devono infine poter intervenire sul suo funzionamento o arrestarlo in condizioni di sicurezza. L’articolo 26, paragrafo 2, completa la disciplina sul versante dell’utilizzatore e impone ai deployer di affidare la sorveglianza a persone dotate dei requisiti già ricordati (par. 1). La violazione degli obblighi dei deployer rientra tra quelle sanzionate dal regolamento[18]. Questi obblighi appartengono al capo III, sezioni 2 e 3, dedicato ai sistemi ad alto rischio. Si applicheranno dal 2 dicembre 2027 ai sistemi dell’allegato III, che elenca gli ambiti di impiego ad alto rischio, e dal 2 agosto 2028 ai sistemi incorporati in prodotti soggetti alla normativa di armonizzazione dell’allegato I, sezione A[19].
Ne risulta un assetto a due livelli. Il primo è un’alfabetizzazione generale, dovuta da tutti gli operatori come obbligo di mezzi a bassa intensità, il cui presidio spetta di regola agli Stati membri. Il secondo è una competenza qualificata, dovuta per la sorveglianza dei sistemi ad alto rischio e assistita da una sanzione pecuniaria determinata dal regolamento, che opererà dal dicembre 2027. Il decreto n. 179 del 2026 interviene nello spazio che separa i due livelli[20].
Su tale spazio grava una riserva formulata in dottrina, con cui la tesi si misura nel par. 9. Il sistema automatico, inserito in un processo decisionale umano, tende nel tempo a “catturare la decisione stessa”[21]. Per l’amministrazione si è rilevato il rischio che il funzionario si ancori alla proposta della macchina e manchi delle competenze necessarie a verificarla. Si è parlato in proposito di una “illusione di controllo”, nella quale il decisore apparente svolge funzioni soltanto confermative[22]. Sulla base della letteratura empirica si è sostenuto che le persone falliscono nelle funzioni di controllo loro richieste. Le politiche fondate sulla sorveglianza umana rischierebbero così di legittimare sistemi difettosi e di spostare la responsabilità sugli operatori[23]. Altri, muovendo dalle stesse evidenze, considerano aperta la questione e insistono sulle condizioni istituzionali del controllo[24].
Una proposta teorica recente offre un criterio per ordinare il dibattito. Una persona esercita una sorveglianza efficace quando dispone del potere causale di incidere sull’esito e di un accesso conoscitivo sufficiente alla situazione in cui decide. Le occorrono poi la capacità di dare seguito alla scelta compiuta e intenzioni coerenti con il proprio ruolo. La competenza è strettamente legata a tali condizioni, e i suoi autori riconducono l’articolo 26, paragrafo 2, all’accesso conoscitivo e al potere causale. Il criterio chiarisce il rapporto tra due requisiti che il regolamento tiene distinti. L’autorità assicura a chi sorveglia il potere di incidere sulla decisione, e la competenza gli assicura la conoscenza necessaria a esercitarlo[25].
3) La legge n. 132 del 2025 e i decreti attuativi
La legge 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025, ha dettato i principi nazionali della materia e ha conferito al Governo le deleghe per l’adeguamento al regolamento europeo[26]. Tra i principi generali rileva il canone dell’articolo 3, comma 3, secondo cui sistemi e modelli sono sviluppati e applicati nel rispetto dell’autonomia e del potere decisionale dell’uomo, assicurando la sorveglianza e l’intervento umano. Rileva inoltre la clausola del comma 5, per la quale la legge “non produce nuovi obblighi rispetto a quelli previsti dal regolamento (UE) 2024/1689 per i sistemi di intelligenza artificiale e per i modelli di intelligenza artificiale per finalità generali”[27].
Le disposizioni di settore declinano il canone in più riserve di decisione umana. Nell’attività giudiziaria l’articolo 15 riserva sempre al magistrato l’interpretazione e l’applicazione della legge. Al magistrato spettano anche la valutazione dei fatti e delle prove e l’adozione dei provvedimenti[28]. Nelle pubbliche amministrazioni l’articolo 14 assegna all’IA una funzione strumentale e di supporto all’attività provvedimentale, e la persona resta l’unica responsabile dei provvedimenti e dei procedimenti. Le amministrazioni adottano misure tecniche e organizzative per un utilizzo responsabile e vi affiancano misure formative volte a sviluppare le capacità trasversali degli utilizzatori, con le risorse disponibili a legislazione vigente[29]. Nelle professioni intellettuali l’articolo 13 limita l’uso dei sistemi alle attività strumentali e di supporto, con prevalenza del lavoro intellettuale. Il professionista comunica al cliente le informazioni sui sistemi utilizzati con un linguaggio chiaro e semplice, che deve risultare anche esaustivo[30]. Per il lavoro l’articolo 11 esige un impiego sicuro e trasparente dell’IA, rispettoso della dignità umana, e rinvia alla disciplina sulle condizioni di lavoro per gli obblighi di informazione verso il lavoratore[31]. L’articolo 12 affida infine a un Osservatorio istituito presso il Ministero del lavoro e delle politiche sociali anche la promozione della formazione di lavoratori e datori di lavoro[32].
Queste disposizioni presuppongono la competenza del decisore e ne rimettono la costruzione alle deleghe. L’articolo 24 delega il Governo ad adottare, entro dodici mesi, uno o più decreti legislativi di adeguamento al regolamento. Sul versante della vigilanza i criteri direttivi riguardano i poteri delle autorità designate e l’adeguamento del quadro sanzionatorio, “ivi compresa la definizione delle misure di esecuzione applicabili”. Consentono altresì le modifiche della normativa vigente “necessarie al corretto e integrale adeguamento”. Sul versante formativo prevedono percorsi di alfabetizzazione sull’utilizzo dei sistemi e percorsi analoghi a cura degli ordini professionali e delle associazioni. Per i professionisti contemplano la possibilità di un equo compenso modulabile sulla base delle responsabilità e dei rischi connessi all’uso dei sistemi. Per la scuola prevedono il potenziamento nei curricoli delle competenze legate alle discipline STEM (Science, Technology, Engineering and Mathematics, discipline scientifiche e tecnologiche) e delle competenze artistiche. Nei corsi universitari e nelle istituzioni AFAM (Alta formazione artistica, musicale e coreutica) prevedono attività formative per la comprensione tecnica e l’utilizzo consapevole delle tecnologie. Lo stesso criterio si estende agli ITS Academy (istituti tecnologici superiori). Per tutti questi percorsi esso richiede anche la corretta interpretazione di ciò che i sistemi producono, dalle previsioni alle decisioni. Un ulteriore criterio valorizza la ricerca e il trasferimento tecnologico[33]. La delega formativa figurava già nel disegno di legge governativo, che prevedeva percorsi di formazione e alfabetizzazione presso gli ordini professionali e all’interno dei corsi di studio[34]. L’articolo 16 contiene una delega distinta, rubricata “Delega al Governo in materia di dati, algoritmi e metodi matematici per l’addestramento di sistemi di intelligenza artificiale”, con criteri e procedimento propri[35].
La delega dell’articolo 24 ha trovato un primo esercizio nel decreto legislativo n. 160 del 2026, entrato in vigore il 30 settembre 2026. L’articolo 3 di quel decreto, sui sistemi impiegati dalle Forze di polizia, esige una “revisione umana qualificata” dei risultati delle elaborazioni automatiche prima del loro impiego in atti incidenti sulla sfera giuridica degli interessati. Per i sistemi ad alto rischio impone altresì una sorveglianza umana effettiva e conforme all’articolo 14 del regolamento, affidata a personale che possieda “le necessarie competenze e formazione”[36]. L’articolo 6 prevede corsi specifici presso gli istituti di formazione delle Forze di polizia. Tali corsi assicurano, “in attuazione dell’articolo 4 del regolamento IA”, cinque risultati formativi minimi. Tra questi figurano la conoscenza dei limiti e degli errori dei sistemi, compresi i bias, e la capacità di interpretarne criticamente gli output. Completa il quadro la consapevolezza del ruolo della “sorveglianza umana qualificata”. Il comma 3 impone di assicurare una parte di quei risultati nei corsi dedicati ai sistemi ad alto rischio in uso, e lega così la formazione alla sorveglianza[37].
Il decreto n. 160 del 2026 ha esercitato anche la delega penale dell’articolo 24, comma 3, il cui criterio direttivo chiedeva di tener conto del “livello effettivo di controllo” dei sistemi da parte dell’agente. L’articolo 437-bis del codice penale, introdotto dall’articolo 12, punisce con la reclusione da uno a cinque anni chi omette di adottare le misure di sicurezza dei sistemi ad alto rischio o le misure di sorveglianza umana, quando dall’omissione deriva pericolo per la vita o per l’incolumità pubblica o individuale. Se il fatto è commesso per colpa grave la pena è ridotta. La stessa disposizione punisce con le pene del primo comma l’utilizzatore professionale di sistemi ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana. La pena è più grave se dal fatto deriva un pericolo per la sicurezza dello Stato, e l’ente risponde del delitto ai sensi del decreto legislativo n. 231 del 2001[38].
Lo stesso decreto introduce strumenti processuali per il risarcimento dei danni cagionati nell’utilizzo di sistemi di IA. Nelle relative azioni il giudice può ordinare l’esibizione degli elementi di prova sul funzionamento del sistema, tra i quali rientrano le informazioni sui parametri e sulle modalità della sorveglianza umana. Se la parte disattende l’ordine in modo ingiustificato, il giudice può desumerne argomenti di prova. Per la documentazione tipizzata, valutato ogni altro elemento, egli ritiene ammessi i fatti allegati dall’istante[39]. Quando il danno deriva dalla violazione di obblighi previsti dal regolamento, l’articolo 18 presume il nesso di causalità tra la violazione e il danno, salva la prova contraria. L’articolo 19 precisa che la conformità al regolamento, anche se certificata, lascia aperta la responsabilità del convenuto[40]. La formula dell’articolo 18 presuppone tuttavia che il danno derivi dalla violazione, e lascia incerto ciò che il danneggiato deve provare. Il criterio di delega chiedeva poi di regolare l’onere della prova tenendo conto della classificazione dei sistemi e dei relativi obblighi. Ad avviso di chi scrive la presunzione opera quindi con maggiore sicurezza per gli obblighi a contenuto determinato, come quello di affidare la sorveglianza a persone competenti[41].
Il Consiglio dei ministri ha deliberato lo schema del decreto n. 179 in via preliminare il 10 giugno 2026. Lo schema è stato trasmesso alle Camere all’inizio di luglio come Atto del Governo n. 421 e contava 51 articoli in cinque capi[42]. Il 14 luglio 2026 il Garante per la protezione dei dati personali ha reso parere favorevole con quattro condizioni e un’osservazione[43]. La deliberazione definitiva risale al 4 agosto 2026. Il decreto è stato emanato il 7 ottobre 2026, tre giorni prima della scadenza del termine annuale di delega, e pubblicato il giorno successivo[44]. Lo schema è stato deliberato durante l’iter del regolamento modificativo, mentre il testo definitivo segue la sua entrata in vigore. Una formula del decreto sembra riflettere il testo originario dell’articolo 4 europeo (par. 5). Il testo definitivo conta 54 articoli e accoglie tre delle condizioni poste dal Garante. Esse riguardano i poteri di indirizzo dell’Autorità e la procedura delle sanzioni da essa irrogate. Riguardano poi la sua partecipazione alle riunioni dell’organo di gestione dello spazio di sperimentazione[45]. Il testo menziona anche le valutazioni delle prestazioni tra le decisioni riservate alla persona fisica, in linea con l’osservazione con cui il Garante chiedeva di estendere la riserva alle decisioni di carattere valutativo[46].
La struttura riflette il titolo. Il Capo I reca le definizioni, e il Capo II disciplina i poteri delle autorità negli articoli da 2 a 35, ripartiti in otto sezioni. Il Capo III, negli articoli da 36 a 51, reca la rubrica “Intelligenza artificiale per i percorsi formativi, le professioni, il lavoro, la sanità e la pubblica amministrazione”. Il Capo IV, negli articoli 52 e 53, tutela come segreti commerciali le informazioni aziendali relative all’addestramento dei sistemi, e il Capo V contiene, all’articolo 54, la clausola di invarianza finanziaria. L’articolo 2 definisce l’oggetto del decreto con riguardo ai poteri delle autorità e al coordinamento con la normativa settoriale, e lascia fuori il Capo III e il Capo IV, sicché l’unità dell’atto è opera dell’interprete[47]. Il rinvio alla disciplina secondaria ne condiziona la lettura. Secondo un computo di chi scrive, almeno venticinque previsioni rimettono l’attuazione ad atti successivi di varia natura, con termini che, ove fissati, vanno da novanta giorni a dodici mesi dall’entrata in vigore, e dunque dal 21 gennaio al 23 ottobre 2027[48]. Il piano sull’emergenza educativa dispone di 100 milioni di euro a valere su un programma nazionale, mentre per ogni altra attività le amministrazioni provvedono con le risorse disponibili a legislazione vigente[49].
4) Le autorità di vigilanza e il presidio dell’articolo 4
Il decreto conferma le designazioni della legge n. 132 del 2025. L’articolo 20 di quella legge, sulle autorità nazionali per l’IA, individua nell’AgID (Agenzia per l’Italia digitale) l’autorità di notifica. Individua poi nell’ACN (Agenzia per la cybersicurezza nazionale) l’autorità di vigilanza del mercato e il punto di contatto unico, facendo salvo il ruolo delle autorità del settore finanziario sui sistemi ad alto rischio dei rispettivi ambiti. L’articolo 5 del decreto, sulle autorità di vigilanza del mercato, aggiunge il Garante per la protezione dei dati personali, che opera nei limiti dell’articolo 74, paragrafo 8, del regolamento, relativo alla vigilanza delle autorità di protezione dei dati su determinati sistemi ad alto rischio[50]. Il Comitato di coordinamento istituito presso la Presidenza del Consiglio dei ministri può fornire indirizzi unitari per la stipula degli accordi tra amministrazioni e per l’adozione degli atti di indirizzo[51].
Il nesso tra competenza ed esercizio della funzione vale anche per chi vigila sugli operatori. L’articolo 70, paragrafo 3, del regolamento, sulle autorità nazionali competenti, impone agli Stati membri di assicurare risorse adeguate e, in particolare, personale capace di comprendere a fondo le tecnologie di IA e il calcolo dei dati che esse impiegano. Gli Stati membri valutano e aggiornano ogni anno, se necessario, i requisiti di competenze e risorse[52]. La clausola di invarianza dell’articolo 54 si concilia con difficoltà con questa previsione. Il Garante ha giudicato insufficienti le proprie risorse rispetto ai nuovi compiti[53]. L’articolo 25, sulla devoluzione dei proventi delle sanzioni, li destina in via prioritaria alle funzioni delle due agenzie. La misura attenua il problema in parte e lega il finanziamento all’esito dell’attività repressiva[54]. I profili relativi all’indipendenza delle autorità designate sono estranei a questa indagine[55].
Lo spazio di sperimentazione normativa serve anche la competenza del regolatore. L’articolo 26 del decreto istituisce lo Spazio di sperimentazione italiano per l’IA, previsto dall’articolo 57 del regolamento, sotto la vigilanza diretta di AgID e ACN[56]. Il Gruppo operativo che lo gestisce coinvolge università o centri di ricerca per specifiche esigenze di valutazione tecnica, e l’articolo 45 consente l’assegnazione temporanea di docenti e ricercatori alle autorità[57]. La letteratura descrive lo spazio anzitutto come un esperimento per le autorità, che vi apprendono operando e che spesso dispongono al proprio interno di competenze insufficienti[58]. L’amministrazione vi acquisisce una capacità conoscitiva propria, necessaria nei settori a elevata complessità tecnica[59]. La sua efficacia dipenderà dalle risorse, poiché la partecipazione al Gruppo operativo è gratuita[60].
L’articolo 23 del decreto, sulle sanzioni amministrative pecuniarie, riproduce la scala del regolamento. La violazione dei divieti comporta una sanzione fino a 35 milioni di euro o, se superiore, fino al 7 % del fatturato mondiale annuo. La violazione degli obblighi degli operatori comporta una sanzione fino a 15 milioni o al 3 %. La fornitura di informazioni scorrette agli organismi notificati o alle autorità comporta una sanzione fino a 7,5 milioni o all’1 %[61]. Dove il regolamento lascia indeterminata la fascia, l’articolo 99, paragrafo 1, rimette agli Stati membri la scelta del tipo di presidio. Il legislatore delegato ha incluso nella seconda fascia gli obblighi di segnalazione degli incidenti gravi, previsti dall’articolo 73 del regolamento. Vi ha incluso anche gli obblighi relativi alla procedura dell’articolo 80, che riguarda i sistemi classificati dal fornitore come estranei all’alto rischio. Ha poi introdotto una fascia autonoma, fino a un milione di euro o allo 0,5 % del fatturato, per la valutazione d’impatto sui diritti fondamentali dell’articolo 27 e per il diritto alla spiegazione dell’articolo 86[62].
L’articolo 23 tace sull’articolo 4 del regolamento, la cui violazione dispone tuttavia di un presidio. L’articolo 19, comma 2, sui principi generali del sistema sanzionatorio, dichiara di attuare l’articolo 99, paragrafo 1, e include tra i poteri sanzionatori gli avvertimenti e le misure dell’articolo 22, “applicabili in caso di violazione del regolamento IA”. L’articolo 22, rubricato “Misure sanzionatorie non pecuniarie”, si applica alle violazioni di scarsa offensività o pericolosità “e in linea con i criteri richiamati all’articolo 23, comma 6”. L’autorità può ordinare di eliminare l’infrazione, anche indicando le misure da adottare, e, se l’infrazione è cessata, può disporne la dichiarazione pubblica. Le misure operano in alternativa alla sanzione pecuniaria, e l’inosservanza dell’ordine comporta le sanzioni dell’articolo 23, aumentate rispetto all’importo previsto “per la violazione originaria”. Gli avvertimenti restano privi di una disciplina propria[63].
L’interpretazione conforme all’articolo 99, paragrafo 1, che esige un presidio per ogni violazione commessa dagli operatori, spinge a estendere l’articolo 22 all’obbligo di alfabetizzazione. La sostengono la formula generale dell’articolo 19, comma 2, e l’apertura dell’articolo 22 alle violazioni “del regolamento IA”. L’estensione incontra però due limiti. Le misure dell’articolo 22 operano “in alternativa” alle sanzioni pecuniarie dell’articolo 23, che per l’articolo 4 mancano. La dichiarazione pubblica è inoltre qualificata come sanzione e soggiace al principio di legalità della legge n. 689 del 1981, che l’articolo 24, comma 10, richiama[64]. Ad avviso di chi scrive l’estensione regge soltanto per l’ordine di eliminare l’infrazione, che ha natura correttiva. L’autorità potrà dunque ordinare a fornitori e deployer di adottare le misure di sostegno richieste dall’articolo 4. L’inosservanza dell’ordine resterebbe però priva della sanzione prevista dall’articolo 22, comma 2, perché manca un importo cui commisurare l’aumento. Le misure dell’articolo 22 presuppongono infine una violazione di scarsa offensività, e le violazioni più gravi dell’articolo 4 ne resterebbero escluse, con esito paradossale[65].
È incerto anche l’impiego, per un obbligo organizzativo come quello dell’articolo 4, dei poteri che gli articoli 15 e 16 del decreto, sulla vigilanza esercitata dall’ACN, attribuiscono all’Agenzia mediante rinvio agli articoli 14 e 16 del regolamento UE 2019/1020, sulla vigilanza del mercato e sulla conformità dei prodotti[66]. Nel perimetro nazionale il presidio amministrativo dell’articolo 4 è dunque debole, e la responsabilità civile lo integra in misura incerta. La presunzione dell’articolo 18 del decreto n. 160 del 2026 si riferisce alla violazione di qualsiasi obbligo del regolamento (par. 3). Dopo la riforma l’articolo 4 chiede misure di sostegno e “non impone” un livello specifico di alfabetizzazione, sicché la sua violazione si presta a un accertamento difficile. Il presidio civile, in ogni caso, opera soltanto dopo il danno e lascia scoperta la prevenzione[67]. La mancata previsione di una sanzione pecuniaria costituisce comunque una scelta nazionale, compiuta nel margine che il regolamento lascia agli Stati membri. Il nuovo testo dell’articolo 99, paragrafo 1, menziona infatti le sanzioni pecuniarie tra le misure possibili, accanto ad “avvertimenti e misure non pecuniarie”[68].
La legge tedesca di attuazione, approvata dal Bundestag prima dell’adozione del regolamento modificativo, ha compiuto una scelta convergente. Essa conferisce alle autorità di vigilanza del mercato i poteri previsti dall’articolo 14 del regolamento UE 2019/1020. Prevede sanzioni nazionali fino a 50.000 euro per alcune violazioni, tra le quali quelle relative alla valutazione d’impatto sui diritti fondamentali e al diritto alla spiegazione, e lascia l’articolo 4 estraneo a tali sanzioni. Le sue sanzioni rinviano al regolamento nella versione originaria del 13 giugno 2024[69]. La Bundesnetzagentur, autorità federale di vigilanza del mercato, esclude nelle proprie indicazioni la necessità di certificazioni e di controlli preventivi periodici. La stessa autorità qualifica la carenza di alfabetizzazione come possibile violazione di un dovere di diligenza, in particolare quando ne deriva un danno. In entrambi gli ordinamenti l’alfabetizzazione è affidata ai poteri generali dell’autorità più che alla sanzione pecuniaria. La scelta italiana trova dunque riscontro almeno nell’ordinamento tedesco, e il confronto ne conferma il limite comune, quello di un presidio che interviene soprattutto dopo il danno[70].
La competenza qualificata dispone invece di una sanzione pecuniaria dove è requisito della sorveglianza. L’articolo 23, comma 2, richiama gli obblighi dei deployer e riproduce così l’articolo 99, paragrafo 4, lettera e), del regolamento. Il richiamo comprende il dovere di affidare la sorveglianza umana a persone competenti e formate, che sarà sanzionabile dal 2 dicembre 2027 e, per i sistemi incorporati in prodotti soggetti all’allegato I, sezione A, dal 2 agosto 2028. Il capo XII del regolamento, sulle sanzioni, si applica dal 2 agosto 2025, e la disciplina nazionale giunge oltre un anno dopo. Fino all’applicazione degli obblighi relativi all’alto rischio l’apparato sanzionatorio opererà soprattutto per i divieti e per gli obblighi di trasparenza[71].
La sorveglianza dispone anche di un presidio penale. L’articolo 437-bis del codice penale punisce l’utilizzatore professionale che omette intenzionalmente di adottare misure di sorveglianza umana, quando ne deriva pericolo per la vita o per l’incolumità pubblica o individuale (par. 3). Il primo comma, riferito a chiunque ometta misure di sorveglianza, punisce anche la colpa grave. La previsione dedicata all’utilizzatore professionale suggerisce però che per il deployer rilevi soltanto l’omissione intenzionale, e la questione attende la giurisprudenza. Il criterio di delega richiedeva poi un pericolo concreto, e la fattispecie va letta in conformità. Ad avviso di chi scrive l’affidamento consapevole della sorveglianza a persone del tutto prive della competenza necessaria può integrare l’omissione, perché lascia la sorveglianza priva di effettività. Il principio di tassatività ne impone però una lettura restrittiva, limitata ai casi di incompetenza manifesta. La fattispecie omissiva presuppone infine l’obbligo europeo di sorveglianza, che per i sistemi dell’allegato III decorre dal 2 dicembre 2027. La differenza di trattamento conferma l’assetto a due livelli. Il deployer che affida la sorveglianza di un sistema ad alto rischio a persone prive della competenza necessaria incorre in una sanzione pecuniaria e, nei casi più gravi, in responsabilità penale. Fuori dal perimetro dell’ufficio per l’IA, la mancata alfabetizzazione di chi usa un sistema qualsiasi è affidata a presidi deboli o successivi al danno[72].
5) Quattro modelli di intensità precettiva
Il Capo III accompagna la persona dal primo ciclo di istruzione alla formazione continua, lungo un arco analogo a quello descritto dal considerando 8 del regolamento modificativo. Le sue disposizioni hanno forza diversa e possono essere ordinate in quattro modelli, costruiti su due variabili. La prima è la forza del precetto, che cresce dall’attribuzione di una facoltà fino all’obbligo di assicurare contenuti formativi determinati. La seconda riguarda la verifica e le conseguenze dell’inadempimento. I modelli descrivono la tecnica prevalente in ciascun segmento, e nello stesso articolo possono convivere commi riconducibili a modelli diversi. Il terzo e il quarto modello condividono la tipizzazione di contenuti minimi e si distinguono per le conseguenze dell’inadempimento. Nel terzo esse si esauriscono nel monitoraggio e negli incentivi, come accade per università e istituzioni AFAM, o mancano del tutto, come accade per la giustizia e per le Forze di polizia. Nel quarto l’obbligo si innesta su un ordinamento di settore dotato di poteri disciplinari o sanzionatori. La classificazione comprende anche disposizioni di alfabetizzazione generale, estranee alla competenza di chi decide. Esse rilevano per la tesi in due modi. Formano il bacino di conoscenze cui la competenza qualificata attinge, e la loro intensità precettiva misura quanto il decreto si affidi a strumenti promozionali. La Tabella 1 offre il quadro e include per completezza la disposizione omologa del decreto n. 160 del 2026[73].
Tabella 1 – Le disposizioni formative del d.lgs. n. 179 del 2026 e dell’art. 6 del d.lgs. n. 160 del 2026 per modello di intensità precettiva (elaborazione di chi scrive)
| Modello | Disposizioni | Destinatari | Tecnica normativa | Verifica o conseguenze |
| Facoltizzante | Art. 36, commi 1 e 2; art. 38, commi 6 e 8; art. 39, comma 3; art. 43, comma 2 | Istituzioni scolastiche, Uffici scolastici regionali, regioni, Centri provinciali per l’istruzione degli adulti, ordini e associazioni | Attribuzione di facoltà (“possono promuovere”, “possono favorire”, “possono stipulare”) | Assente |
| Programmatorio | Art. 36, commi da 3 a 6; art. 37; art. 38, commi da 1 a 4; art. 39, commi 1, 2 e 4; art. 40; art. 43, comma 1; art. 44, comma 8; art. 50 | Ministeri dell’istruzione e del lavoro; Ministro per la pubblica amministrazione; scuole; Centri provinciali per l’istruzione degli adulti; università, enti pubblici di ricerca e istituzioni AFAM; ITS Academy; Comitato per l’educazione finanziaria | Obblighi di adottare atti, piani o iniziative e di promuovere percorsi | Novanta giorni per gli atti degli artt. 37 e 38; inerzia priva di conseguenze; risultati privi di verifica; dotazione per il solo art. 37 |
| Contenuti minimi | Art. 44, commi da 1 a 7; art. 46; art. 6 d.lgs. n. 160 del 2026 | Università e istituzioni AFAM; amministrazione della giustizia; Forze di polizia | Contenuti o risultati formativi tipizzati (“assicurano”, “comprendono”) | Monitoraggio annuale e indicatori per il solo art. 44 |
| Obbligo di settore | Art. 42, comma 3; art. 47; art. 51 | Datori di lavoro; ordini e consigli nazionali; forme aggregative delle associazioni professionali; Commissione nazionale per la formazione continua; Agenzia nazionale per i servizi sanitari regionali | Obblighi, anche con requisiti minimi, innestati su ordinamenti di settore; sei mesi per l’adeguamento (artt. 47 e 51) | Controlli degli ordinamenti professionali e dell’educazione continua in medicina; per la sicurezza sul lavoro, secondo la lettura proposta nel testo; per le associazioni, codici di condotta con sanzioni associative e conoscibilità dei percorsi |
Il primo modello prevale nella disciplina rivolta agli studenti, per i quali il decreto ricorre a norme che attribuiscono facoltà. L’articolo 36, sulla formazione degli studenti, prevede che le istituzioni scolastiche “possono promuovere” attività formative sull’IA sin dal primo ciclo, in coerenza con le linee guida per l’educazione civica[74]. L’articolo 38, sulla formazione dei docenti e degli studenti, consente agli Uffici scolastici regionali di promuovere comitati tecnico-etici territoriali, che operano attraverso reti di scuole e promuovono tra l’altro un monitoraggio sull’impiego dell’IA nella didattica[75]. Le regioni, a loro volta, “possono favorire” l’ampliamento dell’offerta di istruzione e formazione professionale[76]. La tecnica trova una spiegazione parziale nel riparto delle competenze legislative, che riserva allo Stato le norme generali sull’istruzione e configura l’istruzione come materia concorrente, fatta salva l’autonomia delle istituzioni scolastiche e con esclusione dell’istruzione e della formazione professionale, rimessa alle regioni[77]. Entro questi limiti il legislatore delegato ha agito sugli strumenti che l’ordinamento scolastico già conosce. L’articolo 36 impegna il Ministero dell’istruzione e del merito ad aggiornare le linee guida per le discipline STEM e per l’orientamento, e dispone infine l’aggiornamento delle indicazioni nazionali dei licei anche per introdurre l’IA nei curricoli[78].
La disciplina rivolta ai docenti è più articolata. L’articolo 38 prevede che la formazione del personale docente, in ingresso e in servizio, sia erogata secondo criteri stabiliti con decreto ministeriale da adottare entro novanta giorni, cioè entro il 21 gennaio 2027. La formazione mira alla conoscenza dei sistemi e delle tecniche per mitigarne rischi e distorsioni, e si estende alle competenze digitali avanzate e alla progettazione di attività didattiche innovative. Lo stesso decreto ministeriale definirà gli interventi per gli studenti, dei quali l’articolo 38 indica le finalità, e fino ad allora si applicano le linee guida ministeriali del 2025[79]. L’articolo 37, sull’emergenza educativa, prevede un piano di formazione dei docenti contro l’uso eccessivo e inconsapevole dei social media, che mira anche a prevenire le dipendenze derivanti dalle piattaforme digitali e dagli “ambienti relazionali basati su sistemi di intelligenza artificiale”. È l’unica misura del decreto assistita da una dotazione[80].
L’assetto si presta a due rilievi critici, e il primo riguarda i contenuti. La scuola riceve finalità generali in luogo dei contenuti minimi assistiti da un obbligo di risultato che il decreto prevede per l’università. Gli interventi per gli studenti dipendono da un decreto ministeriale di cui il legislatore delegato ha fissato soltanto le finalità e, per il resto, dall’iniziativa delle singole scuole, mentre il monitoraggio spetta a comitati territoriali la cui istituzione è facoltativa[81]. Il decreto riduce così solo in parte il rischio, segnalato in dottrina, che le linee guida ministeriali rimangano una carta di principi e producano sperimentazioni disomogenee, legate alle risorse disponibili[82].
Il secondo rilievo riguarda la posizione della scuola, che il decreto considera luogo di alfabetizzazione più che deployer. L’allegato III del regolamento qualifica invece ad alto rischio i sistemi destinati a determinare l’accesso agli istituti o a valutare i risultati dell’apprendimento. L’articolo 5 del regolamento, sulle pratiche vietate, vieta l’uso di sistemi che inferiscono le emozioni negli istituti di istruzione, salvo che per motivi medici o di sicurezza. L’articolo 27 impone la valutazione d’impatto sui diritti fondamentali ai deployer che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici[83]. Il decreto disciplina la gestione delle piattaforme soltanto per ribadire l’autonomia delle scuole e per affidare ai comitati, ove istituiti, compiti di protezione dei dati[84]. La formazione dei dirigenti scolastici e del personale amministrativo, cui spetterà l’adempimento degli obblighi dei deployer, è affidata a regole generali. Vi provvedono l’obbligo che l’articolo 4 del regolamento pone alla scuola in quanto deployer e il quadro minimo di competenze del personale pubblico previsto dall’articolo 40[85].
Il secondo modello, programmatorio, assegna ad amministrazioni e istituzioni determinate compiti di indirizzo e di promozione, e lascia l’inerzia priva di conseguenze e il risultato privo di verifica. L’articolo 39, sull’alfabetizzazione degli adulti, prevede che i CPIA (Centri provinciali per l’istruzione degli adulti) “favoriscono” percorsi sull’impiego dei sistemi, con l’accertamento delle competenze in ingresso e il riconoscimento di quelle acquisite[86]. L’articolo 44, comma 8, chiede agli ITS Academy di promuovere percorsi per la corretta interpretazione dei risultati prodotti dai sistemi, nel rispetto delle competenze regionali. Il decreto ne lascia indeterminati i contenuti e li esclude dal monitoraggio[87]. L’articolo 50, sulle iniziative nel settore finanziario, affida al Comitato per l’educazione finanziaria misure di sensibilizzazione sull’uso dell’IA[88].
Per il personale pubblico l’articolo 40, sui sistemi di IA nelle pubbliche amministrazioni, affida al Ministro per la pubblica amministrazione l’indirizzo delle politiche di reclutamento e di formazione dei dipendenti. Il Ministro, sentite AgID e ACN e previa intesa in Conferenza Stato-Regioni, definisce con linee guida “il quadro minimo di competenze sull’intelligenza artificiale necessarie al personale dipendente pubblico”[89]. La giurisprudenza amministrativa aveva già affermato, per le decisioni algoritmiche, la necessità di un contributo umano capace di controllare la decisione automatica[90]. La dottrina aveva tuttavia dubitato che il funzionario disponesse delle competenze necessarie[91]. Più di recente ha osservato che la formazione richiede investimenti concreti, difficilmente compatibili con clausole che vincolano le amministrazioni alle risorse disponibili[92]. Il quadro minimo è lo strumento con cui il decreto prova a colmare questo scarto, e la sua adozione è priva di termine. Nella lettura di chi scrive, una volta adottato, esso opererà come parametro della diligenza organizzativa dell’amministrazione che impiega sistemi di IA. Per i sistemi ad alto rischio potrà valere al più come indice dell’adempimento dell’obbligo europeo di affidare la sorveglianza a personale competente. Il contenuto di quell’obbligo dipende infatti dal regolamento, la cui interpretazione deve restare uniforme[93].
Il terzo modello riguarda anzitutto la formazione superiore, per la quale il decreto abbandona la tecnica facoltizzante. L’articolo 44, sull’integrazione di attività formative nell’istruzione superiore, prevede che università e istituzioni AFAM promuovano attività per la comprensione tecnica dei sistemi e per la corretta interpretazione dei loro risultati. La formazione integra i profili tecnici e giuridici con quelli etici e di tutela dei diritti fondamentali. Nei corsi a prevalente profilo scientifico e medico vanno integrati i profili etici e giuridici. Negli altri corsi e nelle istituzioni AFAM vanno integrati i profili tecnici e funzionali[94]. Tali attività “assicurano” sei contenuti minimi, in misura proporzionata alla tipologia di corso. Le lettere a) e b) del comma 3 richiedono la comprensione del funzionamento dei sistemi e la conoscenza dei loro limiti e delle loro distorsioni. La lettera c) richiede la capacità di interpretare criticamente gli output. Le lettere d) e f) riguardano la consapevolezza delle implicazioni giuridiche ed etiche e quella dei rischi di cybersicurezza. La lettera e) richiede la comprensione del ruolo della sorveglianza umana. Le istituzioni ne assicurano il conseguimento mediante insegnamenti dedicati o moduli integrati in insegnamenti esistenti[95].
Il catalogo coincide in parte con le capacità che, secondo l’articolo 14 del regolamento, il sistema ad alto rischio deve consentire a chi lo sorveglia. Vi corrispondono la comprensione di capacità e limiti del sistema e l’interpretazione critica dell’output. La formula che riferisce l’interpretazione agli output e ne elenca le specie, dalle previsioni alle decisioni, riprende il criterio di delega dedicato all’università e la definizione europea di sistema di IA[96]. Tre capacità elencate dall’articolo 14 mancano nel catalogo. Le “distorsioni o errori” riguardano il sistema e lasciano in ombra la tendenza di chi lo usa a fare eccessivo affidamento sul suo esito, cioè la distorsione dell’automazione. Manca poi un riferimento espresso alla capacità di disattendere il risultato del sistema o di rinunciarvi. Manca infine il richiamo alla capacità di arrestarne il funzionamento. Nei termini della teoria richiamata nel par. 2, il catalogo cura soprattutto la conoscenza del sistema. Trascura la capacità di resistere alla sua influenza e di discostarsi dal suo esito, che la teoria riconduce alla capacità di dare seguito alla propria scelta e al potere causale. Il decreto n. 160 del 2026 prescrive per le Forze di polizia un catalogo in larga parte coincidente. Il legislatore delegato ha quindi concepito l’alfabetizzazione universitaria anche come preparazione al controllo dei sistemi. Ha però trascurato il profilo sul quale si concentra la letteratura richiamata nel par. 2. Il catalogo offre così un contenuto tipico, benché incompleto, alla nozione di competenza dove altre disposizioni la richiamano in termini generici (par. 6)[97].
L’articolo 44 prevede anche un meccanismo di verifica. Il Ministero dell’università e della ricerca svolge nelle università e nelle istituzioni AFAM un monitoraggio annuale sulla base dei dati della valutazione della qualità dell’offerta formativa. Un decreto ministeriale, sentita l’ANVUR (Agenzia nazionale di valutazione del sistema universitario e della ricerca), definisce indicatori e criteri di valorizzazione nelle politiche di incentivazione[98]. Nel Capo III soltanto l’istruzione superiore associa all’obbligo formativo indicatori e incentivi. La maggiore intensità precettiva si spiega con un apparato di assicurazione della qualità cui la nuova regola può appoggiarsi. L’articolo 43, sulla formazione promossa dalle istituzioni della formazione superiore e della ricerca, riconosce le attività di alfabetizzazione svolte da docenti e ricercatori come elemento di valutazione della carriera[99].
Contenuti tipizzati, privi di monitoraggio, riguardano anche il personale dell’amministrazione della giustizia. L’articolo 46, sulla formazione di tale personale, prevede percorsi articolati in profili tecnici e giuridici. Vi aggiunge profili relativi all’impatto dei sistemi sull’organizzazione giudiziaria e sui diritti delle persone. I percorsi assicurano “il rispetto degli obblighi di alfabetizzazione previsti dall’articolo 4” del regolamento e, per i sistemi ad alto rischio, le competenze per la sorveglianza umana[100]. Il rinvio all’articolo 4 sembra modellato sul testo originario della disposizione europea. Esso va ora riferito alla disposizione riformulata, che prescinde da un livello determinato. Il contenuto precettivo della norma nazionale risiede dunque nell’elenco dei profili formativi e nel richiamo alla sorveglianza. La dottrina ha dubitato che il giudice possa esercitare un controllo effettivo a fronte dell’asimmetria informativa che lo separa dallo strumento. Ha inoltre rilevato, già con riguardo allo schema, l’assenza di un ruolo del Consiglio superiore della magistratura nel governo dei sistemi impiegati negli uffici giudiziari[101].
Il quarto modello pone obblighi, per lo più assistiti da un termine per l’adeguamento, e li innesta su ordinamenti di settore dotati di propri strumenti di controllo. L’articolo 47, sulla formazione per le professioni, prevede che i corsi degli ordini “includono” percorsi di alfabetizzazione all’uso dei sistemi. I percorsi comprendono profili tecnici, comprese le “tecniche di interrogazione e istruzione”. Comprendono inoltre profili giuridici e profili deontologici, e questi ultimi riguardano le responsabilità del professionista e gli obblighi informativi verso il cliente. Ogni periodo di formazione continua prevede un monte ore minimo, e i consigli nazionali adegueranno i propri regolamenti entro sei mesi, cioè entro il 23 aprile 2027[102]. Per i professionisti sanitari l’articolo 51 affida alla Commissione nazionale per la formazione continua, nello stesso termine, la definizione di una percentuale dell’obbligo formativo individuale triennale da destinare a tali percorsi[103]. Per le professioni ordinistiche l’effettività dipende dalla circostanza che la formazione continua è già un obbligo la cui violazione costituisce illecito disciplinare. Il decreto si limita a riempirne il contenuto, e la sua efficacia dipenderà dalla tenuta di quel circuito[104].
Il caso delle professioni prive di ordine è diverso. L’articolo 47, comma 4, estende i contenuti minimi ai percorsi promossi dalle forme aggregative delle associazioni, ove vengano in rilievo temi legati all’uso dei sistemi. Le singole associazioni vigilano sull’operato degli associati e irrogano sanzioni disciplinari per la violazione del codice di condotta. Il loro potere ha però fonte associativa e raggiunge soltanto chi vi aderisce. Il decreto aggiunge la conoscibilità dei percorsi e delle modalità di accertamento dell’obbligo[105]. La scelta è coerente con la legge n. 132 del 2025, che circoscrive l’uso dei sistemi alle attività strumentali e impone di informare il cliente. Il professionista che ignora il funzionamento dello strumento impiegato compromette la prevalenza del proprio apporto intellettuale e l’informazione dovuta al cliente[106].
Il coordinamento presenta due difetti, e il primo riguarda la sanità. L’articolo 51 riproduce per i professionisti sanitari la formula degli “obblighi informativi verso il cliente”, estranea alla relazione di cura. Esso convive con l’articolo 47, comma 6, che rimette l’inclusione dei percorsi nell’educazione continua in medicina a un accordo in Conferenza Stato-Regioni, e il rapporto tra i due canali resta oscuro[107]. Il secondo difetto riguarda l’equo compenso. L’articolo 49 dispone che l’utilizzo dei sistemi “può comportare una modulazione” secondo parametri che tengono conto della classificazione di rischio del sistema, da determinare entro il 23 ottobre 2027, e ne lascia indeterminato il verso[108]. Il criterio direttivo lega la modulazione a responsabilità e rischi, e la legge sull’equo compenso vuole un compenso proporzionato alla quantità e alla qualità del lavoro svolto. Ad avviso di chi scrive il parametro deve quindi remunerare il maggior onere di verifica e di sorveglianza assunto dal professionista, e il riferimento alla classificazione di rischio è coerente con questa lettura, perché a un rischio maggiore corrisponde una sorveglianza più gravosa[109].
Allo stesso modello appartiene l’obbligo formativo dei datori di lavoro in materia di sicurezza. L’articolo 42, sull’IA e la sicurezza nei luoghi di lavoro, prevede che l’utilizzo di sistemi incidenti sull’organizzazione del lavoro o sui processi decisionali rilevanti per la sicurezza “è valutato” nella valutazione dei rischi. I datori di lavoro assicurano un’adeguata informazione e formazione dei lavoratori sui rischi specifici connessi ai sistemi e sulle misure di prevenzione e protezione adottate[110]. È l’unico obbligo formativo espresso che il decreto pone a carico della generalità dei datori di lavoro. La disposizione è collocata fuori dal testo unico sulla sicurezza e manca di una sanzione propria. Nella lettura di chi scrive il suo presidio passa per la valutazione dei rischi, che il comma 2 richiama espressamente. I rischi connessi all’uso dei sistemi, una volta valutati, entrano negli obblighi di informazione e formazione dei lavoratori e ricadono così nel sistema sanzionatorio del testo unico[111]. La dottrina ha avvertito che per gli algoritmi probabilistici la valutazione del rischio è possibile soltanto in termini generali[112]. L’articolo 48 consente infine alle amministrazioni competenti e ai soggetti accreditati di utilizzare sistemi di IA per l’orientamento e per l’incontro tra domanda e offerta di lavoro, a condizione di garantire la supervisione umana e la trasparenza delle decisioni. La norma lascia indeterminati i requisiti della supervisione, che in coerenza con la lettura proposta per l’articolo 41 richiede personale competente[113].
6) Il “potere effettivo e autonomo” come requisito di competenza
L’articolo 41, sulla tutela del lavoratore nei processi decisionali assistiti da sistemi di IA, è la disposizione del decreto che incide più direttamente sui rapporti tra privati. Fermo l’articolo 22 del regolamento UE 2016/679, il datore di lavoro che si avvale di sistemi di IA assicura che le decisioni finali sul rapporto, dalla sua costituzione alla sua risoluzione, “non siano adottate unicamente sulla base di un trattamento automatizzato, in conformità all’articolo 11 della legge IA”. L’obbligo comprende espressamente “i provvedimenti disciplinari e le valutazioni delle prestazioni”. La decisione definitiva “è in ogni caso riservata a una persona fisica, che eserciti un potere effettivo e autonomo”[114].
La riserva alla persona fisica qualifica la sostanza dell’intervento umano richiesto dal primo periodo. Già nell’interpretazione dell’articolo 22 del regolamento generale un intervento formale lascia la decisione nell’ambito del divieto. Le linee guida del Gruppo di lavoro Articolo 29, fatte proprie dal Comitato europeo per la protezione dei dati, escludono che il titolare possa eludere la disposizione “creando coinvolgimenti umani fittizi”. Esse richiedono un controllo “significativo”, effettuato da una persona “che dispone dell’autorità e della competenza per modificare la decisione”[115]. L’autorità designa già il potere di modificare la decisione, e la competenza va quindi intesa come capacità di valutarla. Lo conferma la precisazione secondo cui chi esercita il controllo dovrebbe prendere in considerazione “tutti i dati pertinenti”. Il lessico del regolamento sull’IA va nella stessa direzione, perché l’articolo 26, paragrafo 2, distingue la competenza dall’autorità e la affianca alla formazione. Nell’interpretazione accolta in sede europea la competenza è dunque già un elemento della decisione umana. La relazione illustrativa dello schema avvalora questa lettura. Secondo la relazione la persona deve poter riesaminare i presupposti della valutazione algoritmica e discostarsi, ove necessario, dall’esito del sistema con adeguata motivazione. Un riesame dei presupposti richiede la capacità di comprenderli[116].
Nella lettura di chi scrive il “potere effettivo e autonomo” comprende dunque un requisito di competenza, che la norma nazionale esplicita ed estende. Lo esplicita, perché l’effettività di un potere di riesame presuppone che il titolare sia in grado di esercitarlo. Nei termini della teoria richiamata nel par. 2, il potere assicura l’incidenza causale sulla decisione, e la competenza assicura l’accesso conoscitivo che rende reale quell’incidenza. Lo estende sotto due profili. La riserva opera per ogni sistema di IA secondo la definizione del regolamento e anche per decisioni, come talune valutazioni delle prestazioni, i cui effetti si collocano al di sotto della soglia richiesta dall’articolo 22. La riserva è inoltre presidiata dalla nullità[117].
La lettura trova conferma sul piano sistematico. L’allegato III del regolamento UE 2024/1689 qualifica ad alto rischio i sistemi destinati ad adottare decisioni sulle condizioni e sulla cessazione dei rapporti di lavoro o a valutare le prestazioni. Per essi l’articolo 26, paragrafo 2, richiede che la sorveglianza sia affidata a persone dotate dei requisiti già ricordati (parr. 1 e 2)[118]. La direttiva UE 2024/2831 sul lavoro mediante piattaforme digitali, da recepire entro il 2 dicembre 2026, segue la stessa logica. Il suo articolo 10, sulla supervisione umana dei sistemi automatizzati, impone alle piattaforme risorse umane sufficienti per la supervisione. Le persone incaricate devono avere la competenza e la formazione necessarie, nonché l’autorità di disattendere le decisioni automatizzate. La direttiva le protegge dal licenziamento e da ogni trattamento sfavorevole legato all’esercizio della funzione. Riserva altresì a un essere umano le decisioni che limitano o interrompono il rapporto contrattuale e quelle di analogo pregiudizio[119]. Il legislatore europeo associa dunque la riserva di decisione umana alla competenza di chi decide e all’autorità di discostarsi dall’esito del sistema. Vi associa anche le condizioni organizzative che rendono possibile l’esercizio di entrambe. Se il sistema automatico tende a catturare la decisione, solo una ratifica consapevole interrompe la cattura. La dottrina lavoristica ha sostenuto, a proposito degli obblighi informativi sui sistemi automatizzati, che rileva la qualità dell’apporto umano più della sua collocazione nella sequenza decisionale[120].
Il confronto con l’ordinamento spagnolo conferma la lettura e ne misura la portata. Il regio decreto n. 723 del 2026, applicabile dal 5 ottobre 2026, ha scelto la via della trasparenza. Esso impone al datore di informare per iscritto ciascun lavoratore dell’esistenza di sistemi algoritmici o automatizzati di decisione e, quando tali sistemi incidono sulle condizioni di lavoro, delle loro regole di funzionamento[121]. Una nota pubblicata nel sito dell’autorità spagnola di protezione dei dati commenta quel decreto insieme a un avvertimento dell’autorità relativo a uno strumento di selezione dei candidati. La nota ricorda che la presenza formale di una persona lascia la decisione nell’ambito dell’articolo 22 del regolamento generale. Tra le verifiche della supervisione indica poi la conoscenza dei limiti del sistema e la disponibilità del tempo e dell’autorità per modificarne il risultato, e menziona espressamente la competenza. Un’assenza sistematica di discrepanze rispetto alle proposte del sistema può indicare una dipendenza di fatto. Per le decisioni sul rapporto l’articolo 41 va oltre il modello spagnolo, perché attribuisce la decisione alla persona fisica e presidia tale riserva con la nullità. Per la selezione dei candidati, oggetto dell’avvertimento spagnolo, la norma italiana offre invece garanzie minori, perché la esclude dalla riserva. Il requisito di competenza, che la nota colloca tra le verifiche della supervisione, trova comunque nella norma italiana un fondamento testuale nel carattere effettivo del potere[122].
Dalla lettura proposta discendono conseguenze organizzative. Il datore di lavoro che impiega sistemi di supporto alle decisioni sul personale deve formare chi le assume. Deve inoltre porlo in condizione di discostarsi dall’esito del sistema, anche quanto al tempo disponibile e al sostegno ricevuto. La sorveglianza umana ha infatti un costo in termini di tempo, che la Commissione, nel proporre il regolamento, stimava per gli utilizzatori tra 5.000 e 8.000 euro l’anno[123]. Si tratta di una competenza qualificata, distinta dall’alfabetizzazione generale dell’articolo 4 del regolamento, il cui contenuto è fissato dal diritto dell’Unione. Se chi decide manca di tale competenza, la decisione può essere qualificata come adottata unicamente sulla base del trattamento automatizzato, con le conseguenze esaminate nel par. 7[124].
La lettura proposta richiede di precisare lo standard, e quanto segue esprime la lettura di chi scrive. Un requisito uniforme risulterebbe sproporzionato, perché l’articolo 41 si applica a ogni sistema di IA e a decisioni di gravità assai diversa. Il requisito europeo, limitato ai sistemi ad alto rischio e applicabile dal 2 dicembre 2027, offre un termine di confronto. Il requisito nazionale va graduato in relazione all’incidenza del sistema sulla decisione e alla gravità dei suoi effetti sul lavoratore. Per le decisioni risolutive e disciplinari chi decide deve comprendere i dati e i criteri considerati dal sistema e valutarne la pertinenza nel caso concreto. Lo richiede anche l’obbligo di fornire al lavoratore, a richiesta, una motivazione intelligibile comprensiva dei principali parametri considerati[125]. Per le decisioni di minore incidenza basta la capacità di riconoscere i limiti dello strumento e di attribuirgli un peso proporzionato. Il catalogo dell’articolo 44, comma 3, e quello del decreto n. 160 del 2026 offrono un riferimento per i contenuti, salva la lacuna relativa alla distorsione dell’automazione[126].
Quanto alla prova, la regola generale vuole che chi deduce la nullità ne provi i presupposti[127]. Due elementi suggeriscono una diversa distribuzione dell’onere. La disposizione costruisce la riserva come obbligo del datore di lavoro, che “assicura” il carattere umano della decisione. Le informazioni sul processo decisionale sono inoltre interamente nella sua disponibilità. Una volta che il lavoratore abbia allegato l’impiego del sistema nella decisione che lo riguarda, spetta quindi al datore dimostrare l’osservanza della riserva, anche quanto alla capacità di chi ha deciso. La soluzione, che attende la verifica della giurisprudenza, trova per il licenziamento un riscontro nella regola che già pone a carico del datore la prova della giustificazione. Per le altre decisioni essa poggia sul principio di vicinanza della prova[128]. La prova potrà giovarsi di indici oggettivi, come la formazione ricevuta da chi ha deciso e il tempo dedicato al riesame. Un indice ulteriore è la frequenza con cui la persona si è discostata dalle proposte del sistema, poiché un allineamento costante, come osserva la nota spagnola, suggerisce una dipendenza di fatto. Nelle azioni di risarcimento il lavoratore potrà anche chiedere l’esibizione delle informazioni sulle modalità della sorveglianza umana, secondo gli strumenti del decreto n. 160 del 2026[129].
Contro questa lettura può addursi un argomento testuale. Il regolamento distingue competenza e formazione da autorità e sostegno, e la direttiva sulle piattaforme distingue a sua volta la competenza dall’autorità. L’articolo 41 nomina soltanto il potere, che corrisponde all’autorità e all’autonomia di chi decide rispetto all’esito del sistema e alla gerarchia. Il legislatore delegato ha nominato la competenza quando ha voluto richiederla, come nell’articolo 46, comma 3, per il personale della giustizia addetto alla sorveglianza dei sistemi ad alto rischio, e il decreto n. 160 del 2026 esige a sua volta per le Forze di polizia una revisione umana “qualificata”[130]. L’argomento ha un peso, e il silenzio del testo espone questa lettura alla smentita della giurisprudenza, che un chiarimento del legislatore eviterebbe (par. 9). Due rilievi attenuano tuttavia l’obiezione. Il primo è testuale. L’aggettivo “effettivo” aggiunge all’autorità la possibilità concreta di esercitarla, e un potere di riesame che il titolare è incapace di esercitare manca di effettività. Le stesse linee guida europee considerano basata unicamente sul trattamento automatizzato la decisione di chi applica abitualmente i profili generati dal sistema “senza avere alcuna influenza effettiva sul risultato”[131]. Il secondo è sistematico. L’articolo 41 lascia fermo l’articolo 22 del regolamento generale, nella cui interpretazione accolta in sede europea la competenza è già requisito dell’intervento umano, e la norma nazionale va quindi letta come garanzia almeno pari a quella europea[132].
7) I limiti della riserva e la copertura di delega
Il testo definitivo contiene due precisazioni assenti dal commento della relazione illustrativa alla corrispondente disposizione dello schema[133]. La prima esclude che il consenso del lavoratore costituisca un’eccezione al divieto, con una regola più rigorosa di quella generale. L’articolo 22, paragrafo 2, del regolamento generale ammette infatti la decisione automatizzata fondata sul consenso esplicito o necessaria per un contratto, e consente al diritto degli Stati membri di autorizzarla[134]. L’articolo 41 esclude espressamente il solo consenso. La formula per cui la decisione definitiva “è in ogni caso riservata a una persona fisica” estende però la riserva anche alla necessità contrattuale, e la norma nazionale opera come esclusione della decisione automatizzata. La regola trova un duplice fondamento nel diritto dell’Unione. L’articolo 2, paragrafo 11, del regolamento UE 2024/1689, che ne delimita l’ambito, fa salve le disposizioni nazionali più favorevoli ai lavoratori in relazione all’uso dei sistemi da parte dei datori di lavoro[135]. L’articolo 88 del regolamento generale, sul trattamento dei dati nei rapporti di lavoro, consente agli Stati membri norme più specifiche, purché dotate di un contenuto proprio del settore, distinto dalle regole generali, e di misure a salvaguardia della dignità e dei diritti degli interessati. La riserva alla persona fisica munita di potere effettivo e autonomo sembra soddisfare tali condizioni[136].
La seconda precisazione esclude dalle decisioni relative alla costituzione del rapporto le attività di ricerca e selezione delle candidature, “anche quando comportino la mancata ammissione alle successive fasi della selezione”. La previsione sottrae alla riserva, e alla nullità che la presidia, l’intera fase di selezione. La sua portata va però ridimensionata. L’esclusione opera rispetto alla sola regola nazionale, che lascia fermo l’articolo 22 del regolamento generale. La Corte di giustizia ha attribuito alla nozione di decisione di tale articolo una portata ampia. Ha richiamato il considerando 71 del regolamento generale, che menziona tra gli esempi le pratiche di assunzione elettronica prive di interventi umani[137]. L’allegato III del regolamento UE 2024/1689 qualifica poi ad alto rischio i sistemi destinati a selezionare le persone e a filtrare le candidature. L’articolo 26, paragrafo 11, impone al deployer di informare le persone soggette all’uso del sistema[138]. L’esclusione automatizzata di un candidato resta dunque soggetta alle garanzie europee. La norma nazionale ha scelto di astenersi dall’aggiungervi le proprie, e la lettera della disposizione preclude di colmare lo scarto in via interpretativa[139].
L’articolo 41 si rivolge al datore di lavoro e al lavoratore, mentre gli obblighi informativi cui esso rinvia gravano anche sul committente nei rapporti di collaborazione[140]. L’estensione della riserva a tali rapporti è quindi priva di base testuale. Il rinvio eredita poi un difetto di coordinamento già segnalato sul disegno di legge divenuto legge n. 132 del 2025, perché gli obblighi informativi richiamati presuppongono sistemi integralmente automatizzati e l’articolo 41 si applica invece a ogni sistema di IA secondo la definizione del regolamento. Le due nozioni divergono[141].
L’articolo 41, comma 4, dichiara nullo il licenziamento intimato in violazione della riserva e nulle le altre decisioni assunte in sua violazione[142]. Per il licenziamento la qualificazione comporta la tutela reintegratoria prevista per i casi di nullità[143]. Il secondo periodo, assente nel commento della relazione illustrativa, estende la nullità alle valutazioni delle prestazioni e ai provvedimenti disciplinari, e lascia indeterminata la struttura di questa seconda nullità. Nella lettura di chi scrive si tratta di una nullità di protezione, posta nell’interesse del lavoratore, che opera esclusivamente a suo vantaggio. Il lavoratore è il solo legittimato a farla valere, e il giudice può rilevarla d’ufficio nel suo interesse. Una decisione favorevole relativa alla costituzione o alla modificazione del rapporto resta quindi salva, mentre per le valutazioni delle prestazioni la nullità impedisce che la valutazione fondi effetti sfavorevoli di carattere retributivo o disciplinare[144].
Si pone poi la questione della copertura di delega, da verificare con un criterio unico applicabile anche al Capo IV (par. 8). La relazione illustrativa tace sul criterio direttivo attuato. Colloca la disposizione in continuità con l’articolo 22 del regolamento generale e con l’articolo 11 della legge n. 132 del 2025. La descrive come disposizione volta a definire garanzie procedimentali e diritti di trasparenza nei rapporti tra privati[145]. Tra i criteri dell’articolo 24 richiamati nel preambolo, il più pertinente consente le modifiche della normativa vigente necessarie al corretto e integrale adeguamento al regolamento. Inteso in senso stretto, quel criterio esclude l’articolo 41. Il regolamento consente infatti disposizioni più favorevoli ai lavoratori e lascia agli Stati membri la scelta di adottarle[146].
Il comma 2 dell’articolo 24 richiama anche i criteri generali dell’articolo 32 della legge n. 234 del 2012. Il divieto di livelli di regolazione superiori al minimo europeo vi è riferito agli atti di recepimento delle direttive e lascia fuori l’adeguamento a un regolamento. Il criterio di coordinamento con le discipline di settore, previsto dallo stesso articolo 32, offre invece all’articolo 41 un appoggio ulteriore[147].
La giurisprudenza costituzionale riconosce tuttavia al legislatore delegato il potere di dettare norme che rappresentino un coerente sviluppo e un completamento delle scelte del delegante. Essa avverte inoltre che tra il dato letterale e quello funzionale-teleologico esiste un rapporto inversamente proporzionale[148]. Alla stregua di questo criterio la riserva trova appoggio nelle scelte della legge di delega. L’articolo 11 di quella legge vuole un impiego dell’IA nel lavoro rispettoso della dignità umana, e l’articolo 3 assicura l’autonomia e il potere decisionale dell’uomo. Il richiamo dell’articolo 41 all’articolo 11 indica l’ancoraggio scelto dal legislatore delegato e richiede comunque una verifica autonoma. La compatibilità con il diritto dell’Unione è questione distinta dalla copertura di delega. L’argomento regge se si ammette che i principi della delega possano ricavarsi anche dalle disposizioni sostanziali della legge che la contiene. In senso contrario può invocarsi la clausola dell’articolo 3, comma 5, sui nuovi obblighi rispetto al regolamento. La clausola si riferisce però agli obblighi previsti “per i sistemi di intelligenza artificiale e per i modelli di intelligenza artificiale per finalità generali”. In prima lettura essa riguarda gli obblighi che hanno per oggetto il sistema o il modello e lascia impregiudicate le regole sul potere del datore di lavoro. Il suo testo menziona inoltre la “presente legge”, e l’estensione ai decreti delegati presuppone che la si intenda come principio della delega. Chi scrive propende per la riconducibilità della riserva alla delega[149].
Il secondo periodo del comma 4 suscita dubbi maggiori. La nullità del licenziamento intimato in violazione di una norma imperativa posta a tutela del lavoratore è coerente con il sistema e sarebbe probabilmente ricavabile anche in mancanza di una previsione espressa. Lo stesso vale per i provvedimenti disciplinari, che sono anch’essi atti unilaterali del datore[150]. Le valutazioni delle prestazioni sono invece atti di giudizio privi di natura negoziale, e la loro nullità introduce una categoria di invalidità estranea ai criteri direttivi. La Corte costituzionale ha già accertato un eccesso di delega proprio in materia di nullità del licenziamento. La pronuncia conferma il rigore con cui il regime delle invalidità è vagliato alla luce dei criteri direttivi[151].
8) Segreto commerciale e diritto alla spiegazione
Il Capo IV inserisce un nuovo comma nell’articolo 98 del codice della proprietà industriale, sull’oggetto della tutela dei segreti commerciali. Se ricorrono i requisiti di legge, tra le informazioni protette rientrano i dati destinati ad addestrare i sistemi di IA. Vi rientrano anche gli algoritmi e i metodi matematici impiegati a tal fine, comprensivi delle architetture dei modelli e delle procedure di addestramento[152]. La novella appare ricognitiva quanto ai requisiti, poiché la definizione legale di segreto commerciale già abbracciava tali elementi. La menzione espressa ne agevola però l’opposizione. La questione tocca direttamente la tesi. La competenza di chi sorveglia un sistema presuppone l’accesso alle informazioni sul suo funzionamento, e un segreto opposto al deployer o al lavoratore incide sulla sorveglianza del primo e sulla spiegazione dovuta al secondo. L’articolo 13 del regolamento, sulla trasparenza verso i deployer, assicura quell’accesso con requisiti di progettazione e istruzioni per l’uso[153].
Sul piano della delega il Capo IV riprende il lessico dell’articolo 16 della legge n. 132 del 2025 e, con la devoluzione delle controversie alle sezioni specializzate, uno dei suoi criteri direttivi. Quella disposizione prevede una “disciplina organica” dell’utilizzo dei dati e degli algoritmi per l’addestramento, e richiede la proposta del Presidente del Consiglio dei ministri e del Ministro della giustizia. Il decreto è adottato su proposta del Presidente del Consiglio e del Ministro per gli affari europei, e il Ministro della giustizia figura tra i concertanti. Il preambolo richiama la legge e, “in particolare”, le lettere dell’articolo 24, tacendo sull’articolo 16[154]. Il Capo IV difficilmente può reggersi su quella delega, perché il procedimento che essa prescrive risulta disatteso. Il criterio dell’adeguamento necessario al regolamento appare a sua volta insoddisfatto, perché il regolamento tace sulla qualificazione dei dati di addestramento come segreti commerciali[155]. Il criterio dello sviluppo coerente delle scelte del delegante, applicato all’articolo 41 nel par. 7, si rivela inservibile, perché per questa materia il delegante ha predisposto una delega distinta. Con lo stesso metro, il dubbio di eccesso di delega appare più consistente per il Capo IV che per la riserva di decisione umana. Data la portata ricognitiva della novella quanto ai requisiti, l’eventuale illegittimità avrebbe effetti pratici contenuti[156].
Quanto alla trasparenza, l’articolo 41, comma 3, riconosce al lavoratore il diritto di ottenere, a richiesta e con l’intervento di una persona fisica, una motivazione intelligibile della decisione. La motivazione indica l’eventuale incidenza dei sistemi sul processo decisionale e i principali parametri considerati[157]. L’articolo 23, comma 4, sanziona a sua volta la violazione del diritto alla spiegazione previsto dall’articolo 86 del regolamento per le decisioni adottate dal deployer sulla base dell’output di un sistema ad alto rischio elencato nell’allegato III[158]. La disciplina degli obblighi informativi nel rapporto di lavoro esclude però i sistemi protetti da segreto industriale e commerciale. La menzione espressa dei dati e dei metodi di addestramento può ampliare il rischio, segnalato in dottrina, che per questa via interi sistemi ricadano in zone di esenzione[159].
Un criterio di composizione si ricava dalla giurisprudenza. La Corte di giustizia ha dichiarato incompatibile con il regolamento generale una regola nazionale che esclude in via generale l’accesso alle informazioni sulla logica di una decisione automatizzata quando esso comprometta un segreto commerciale. Le informazioni ritenute protette vanno comunicate all’autorità di controllo o al giudice, cui spetta ponderare i diritti e gli interessi in gioco. La spiegazione deve consentire all’interessato di comprendere quali suoi dati siano stati utilizzati e in che modo, e va oltre la comunicazione di un algoritmo[160]. La giurisprudenza amministrativa aveva già ritenuto recessiva la riservatezza delle imprese produttrici quando i loro strumenti servono il potere pubblico[161]. L’articolo 41, comma 3, fa peraltro salvi i diritti che il regolamento generale riconosce all’interessato, e nel suo ambito l’esclusione prevista dalla disciplina degli obblighi informativi lascia intatti tali diritti[162]. La motivazione intelligibile e l’indicazione dei principali parametri prescindono dalla rivelazione dell’architettura del modello o dei dati di addestramento. Nella lettura di chi scrive il segreto commerciale protegge l’informazione dall’acquisizione e dalla divulgazione illecite e lascia fermo il dovere di motivare la decisione. Entro questo limite esso resta inopponibile alla spiegazione[163].
9) Obiezioni e proposte
La tesi si espone a quattro obiezioni. La prima, di ordine empirico, osserva che le persone, anche formate, tendono a conformarsi all’esito della macchina, e che la formazione da sola lascia il controllo esposto a questo rischio. Una parte della letteratura propone invece di affidare all’alfabetizzazione il compito di ridurre l’atteggiamento acritico verso ciò che il sistema genera[164]. L’obiezione impone di precisare la tesi. La competenza è condizione necessaria e insufficiente del controllo, e lo riconosce lo stesso regolamento, che chiede di rendere chi sorveglia consapevole della distorsione dell’automazione. Le evidenze sperimentali sono peraltro discordanti. Una serie di esperimenti, l’ultimo dei quali condotto su funzionari pubblici, ha dato esito contrario all’ipotesi di una maggiore propensione ad affidarsi al suggerimento algoritmico rispetto a quello di un esperto umano, e in uno di essi è emersa invece un’adesione selettiva ai suggerimenti conformi a stereotipi[165]. Il dato sposta l’attenzione dalla deferenza verso la macchina ai pregiudizi di chi decide, e la formazione deve riguardare anche questi ultimi. Una politica che si affidasse soltanto alla formazione riprodurrebbe l’errore denunciato dalla dottrina, cioè la legittimazione dei sistemi in forza di un controllo umano nominale. Per questo la tesi guarda alle regole che misurano il controllo nel suo esercizio. La letteratura scettica indica del resto rimedi di natura istituzionale, come la giustificazione preventiva della scelta di impiegare un sistema e la verifica empirica del controllo previsto, con attenzione al tempo e agli incentivi di chi sorveglia. Uno studio recente sulla distorsione dell’automazione nel regolamento affianca alla consapevolezza di chi sorveglia misure organizzative, come la distribuzione dei carichi di lavoro[166].
La seconda obiezione riguarda il soggetto su cui grava il costo della competenza. Un’alfabetizzazione diffusa per via scolastica e professionale sposta sui singoli e sulle istituzioni formative un onere che il regolamento originario poneva in parte a carico degli operatori. Il rilievo coglie un tratto reale del modello promozionale, accentuato dalla riforma dell’articolo 4. Gli obblighi degli operatori permangono tuttavia nella forma delle misure di sostegno e, per i sistemi ad alto rischio, dell’affidamento della sorveglianza a personale formato. Su questo versante il decreto appare meno sviluppato, perché le sue misure si rivolgono all’istruzione e alle professioni più che alle imprese. Il nuovo paragrafo 2 dell’articolo 4 configura invece l’intervento pubblico come ausilio agli sforzi degli operatori, specie delle PMI[167].
La terza obiezione imputa la bassa intensità precettiva a una scelta europea, e il rilievo è fondato in parte. Il regolamento lascia indeterminata la sanzione per l’articolo 4 e la sua riforma va nel senso dell’attenuazione. Dove vigila direttamente, l’Unione sanziona però anche quell’obbligo (par. 2). Il testo europeo impone inoltre agli Stati membri di presidiare le violazioni degli operatori e rimette loro la scelta del tipo di misura, e la legge tedesca mostra che almeno un altro legislatore ha usato quel margine in modo analogo (par. 4). L’obiezione coglie dunque l’orientamento complessivo del diritto dell’Unione. Trascura il margine che esso lascia agli Stati membri e che il legislatore delegato ha usato, per altre disposizioni, in senso più rigoroso[168].
La quarta obiezione attiene al riparto delle competenze legislative e alle autonomie, perché norme più vincolanti per la scuola e per la formazione professionale avrebbero incontrato i limiti costituzionali ricordati. L’argomento spiega la tecnica facoltizzante. Resta però inspiegata la rinuncia a strumenti compatibili con quei limiti, come l’aggiornamento delle indicazioni nazionali, disposto per i soli licei, o un monitoraggio obbligatorio dell’attuazione. Il decreto cura del resto i raccordi con le autonomie, poiché prevede l’intesa in Conferenza Stato-Regioni per il quadro delle competenze del personale pubblico e un accordo nella medesima sede per l’educazione continua in medicina. L’articolo 35 consente inoltre allo Stato di promuovere il coinvolgimento delle regioni nelle attività che il decreto disciplina[169].
Restano i limiti dell’indagine. La classificazione proposta descrive la forza giuridica delle disposizioni e prescinde dalla loro attuazione, che dipenderà da atti futuri. La lettura dell’articolo 41 e le conclusioni sulla legittimità di singole disposizioni rispetto alla delega sono ipotesi soggette al vaglio della giurisprudenza. Il confronto comparato è limitato a due ordinamenti e a profili diversi per ciascuno, il presidio dell’alfabetizzazione per la Germania e la decisione nel rapporto di lavoro per la Spagna. Se la riserva dell’articolo 41 risultasse priva di copertura di delega, la competenza resterebbe esigibile in senso forte nella sola sorveglianza dei sistemi ad alto rischio. Mancano infine dati sull’efficacia dei percorsi formativi nel migliorare la qualità del controllo umano, e le evidenze della letteratura sono discusse[170].
Le considerazioni che seguono appartengono al piano delle proposte e vanno distinte dall’interpretazione del testo. Il catalogo universitario può fungere da nucleo comune per gli atti attuativi sulla formazione dei docenti e sul quadro minimo di competenze del personale pubblico, una volta integrato dalla consapevolezza della distorsione dell’automazione e dalla capacità di disattendere l’esito del sistema o di arrestarlo. Il modello universitario fondato su indicatori e monitoraggio annuale potrebbe estendersi agli altri segmenti, con gli adattamenti necessari. Sul versante delle autorità, l’obbligo europeo di valutarne ogni anno i requisiti di competenza suggerisce di rendere pubblici gli esiti di tale valutazione. Il compito pubblico di sostenere fornitori e deployer, specie le PMI, potrebbe attuarsi attraverso il supporto di docenti e ricercatori alle attività di alfabetizzazione previsto dall’articolo 43, nell’ambito di accordi con imprese e amministrazioni[171].
Il rapporto di lavoro offre il terreno più promettente per legare la competenza alla decisione. Le rappresentanze dei lavoratori entrano nella disciplina attraverso il rinvio dell’articolo 41 agli obblighi informativi, che consentono l’accesso anche per il loro tramite e prevedono che le informazioni siano comunicate anche a esse[172]. La contrattazione collettiva è la sede adatta a dotare di garanzie procedimentali la fase di selezione, esclusa dalla riserva, e a definire lo standard di competenza di chi assume le decisioni assistite. Vi si possono fissare anche gli indici del riesame, come il tempo dedicato e la registrazione dei casi in cui la persona si discosta dal sistema. La dottrina ha legato il coinvolgimento effettivo degli attori collettivi nella gestione dei rischi alla loro alfabetizzazione tecnologica[173]. Un chiarimento legislativo sul requisito di competenza implicito nel “potere effettivo e autonomo” sottrarrebbe la questione all’incertezza interpretativa. Quanto al segreto, gli atti di indirizzo delle autorità sono lo strumento più agile per definire modalità di accesso protetto alle informazioni riservate, secondo lo schema di bilanciamento indicato dalla Corte di giustizia[174].
10) Conclusioni
Il decreto legislativo n. 179 del 2026 persegue l’alfabetizzazione con un modello promozionale. Il Capo III ne affida lo sviluppo a facoltà e programmi e innesta pochi obblighi su circuiti preesistenti, a risorse invariate, salvo il piano sull’emergenza educativa. In senso debole la competenza è presidiata dove il decreto prescrive per università e istituzioni AFAM contenuti minimi verificati con indicatori e dove innesta l’obbligo formativo sugli ordinamenti professionali e, in via mediata, sulla sicurezza del lavoro. La forza giuridica della competenza di chi decide proviene però soprattutto dalle regole sulla decisione e sulla responsabilità. In senso forte la competenza è richiesta per la sorveglianza dei sistemi ad alto rischio, dove il decreto riproduce la sanzione europea operante dal 2 dicembre 2027. Lo è anche, secondo la lettura di chi scrive, per la riserva delle decisioni sul rapporto di lavoro a una persona fisica munita di potere effettivo e autonomo, a pena di nullità. Per la sorveglianza vi concorre la nuova fattispecie penale introdotta dal decreto n. 160 del 2026, che punisce l’omissione intenzionale delle misure di sorveglianza da parte dell’utilizzatore professionale. Il rilievo civilistico dell’obbligo di alfabetizzazione resta invece incerto, perché dopo la riforma la sua violazione si presta a un accertamento difficile. Il confronto con la Germania colloca la scelta italiana sul presidio dell’alfabetizzazione in un orientamento condiviso. Quello con la Spagna mostra che la norma italiana tutela in modo più incisivo la decisione nel rapporto di lavoro e in modo meno incisivo la selezione dei candidati.
Il funzionamento del sistema dipende ora da tre fattori. Il primo è il contenuto degli atti attuativi, da adottare tra il 21 gennaio e il 23 ottobre 2027, e in particolare del quadro minimo di competenze del personale pubblico, per il quale manca un termine. Il secondo è il recepimento della direttiva sul lavoro mediante piattaforme, atteso entro il 2 dicembre 2026, che dovrà coordinarsi con l’articolo 41. Il terzo è la giurisprudenza, chiamata a vagliare la lettura dell’articolo 41 e la copertura di delega del Capo IV prima che la disciplina europea dei sistemi ad alto rischio divenga applicabile il 2 dicembre 2027. Il legislatore che voglia un controllo umano reale deve legare la competenza alla decisione e assicurare a chi decide il tempo e il sostegno che il diritto dell’Unione richiede. Nel sistema che il decreto n. 179 del 2026 completa, la competenza di chi decide con l’ausilio dell’intelligenza artificiale trae la propria forza giuridica dalle regole sulla decisione e sulla responsabilità, e la formazione ne costituisce lo strumento più che la garanzia. Il controllo umano vale quanto la competenza di chi lo esercita, e il diritto la presidia con la sanzione e con la nullità. In un tempo nel quale l’intelligenza artificiale entra nelle decisioni pubbliche e in quelle che governano il lavoro, esigere la competenza di chi decide significa custodire la parte umana della decisione e la responsabilità che la rende legittima.
[1] D.lgs. 7 ottobre 2026, n. 179, recante “Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione”, in G.U., Serie generale, n. 234 dell’8 ottobre 2026, testo consultato il 9 ottobre 2026. In mancanza di una diversa previsione il decreto entra in vigore il quindicesimo giorno successivo alla pubblicazione. Le citazioni abbreviate “d.lgs. n. 179/2026” rinviano a tale atto.
[2] L. 23 settembre 2025, n. 132, recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, in G.U. n. 223 del 25 settembre 2025. Le citazioni abbreviate “l. n. 132/2025” rinviano a tale atto.
[3] D.lgs. 9 settembre 2026, n. 160, recante adeguamento della normativa nazionale al medesimo regolamento “in materia di utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia e di responsabilità civile e penale”, in G.U., Serie generale, n. 214 del 15 settembre 2026, adottato in attuazione dell’art. 24, commi 1, 2, lett. h), 3 e 5, della l. n. 132/2025.
[4] Art. 26, par. 2, regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale), in G.U.U.E., serie L, del 12 luglio 2024, testo consultato su EUR-Lex il 10 ottobre 2026, con le modifiche del regolamento (UE) 2026/1744 ove indicato. Le citazioni abbreviate “reg. (UE) 2024/1689” rinviano a tale atto.
[5] Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio, dell’8 luglio 2026, che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 per quanto riguarda la semplificazione dell’attuazione di regole armonizzate sull’intelligenza artificiale (Omnibus digitale sull’IA), in G.U.U.E., serie L, del 24 luglio 2026, testo consultato su EUR-Lex il 10 ottobre 2026. Le citazioni abbreviate “reg. (UE) 2026/1744” rinviano a tale atto.
[6] Sul piano delle fonti v. l’art. 24 l. n. 132/2025; sul piano delle risorse v. l’art. 54 d.lgs. n. 179/2026, che reca la clausola di invarianza finanziaria.
[7] Art. 26, par. 2, reg. (UE) 2024/1689, che accanto alla competenza e alla formazione richiede l’autorità e il sostegno necessari; art. 437-bis c.p.; artt. 17 e 18 d.lgs. n. 160/2026.
[8] Art. 24, comma 2, lett. b), e art. 16 l. n. 132/2025. Le fonti del confronto comparato sono indicate nei parr. 4 e 6.
[9] Art. 113, terzo comma, lett. c), reg. (UE) 2024/1689, come sostituita dall’art. 1, punto 40), lett. b), reg. (UE) 2026/1744, che distingue i sistemi classificati ad alto rischio in base all’allegato III da quelli soggetti alla normativa di armonizzazione elencata nell’allegato I. Per i sistemi relativi a prodotti disciplinati dalla normativa elencata nell’allegato I, sezione B, l’art. 2, par. 2, reg. (UE) 2024/1689, come sostituito dall’art. 1, punto 2), lett. a), reg. (UE) 2026/1744, rende applicabili unicamente l’art. 6, par. 1, l’art. 60 bis e gli artt. da 102 a 112.
[10] Art. 3, punto 56), reg. (UE) 2024/1689.
[11] Art. 4 reg. (UE) 2024/1689, nel testo anteriore alle modifiche.
[12] Art. 1, punto 5), reg. (UE) 2026/1744, entrato in vigore il terzo giorno successivo alla pubblicazione ai sensi del suo art. 4. La data di applicazione del testo originario risulta dall’art. 113, terzo comma, lett. a), reg. (UE) 2024/1689.
[13] Art. 4, parr. 1, 2 e 3, reg. (UE) 2024/1689, come sostituito dall’art. 1, punto 5), reg. (UE) 2026/1744.
[14] Considerando 8 reg. (UE) 2026/1744, che richiama, tra i quadri europei delle competenze, il quadro delle competenze digitali per i cittadini (DigComp) e il quadro di riferimento per l’introduzione all’intelligenza artificiale nell’istruzione primaria e secondaria.
[15] Art. 99, parr. 1 e da 3 a 5, reg. (UE) 2024/1689. Il par. 4 elenca gli obblighi la cui violazione è punita con la sanzione fino a 15 milioni di euro o, per le imprese, fino al 3 % del fatturato, ed esclude l’art. 4. Il par. 1 è stato sostituito dall’art. 1, punto 38), lett. a), reg. (UE) 2026/1744, che vi menziona anche le sanzioni amministrative pecuniarie e riferisce le norme nazionali a qualsiasi violazione del regolamento commessa dagli operatori.
[16] Commissione europea, AI Literacy – Questions & Answers, in digital-strategy.ec.europa.eu, nella versione aggiornata dopo l’entrata in vigore del reg. (UE) 2026/1744 (consultata il 9 ottobre 2026). V. anche l’art. 75, par. 1, reg. (UE) 2024/1689, come sostituito dall’art. 1, punto 31), lett. b), reg. (UE) 2026/1744, che esclude dalle attribuzioni dell’ufficio per l’IA, tra l’altro, i sistemi relativi ai prodotti dell’allegato I e alcuni sistemi dell’allegato III, nonché l’art. 75 quater, par. 4, secondo comma, lett. a), reg. (UE) 2024/1689, inserito dall’art. 1, punto 32), reg. (UE) 2026/1744.
[17] Art. 14, parr. 1 e 4, lett. da a) a e), reg. (UE) 2024/1689.
[18] Art. 26, par. 2, e art. 99, par. 4, lett. e), reg. (UE) 2024/1689. Sulla lettura congiunta dell’art. 26, par. 2, e dell’art. 14 v. J. Laux, H. Ruschemeier, Automation Bias in the AI Act: On the Legal Implications of Attempting to De-Bias Human Oversight of AI, in European Journal of Risk Regulation, vol. 16, n. 4, 2025, pp. 1519 ss., par. III.2.
[19] Allegato III e art. 113, terzo comma, lett. c), reg. (UE) 2024/1689, come sostituita dall’art. 1, punto 40), lett. b), reg. (UE) 2026/1744.
[20] Art. 4, art. 26, par. 2, e art. 99, parr. 1 e 4, lett. e), reg. (UE) 2024/1689.
[21] A. Simoncini, L’algoritmo incostituzionale: intelligenza artificiale e il futuro delle libertà, in BioLaw Journal – Rivista di BioDiritto, n. 1/2019, pp. 63 ss., spec. p. 81.
[22] B. Marchetti, La garanzia dello human in the loop alla prova della decisione amministrativa algoritmica, in BioLaw Journal – Rivista di BioDiritto, n. 2/2021, pp. 367 ss., spec. pp. 373 e 379. Sull’“illusione di controllo” e sul funzionario chiamato ad assolvere funzioni confermative di decisioni assunte altrove v. M. Corradino, Potere pubblico e intelligenza artificiale, in A.F. Uricchio, C. Caldarola (a cura di), L’intelligenza artificiale tra regolazione e esperienze applicative. AI ACT (regolamento UE) e disegno di legge governativo, Cacucci, Bari, 2025, pp. 39 ss., spec. pp. 46-47.
[23] B. Green, The flaws of policies requiring human oversight of government algorithms, in Computer Law & Security Review, vol. 45, 2022, art. 105681, spec. parr. 4.1 e 4.2.
[24] J. Laux, Institutionalised distrust and human oversight of artificial intelligence: towards a democratic design of AI governance under the European Union AI Act, in AI & Society, vol. 39, n. 6, 2024, pp. 2853 ss., spec. parr. 1 e 4. Sulla distorsione dell’automazione nell’esercizio della funzione giurisdizionale v. G. Gallone, Riserva di umanità, intelligenza artificiale e funzione giurisdizionale alla luce dell’IA Act. Considerazioni (e qualche proposta) attorno al processo amministrativo che verrà, in www.judicium.it, 7 novembre 2024, par. 4.
[25] S. Sterz, K. Baum, S. Biewer e altri, On the Quest for Effectiveness in Human Oversight: Interdisciplinary Perspectives, in FAccT ’24: Proceedings of the 2024 ACM Conference on Fairness, Accountability, and Transparency, ACM, New York, 2024, doi: 10.1145/3630106.3659051, parr. 3.1, 3.2.1 e 5.1.
[26] Art. 24, comma 1, l. n. 132/2025. In assenza di una diversa previsione la legge è entrata in vigore il quindicesimo giorno successivo alla pubblicazione, ai sensi dell’art. 73, terzo comma, Cost.
[27] Art. 3, commi 3 e 5, l. n. 132/2025.
[28] Art. 15, comma 1, l. n. 132/2025.
[29] Art. 14, commi 2, 3 e 4, l. n. 132/2025.
[30] Art. 13, commi 1 e 2, l. n. 132/2025. Sulla difficoltà di definire le nozioni di strumentalità e di supporto e di individuare l’intervento umano minimo che esse presuppongono v., con riferimento al disegno di legge governativo, E. Dagnino, Intelligenza Artificiale, lavoro e diritto interno: note a margine del disegno di legge di iniziativa governativa, in Lavoro Diritti Europa, n. 4/2024, p. 4.
[31] Art. 11, l. n. 132/2025. Il rinvio è all’art. 1-bis del d.lgs. 26 maggio 1997, n. 152.
[32] Art. 12, comma 1, l. n. 132/2025.
[33] Art. 24, commi 1 e 2, lett. a), b), d), e), f), g), i), l) e n), l. n. 132/2025. Il comma 1 richiama le procedure di cui all’art. 31 della l. 24 dicembre 2012, n. 234.
[34] A.F. Uricchio, F. Mazzotta, Metaverso, fiscalità e intelligenza artificiale: prime considerazioni alla luce del recente disegno di legge in materia, in A.F. Uricchio, C. Caldarola (a cura di), L’intelligenza artificiale tra regolazione e esperienze applicative, cit., pp. 225 ss., spec. pp. 236 e 243, con riferimento all’art. 22 del disegno di legge.
[35] Art. 16, l. n. 132/2025, rubricato “Delega al Governo in materia di dati, algoritmi e metodi matematici per l’addestramento di sistemi di intelligenza artificiale”.
[36] Art. 3, commi 4 e 5, d.lgs. n. 160/2026.
[37] Art. 6, commi 1, 2 e 3, d.lgs. n. 160/2026. Gli altri risultati formativi riguardano la comprensione dei principi di funzionamento e delle potenzialità dei sistemi, la consapevolezza delle implicazioni giuridiche, etiche e di responsabilità e la consapevolezza dei rischi di cybersicurezza.
[38] Art. 24, commi 3 e 5, lett. b) e c), l. n. 132/2025; art. 437-bis c.p., introdotto dall’art. 12 d.lgs. n. 160/2026; art. 25-vicies d.lgs. 8 giugno 2001, n. 231, introdotto dall’art. 15 d.lgs. n. 160/2026, che prevede la sanzione pecuniaria da seicento a mille quote e le sanzioni interdittive dell’art. 9, comma 2, lett. da b) a e).
[39] Art. 16, comma 1, e art. 17, commi 1, 2, lett. d), e 5, d.lgs. n. 160/2026, collocati nel capo dedicato agli strumenti processuali civili per il risarcimento dei danni cagionati dall’utilizzo di sistemi di intelligenza artificiale.
[40] Art. 16, comma 2, e artt. 18 e 19 d.lgs. n. 160/2026. L’art. 16, comma 3, fa salvi l’art. 82 reg. (UE) 2016/679 e la normativa nazionale di recepimento della dir. (UE) 2024/2853.
[41] Art. 24, comma 5, lett. d), l. n. 132/2025, che richiede di tener conto “della classificazione dei sistemi di intelligenza artificiale e dei relativi obblighi come individuati dal regolamento (UE) 2024/1689”.
[42] Atto del Governo n. 421, XIX legislatura, trasmesso con lettera del Ministro per i rapporti con il Parlamento del 3 luglio 2026, che dà atto della mancanza, a quella data, dei pareri della Conferenza unificata, del Garante per la protezione dei dati personali, dell’AgID e dell’ACN. Il numero degli articoli e dei capi risulta dalla relazione illustrativa, consultabile nella copia dell’atto pubblicata in www.astrid-online.it.
[43] Garante per la protezione dei dati personali, parere 14 luglio 2026, n. 532, doc. web n. 10275626, in www.garanteprivacy.it. V. anche l’audizione del Presidente dell’Autorità dinanzi alle Commissioni riunite IX e X della Camera dei deputati, 21 luglio 2026, doc. web n. 10273842.
[44] La l. n. 132/2025 è entrata in vigore il 10 ottobre 2025, sicché il termine di dodici mesi fissato dall’art. 24, comma 1, scadeva il 10 ottobre 2026. Le date delle deliberazioni del Consiglio dei ministri risultano dal preambolo del decreto.
[45] Rispettivamente art. 11, comma 2, art. 24, comma 8, e art. 28, comma 2, d.lgs. n. 179/2026. La condizione ulteriore riguardava la responsabilità per le valutazioni della conformità svolte dall’Autorità.
[46] Garante per la protezione dei dati personali, parere n. 532/2026, cit.; art. 41, comma 1, d.lgs. n. 179/2026.
[47] Art. 2, comma 1, d.lgs. n. 179/2026, che riferisce l’oggetto del decreto ai poteri delle autorità designate dall’art. 20 della l. n. 132/2025 e al coordinamento con la normativa settoriale.
[48] Il computo, a titolo indicativo, comprende gli atti previsti dagli artt. 10, comma 2; 14, comma 2; 15, comma 3; 18, comma 2; 24, commi 2 e 3; 26, comma 2; 28, commi 1 e 5; 30, commi 1, 4 e 6; 36, commi 3, 5 e 6; 37, comma 1; 38, comma 1; 40, comma 2; 44, comma 7; 45, commi 7 e 8; 47, commi 5 e 6; 49, comma 2; 51, commi 3 e 4, d.lgs. n. 179/2026. A essi si aggiungono gli accordi e i protocolli d’intesa di cui agli artt. 7, 8, 9 e 17, comma 4.
[49] Art. 37, comma 2, e art. 54, d.lgs. n. 179/2026. Il piano è finanziato a valere sulle risorse del Programma nazionale “PN Scuola e Competenze 2021–2027”.
[50] Art. 5, comma 1, d.lgs. n. 179/2026; art. 20, commi 1 e 2, l. n. 132/2025; art. 74, parr. 6 e 8, reg. (UE) 2024/1689. V. anche gli artt. 4 e 6 del decreto.
[51] Artt. 7, 8, 9 e 12, d.lgs. n. 179/2026. Gli accordi sono stipulati ai sensi dell’art. 15 della l. 7 agosto 1990, n. 241.
[52] Art. 70, par. 3, reg. (UE) 2024/1689.
[53] Garante per la protezione dei dati personali, parere n. 532/2026, cit.
[54] Art. 25, commi 1 e 2, d.lgs. n. 179/2026.
[55] L’art. 70, par. 1, reg. (UE) 2024/1689 richiede che le autorità nazionali competenti esercitino i loro poteri “in modo indipendente, imparziale e senza pregiudizi”. Delle critiche rivolte sotto questo profilo alla scelta di due agenzie governative, compiuta dalla l. n. 132/2025, dà conto F. Zorzi Giustiniani, La legge italiana sull’intelligenza artificiale e la sentenza della Corte di Giustizia sulla pseudonomizzazione dei dati personali, in Nomos. Le attualità nel diritto, n. 3/2025, Cronache dal cyberspazio, nota 4.
[56] Art. 26, comma 1, d.lgs. n. 179/2026; art. 57, par. 1, reg. (UE) 2024/1689, come modificato dall’art. 1, punto 22), lett. a), reg. (UE) 2026/1744, che ha differito al 2 agosto 2027 il termine per l’istituzione dello spazio nazionale.
[57] Art. 28, commi 1 e 2, e art. 45, commi 3 e 4, d.lgs. n. 179/2026.
[58] A. Lanamäki, K. Väyrynen, F. Vainionpää e altri, What to Expect from the Upcoming EU AI Act Sandboxes: Panel Report, in Digital Society, vol. 4, 2025, art. 42, parr. 2.2, 2.3 e 3.2.
[59] A.F. Uricchio, C. Caldarola, La ricerca in cybersicurezza come infrastruttura cognitiva della sovranità digitale. Considerazioni giuridiche a partire dal primo libro bianco ACN-ANVUR, in AI Law – International Review of Artificial Intelligence Law, 2026, pp. 275 ss., spec. p. 285.
[60] Art. 28, comma 3, d.lgs. n. 179/2026.
[61] Art. 23, commi 1, 2 e 3, d.lgs. n. 179/2026; art. 99, parr. 3, 4 e 5, reg. (UE) 2024/1689. Il richiamo all’art. 25 del regolamento corrisponde alla lett. d bis), che l’art. 1, punto 38), lett. b), reg. (UE) 2026/1744 ha inserito nell’art. 99, par. 4, con riferimento ai parr. 2 e 4 dello stesso art. 25. Per le piccole e medie imprese e le start-up innovative il comma 7 rinvia al criterio dell’art. 99, par. 6. Il decreto tace sulle piccole imprese a media capitalizzazione, cui è dedicato il par. 6 bis inserito dall’art. 1, punto 38), lett. c), reg. (UE) 2026/1744.
[62] Art. 23, commi 2 e 4, d.lgs. n. 179/2026, con riferimento, rispettivamente, agli artt. 73 e 80 e agli artt. 27 e 86 reg. (UE) 2024/1689. L’art. 27 appartiene al capo III, sezione 3, del regolamento, la cui applicazione decorre dalle date indicate nell’art. 113, terzo comma, lett. c).
[63] Art. 19, comma 2, e art. 22, commi 1 e 2, d.lgs. n. 179/2026.
[64] Art. 22, comma 1, lett. b), e art. 24, comma 10, d.lgs. n. 179/2026; art. 1 l. 24 novembre 1981, n. 689.
[65] Art. 22, comma 1, d.lgs. n. 179/2026, che limita le misure alle violazioni di scarsa offensività o pericolosità.
[66] Artt. 15, comma 1, e 16, comma 1, d.lgs. n. 179/2026; art. 74, par. 1, reg. (UE) 2024/1689. Il titolo del regolamento (UE) 2019/1020 è richiamato nel preambolo del decreto.
[67] Art. 18 d.lgs. n. 160/2026; art. 4, par. 1, reg. (UE) 2024/1689, come sostituito dall’art. 1, punto 5), reg. (UE) 2026/1744. La presunzione riguarda il nesso tra la violazione e il danno e lascia al danneggiato la prova degli altri elementi della responsabilità.
[68] Art. 99, par. 1, reg. (UE) 2024/1689, come sostituito dall’art. 1, punto 38), lett. a), reg. (UE) 2026/1744.
[69] Gesetz zur Durchführung der Verordnung über künstliche Intelligenz del 22 luglio 2026, in BGBl. 2026 I, n. 223, del 28 luglio 2026, approvato dal Bundestag l’11 giugno 2026 ed entrato in vigore il giorno successivo alla pubblicazione, art. 1 (KI-Marktüberwachungs- und Innovationsförderungsgesetz, KI-MIG), § 11, Abs. 1, che richiama l’art. 14, parr. 4 e 5, reg. (UE) 2019/1020, e § 15. Il § 15 punisce fino a 50.000 euro la violazione degli obblighi degli artt. 21, 27 e 45 reg. (UE) 2024/1689 e, per i deployer di alcuni sistemi ad alto rischio, dell’obbligo di spiegazione previsto dall’art. 86, par. 1. Il § 17, Abs. 2, esclude le sanzioni pecuniarie nei confronti delle autorità e degli altri organismi pubblici.
[70] Bundesnetzagentur, AI literacy, in www.bundesnetzagentur.de (consultato l’11 ottobre 2026), secondo cui “a lack of AI (Artificial Intelligence) literacy can be seen as non-compliance with a duty of care, in particular if this results in any harm”.
[71] Art. 113, terzo comma, lett. a), b) e c), reg. (UE) 2024/1689.
[72] Art. 437-bis c.p.; art. 26, parr. 1 e 2, reg. (UE) 2024/1689; art. 113, terzo comma, lett. c), reg. (UE) 2024/1689, come sostituita dall’art. 1, punto 40), lett. b), reg. (UE) 2026/1744. Sul principio di tassatività v. l’art. 25, secondo comma, Cost.
[73] Per il d.lgs. n. 160/2026 v. l’art. 6, commi 1 e 2, richiamato nel par. 3.
[74] Art. 36, commi 1 e 2, d.lgs. n. 179/2026.
[75] Art. 38, comma 6, d.lgs. n. 179/2026.
[76] Art. 38, comma 8, d.lgs. n. 179/2026.
[77] Art. 117, secondo comma, lett. n), terzo e quarto comma, Cost. V. Corte cost., sent. n. 200 del 2009, punti 24 e 25 del Considerato in diritto.
[78] Art. 36, commi 3, 5 e 6, d.lgs. n. 179/2026.
[79] Art. 38, commi da 1 a 4, d.lgs. n. 179/2026. Le linee guida per l’introduzione dell’intelligenza artificiale nelle istituzioni scolastiche sono state adottate con d.m. 9 agosto 2025, n. 166.
[80] Art. 37, d.lgs. n. 179/2026.
[81] Art. 38, comma 3 e comma 6, lett. a), d.lgs. n. 179/2026.
[82] F. Galli, L’intelligenza artificiale nella didattica. Opportunità, rischi e regole, in Labour & Law Issues, vol. 11, n. 2, 2025, pp. I.24 ss., spec. pp. I.39-I.40.
[83] Allegato III, punto 3, art. 5, par. 1, lett. f), e art. 27, par. 1, reg. (UE) 2024/1689. Sulla posizione di scuole e università quali deployer v. F. Galli, L’intelligenza artificiale nella didattica, cit., pp. I.42-I.43.
[84] Art. 38, commi 5 e 6, d.lgs. n. 179/2026. Il comma 5 richiama il d.P.R. 8 marzo 1999, n. 275.
[85] Art. 4 reg. (UE) 2024/1689; art. 40, comma 2, d.lgs. n. 179/2026.
[86] Art. 39, commi 1 e 4, d.lgs. n. 179/2026.
[87] Art. 44, comma 8, d.lgs. n. 179/2026. Il monitoraggio previsto dal comma 6 del medesimo articolo riguarda i soli commi da 1 a 4.
[88] Art. 50, d.lgs. n. 179/2026.
[89] Art. 40, commi 1, 2 e 3, d.lgs. n. 179/2026. Il Ministro si avvale della Scuola nazionale dell’amministrazione e di Formez PA.
[90] Cons. Stato, sez. VI, 13 dicembre 2019, n. 8472. In precedenza Cons. Stato, sez. VI, 8 aprile 2019, n. 2270.
[91] B. Marchetti, La garanzia dello human in the loop, cit., p. 379; M. Corradino, Potere pubblico e intelligenza artificiale, cit., pp. 46-47.
[92] M. D’Onghia, Intelligenza artificiale, Regolamento UE 2024/1689 e diritti previdenziali, in federalismi.it, n. 33/2025, pp. 389 ss., spec. pp. 406-407.
[93] Art. 26, par. 2, reg. (UE) 2024/1689; art. 40, comma 2, d.lgs. n. 179/2026.
[94] Art. 44, commi 1 e 2, d.lgs. n. 179/2026.
[95] Art. 44, commi 3 e 4, d.lgs. n. 179/2026.
[96] Art. 44, comma 3, lett. b) e c), d.lgs. n. 179/2026; art. 24, comma 2, lett. i), l. n. 132/2025; art. 3, punto 1), e art. 14, par. 4, lett. a) e c), reg. (UE) 2024/1689.
[97] Per i richiami generici alla competenza v. l’art. 26, par. 2, reg. (UE) 2024/1689 e gli artt. 41, comma 1, e 48 d.lgs. n. 179/2026.
[98] Art. 44, commi 6 e 7, d.lgs. n. 179/2026.
[99] Art. 43, comma 3, d.lgs. n. 179/2026.
[100] Art. 46, commi 1, 2 e 3, d.lgs. n. 179/2026. Alla formazione dei magistrati provvede la Scuola superiore della magistratura (comma 4).
[101] B. Galgani, Il legislatore italiano dinanzi all’IA nel cd. “dominio Giustizia”, in Questione Giustizia, n. 3/2026, pp. 67 ss., spec. pp. 71-72 e 77.
[102] Art. 47, commi 1, 2, 3 e 5, d.lgs. n. 179/2026.
[103] Art. 51, commi da 1 a 4, d.lgs. n. 179/2026.
[104] Art. 7, comma 1, d.P.R. 7 agosto 2012, n. 137.
[105] Art. 47, comma 4 e comma 5, terzo periodo, d.lgs. n. 179/2026, che rinvia all’art. 5 della l. 14 gennaio 2013, n. 4. Il comma 4 estende alle forme aggregative delle associazioni i soli commi 1, 2 e 3, “ove vengano in rilievo, in relazione al settore di attività e alle peculiarità dell’attività professionale temi legati all’uso dei sistemi di intelligenza artificiale”. Sul potere disciplinare delle associazioni v. l’art. 2, comma 3, e l’art. 5, comma 2, lett. a), l. n. 4/2013.
[106] Sul dovere di verifica che incombe sul professionista e sull’assenza di sanzioni per l’omessa informativa v. B. Galgani, Il legislatore italiano dinanzi all’IA, cit., pp. 73-74.
[107] Art. 51, comma 2, lett. c), e art. 47, comma 6, d.lgs. n. 179/2026.
[108] Art. 24, comma 2, lett. f), l. n. 132/2025; art. 49, commi 1 e 2, d.lgs. n. 179/2026.
[109] Art. 1, comma 1, l. 21 aprile 2023, n. 49.
[110] Art. 42, commi 2 e 3, d.lgs. n. 179/2026, che richiama l’art. 28 del d.lgs. 9 aprile 2008, n. 81.
[111] Artt. 18, comma 1, lett. l), 36, 37 e 55 d.lgs. n. 81/2008.
[112] S. Cairoli, Intelligenza artificiale e sicurezza sul lavoro: uno sguardo oltre la siepe, in Diritto della Sicurezza sul Lavoro, n. 2/2024, pp. 26 ss., spec. p. 35.
[113] Art. 48, d.lgs. n. 179/2026.
[114] Art. 41, comma 1, d.lgs. n. 179/2026.
[115] Gruppo di lavoro Articolo 29 per la protezione dei dati, Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del regolamento 2016/679, WP 251 rev.01, adottate il 3 ottobre 2017, versione emendata e adottata il 6 febbraio 2018, in Garante per la protezione dei dati personali, Applicare il GDPR. Le linee guida europee, collana Contributi, pp. 132 ss., spec. p. 153 e, sul riesame umano, p. 161. Le linee guida sono state fatte proprie dal Comitato europeo per la protezione dei dati con l’Endorsement 1/2018 del 25 maggio 2018.
[116] Relazione illustrativa all’Atto del Governo n. 421, cit., p. 24, sub art. 40 dello schema, corrispondente all’art. 41 del testo definitivo.
[117] Art. 41, commi 1 e 4, d.lgs. n. 179/2026.
[118] Allegato III, punto 4, lett. b), e art. 26, par. 2, reg. (UE) 2024/1689. Sugli obblighi che il regolamento pone a carico del datore di lavoro in qualità di deployer, e sull’incertezza dei criteri che dovrebbero orientarne l’adempimento, v. G. Peluso, Diritti fondamentali, rischio, autoreferenzialità, obblighi datoriali (incerti) nell’AI Act, in federalismi.it, n. 14/2025, pp. 237 ss., spec. pp. 253-254 e 258.
[119] Art. 10, parr. 2 e 5, dir. (UE) 2024/2831 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, relativa al miglioramento delle condizioni di lavoro nel lavoro mediante piattaforme digitali, in G.U.U.E., serie L, dell’11 novembre 2024. Il coordinamento tra l’art. 41 e le norme di recepimento resta da definire.
[120] G. Peluso, Obbligo informativo e sistemi integralmente automatizzati, in Labour & Law Issues, vol. 9, n. 2, 2023, pp. 99 ss., spec. pp. 111-112.
[121] Real Decreto 723/2026, de 9 de septiembre, in BOE del 15 settembre 2026, art. 3, apartado 2, lett. k), attuativo dell’art. 8, apartado 5, dell’Estatuto de los Trabajadores.
[122] Sistemas algorítmicos en el ámbito laboral. Transparencia y garantías de protección de datos, 7 ottobre 2026, nota pubblicata in www.aepd.es a commento del Real Decreto 723/2026 e dell’avvertimento AI-00009-2026 dell’Agencia Española de Protección de Datos, pp. 3, 4, 6 e 7. L’avvertimento riguarda uno strumento di analisi dei curricula (p. 3), e il collegamento espresso con l’art. 22 reg. (UE) 2016/679 compare a p. 4.
[123] Commissione europea, Proposta di regolamento del Parlamento europeo e del Consiglio che stabilisce regole armonizzate sull’intelligenza artificiale (legge sull’intelligenza artificiale) e modifica alcuni atti legislativi dell’Unione, COM(2021) 206 final del 21 aprile 2021, Relazione, par. 3.3.
[124] Art. 41, commi 1 e 4, d.lgs. n. 179/2026.
[125] Art. 41, comma 3, d.lgs. n. 179/2026.
[126] Art. 44, comma 3, d.lgs. n. 179/2026; art. 6, commi 2 e 3, d.lgs. n. 160/2026; art. 14, par. 4, lett. b), reg. (UE) 2024/1689.
[127] Art. 2697 c.c.
[128] Art. 5 l. 15 luglio 1966, n. 604. Sul principio di vicinanza della prova v. Cass., sez. un., 30 ottobre 2001, n. 13533.
[129] Art. 17, comma 2, lett. d), d.lgs. n. 160/2026.
[130] Art. 46, comma 3, d.lgs. n. 179/2026; art. 3, commi 4 e 5, d.lgs. n. 160/2026.
[131] Gruppo di lavoro Articolo 29, Linee guida sul processo decisionale automatizzato, cit., p. 153.
[132] Art. 41, comma 1, primo periodo, d.lgs. n. 179/2026, che fa salvo l’art. 22 reg. (UE) 2016/679.
[133] Relazione illustrativa all’Atto del Governo n. 421, cit., p. 24, sub art. 40 dello schema.
[134] Art. 22, par. 2, lett. a), b) e c), regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016.
[135] Art. 2, par. 11, reg. (UE) 2024/1689. Sullo spazio che la disposizione riserva all’intervento normativo interno in materia di lavoro v. E. Dagnino, Intelligenza Artificiale, lavoro e diritto interno, cit., p. 3; G. Peluso, Diritti fondamentali, rischio, autoreferenzialità, cit., p. 245, nota 39.
[136] Art. 88, parr. 1 e 2, reg. (UE) 2016/679, il cui par. 3 prevede la notifica alla Commissione delle disposizioni adottate. V. Corte giust., 30 marzo 2023, causa C-34/21, Hauptpersonalrat der Lehrerinnen und Lehrer.
[137] Corte giust., 7 dicembre 2023, causa C-634/21, SCHUFA Holding (Scoring), punti 44-46, con richiamo al considerando 71 reg. (UE) 2016/679. Sulla rilevanza della pronuncia per le decisioni algoritmiche nel lavoro v. A. Aza, Scores as Decisions? Article 22 GDPR and the Judgment of the CJEU in SCHUFA Holding (Scoring) in the Labour Context, in Industrial Law Journal, vol. 53, n. 4, 2024, doi: 10.1093/indlaw/dwae035.
[138] Allegato III, punto 4, lett. a), e art. 26, par. 11, reg. (UE) 2024/1689.
[139] Art. 41, comma 1, terzo periodo, d.lgs. n. 179/2026.
[140] Art. 1-bis, commi 1 e 7, d.lgs. n. 152/1997.
[141] Art. 1-bis, comma 1, d.lgs. n. 152/1997, e art. 41, commi 1 e 3, d.lgs. n. 179/2026. Sul disallineamento tra le due nozioni v. E. Dagnino, Intelligenza Artificiale, lavoro e diritto interno, cit., pp. 7-8.
[142] Art. 41, comma 4, d.lgs. n. 179/2026.
[143] Art. 18, primo comma, l. 20 maggio 1970, n. 300, e art. 2, comma 1, d.lgs. 4 marzo 2015, n. 23, su cui v. Corte cost., sent. n. 22 del 2024, punti 4.4, 4.5 e 11 del Considerato in diritto.
[144] Sul modello della nullità che opera soltanto a vantaggio del contraente protetto v. l’art. 36, comma 3, d.lgs. 6 settembre 2005, n. 206.
[145] Relazione illustrativa all’Atto del Governo n. 421, cit., p. 24, sub art. 40 dello schema.
[146] Art. 24, comma 2, lett. b), l. n. 132/2025; art. 2, par. 11, reg. (UE) 2024/1689.
[147] Art. 24, comma 2, alinea, l. n. 132/2025; art. 32, comma 1, lett. b) e c), l. n. 234/2012.
[148] Corte cost., sent. n. 22 del 2024, cit., punti 7 e 8 del Considerato in diritto.
[149] Art. 3, comma 5, l. n. 132/2025.
[150] Artt. 1324 e 1418, primo comma, c.c.
[151] Corte cost., sent. n. 22 del 2024, cit., che ha dichiarato l’illegittimità costituzionale dell’art. 2, comma 1, d.lgs. n. 23/2015, limitatamente alla parola “espressamente”, per eccesso di delega.
[152] Artt. 52 e 53, d.lgs. n. 179/2026; art. 98, comma 1-bis, e art. 134, comma 1, lett. b), d.lgs. 10 febbraio 2005, n. 30.
[153] Art. 13, parr. 1 e 2, reg. (UE) 2024/1689.
[154] Art. 16, commi 1, 2 e 3, l. n. 132/2025. Il preambolo del decreto richiama l’art. 24, comma 1 e comma 2, lettere da a) a g) e da i) a n), della l. n. 132/2025. Il decreto è adottato su proposta del Presidente del Consiglio dei ministri e del Ministro per gli affari europei, il PNRR (Piano nazionale di ripresa e resilienza) e le politiche di coesione.
[155] Art. 53, par. 1, lett. d), e art. 78 reg. (UE) 2024/1689.
[156] Art. 98, comma 1, d.lgs. n. 30/2005, sui requisiti della tutela dei segreti commerciali.
[157] Art. 41, comma 3, d.lgs. n. 179/2026.
[158] Art. 23, comma 4, d.lgs. n. 179/2026; art. 86, parr. 1 e 3, reg. (UE) 2024/1689.
[159] Art. 1-bis, comma 8, d.lgs. n. 152/1997. V. G. Peluso, Obbligo informativo e sistemi integralmente automatizzati, cit., pp. 113-116.
[160] Corte giust., 27 febbraio 2025, causa C-203/22, Dun & Bradstreet Austria.
[161] Cons. Stato, sez. VI, n. 8472/2019, cit. Sul punto v. G. Pinotti, Amministrazione digitale algoritmica e garanzie procedimentali, in Labour & Law Issues, vol. 7, n. 1, 2021, pp. I.79 ss., spec. p. I.93.
[162] Art. 41, comma 3, ultimo periodo, d.lgs. n. 179/2026, che richiama gli artt. 13, 15 e 22 del regolamento (UE) 2016/679.
[163] Art. 3, par. 2, direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know-how riservato e delle informazioni commerciali riservate contro l’acquisizione, l’utilizzo e la divulgazione illeciti, che considera lecita la rivelazione del segreto richiesta o autorizzata dal diritto dell’Unione o dal diritto nazionale.
[164] E. Di Iorio, E. Iorio, R. Scelzi, Il pensiero ‘tecnocritico’ e le nuove frontiere umanoidi tra narrazione verbale e non verbale. L’IA e i suoi bias, in A.F. Uricchio, C. Caldarola (a cura di), L’intelligenza artificiale tra regolazione e esperienze applicative, cit., pp. 339 ss., spec. p. 344.
[165] S. Alon-Barkat, M. Busuioc, Human–AI Interactions in Public Sector Decision Making: “Automation Bias” and “Selective Adherence” to Algorithmic Advice, in Journal of Public Administration Research and Theory, vol. 33, n. 1, 2023, pp. 153 ss.
[166] B. Green, The flaws of policies requiring human oversight of government algorithms, cit., par. 5; J. Laux, Institutionalised distrust and human oversight of artificial intelligence, cit., parr. 4 e 5; J. Laux, H. Ruschemeier, Automation Bias in the AI Act, cit., parr. III.1 e III.2.
[167] Art. 4, par. 2, reg. (UE) 2024/1689, come sostituito dall’art. 1, punto 5), reg. (UE) 2026/1744.
[168] Art. 99, par. 1, reg. (UE) 2024/1689, come sostituito dall’art. 1, punto 38), lett. a), reg. (UE) 2026/1744; art. 23, comma 4, d.lgs. n. 179/2026; § 15 KI-MIG.
[169] Art. 40, comma 2, art. 47, comma 6, e art. 35, d.lgs. n. 179/2026. V. anche l’art. 30, commi 3 e 4, sugli spazi di sperimentazione regionali e locali.
[170] J. Laux, Institutionalised distrust and human oversight of artificial intelligence, cit., par. 1.
[171] Art. 43, comma 1, d.lgs. n. 179/2026.
[172] Art. 41, comma 3, d.lgs. n. 179/2026; art. 1-bis, commi 3 e 6, d.lgs. n. 152/1997.
[173] L. Zappalà, Sistemi di IA ad alto rischio e ruolo del sindacato alla prova del risk-based approach, in Labour & Law Issues, vol. 10, n. 1, 2024, pp. I.52 ss., spec. pp. I.62 e I.65-I.67. L’art. 26, par. 7, reg. (UE) 2024/1689 impone ai deployer che sono datori di lavoro di informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in servizio o utilizzare un sistema ad alto rischio sul luogo di lavoro.
[174] Corte giust., Dun & Bradstreet Austria, cit.