Decreto 179/2026: l'AI può aiutarti a valutare un dipendente. Decidere da sola, no.

A giugno, raccontando la legge italiana sull'AI, avevamo segnato una data: i decreti attuativi entro ottobre 2026. Il primo è arrivato. È il decreto legislativo 7 ottobre 2026, n. 179, pubblicato in Gazzetta l'8 ottobre e in vigore dal 23 ottobre.

Ha 54 articoli, e quasi tutti parlano di autorità, scuole, università e pubblica amministrazione. Per un'impresa privata ne contano pochi, e i più importanti si applicano già. Il più concreto riguarda chi ha dipendenti: dal 23 ottobre un sistema AI può aiutarti a valutare una persona, ma la decisione finale deve prenderla qualcuno in carne e ossa, e il lavoratore può chiedergli conto.

1. Chi controlla, e a chi si può fare reclamo

Il decreto distribuisce i compiti che l'AI Act lascia agli Stati.

• ACN, l'Agenzia per la cybersicurezza nazionale, è l'autorità di vigilanza del mercato per i sistemi AI (art. 5). Fa ispezioni, ordina correzioni, ritira sistemi dal mercato, applica le sanzioni. È anche il punto di contatto unico con l'Europa (art. 6).
• AgID è l'autorità di notifica (art. 4): designa e controlla gli organismi che certificano i sistemi ad alto rischio.
• Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati per credito, investimenti e assicurazioni.
• Il Garante privacy vigila solo su un perimetro stretto: i sistemi ad alto rischio usati da polizia, frontiere e giustizia. Restano intatti tutti i suoi poteri sul GDPR (art. 12).

Le autorità ricevono anche i reclami previsti dall'AI Act, e chi sbaglia indirizzo non perde nulla: l'autorità che non è competente gira il reclamo a quella giusta (art. 18). Un cliente, un dipendente o un concorrente che ritiene scorretto il tuo uso dell'AI sa dove scrivere.

2. Quanto costa sbagliare, con lo sconto per le PMI

L'articolo 23 riporta in Italia le soglie dell'AI Act. Ogni violazione ha due tetti, un importo fisso e una percentuale del fatturato mondiale annuo. Le fasce sono quattro:

• pratiche vietate (manipolazione, punteggio sociale, riconoscimento delle emozioni sul lavoro): fino a 35 milioni o al 7%;
• obblighi sui sistemi ad alto rischio e obblighi di trasparenza, come il chatbot che deve dichiararsi e i contenuti generati da marcare: fino a 15 milioni o al 3%;
• informazioni inesatte o incomplete date alle autorità: fino a 7,5 milioni o all'1%;
• valutazione d'impatto sui diritti fondamentali e diritto alla spiegazione delle decisioni: fino a 1 milione o allo 0,5%.

Per le grandi aziende vale il valore più alto dei due. Per PMI, microimprese e start-up innovative vale il più basso (art. 23, comma 7, che rinvia all'articolo 99 dell'AI Act). Per un'azienda con 4 milioni di fatturato, il tetto per un obbligo di trasparenza scende da 15 milioni al 3% del fatturato, cioè 120.000 euro. Quello per le pratiche vietate scende a 280.000 euro.

C'è anche una strada senza multa. Per le violazioni di scarsa gravità l'autorità può ordinarti di rimediare entro un termine, oppure, se la violazione è già cessata, pubblicare una dichiarazione con il tuo nome e la violazione commessa (art. 22). Se ignori l'ordine, la sanzione che arriva dopo può crescere fino a un terzo. Per una PMI che vive di reputazione, anche la dichiarazione pubblica ha un costo.

3. Dipendenti: l'AI aiuta a decidere, la decisione resta a una persona

Su questa parte c'è da lavorare subito, perché il rinvio europeo non la copre. L'articolo 41 vale per qualunque sistema AI, alto rischio o no, usato nei processi decisionali sul rapporto di lavoro.

Il datore di lavoro deve assicurare che le decisioni finali non siano prese solo sulla base di un trattamento automatizzato. La regola copre:

• l'assunzione, la modifica e la fine del rapporto;
• i provvedimenti disciplinari;
• le valutazioni delle prestazioni.

Prima di usare il sistema devi dare ai lavoratori l'informativa prevista dall'articolo 1-bis del d.lgs. 152/1997: a cosa serve il sistema, come funziona, quali dati usa, quali controlli umani sono previsti. La stessa informazione va alle rappresentanze sindacali. Poi il lavoratore ha un diritto nuovo: chiedere a una persona una motivazione comprensibile della decisione che lo riguarda, con il peso che ha avuto l'AI e i parametri principali considerati.

La conseguenza è scritta in chiaro: il licenziamento deciso in violazione della regola è nullo, e lo sono anche le altre decisioni.

Due esempi per capire dove passa il confine.

• Un software ordina i curriculum e scarta in automatico chi è sotto una certa soglia. Nessuno guarda gli scartati. Per quei candidati la decisione è stata solo automatica.
• Un cruscotto segnala i commerciali «sotto obiettivo» e il responsabile firma la lettera di richiamo senza altri elementi. La firma c'è, ma se la lettera si regge solo su quel punteggio l'azienda fatica a dimostrare che la decisione non è stata automatica. Conviene che chi decide aggiunga elementi propri e li metta per iscritto.

L'articolo 42 aggiunge un pezzo alla sicurezza sul lavoro. Se un sistema AI incide sull'organizzazione, sui ritmi o sul modo di lavorare (pensa al software che assegna i percorsi di prelievo in magazzino e ne fissa i tempi), va considerato nella valutazione dei rischi del d.lgs. 81/2008, cioè nel DVR. E i lavoratori vanno informati e formati sui rischi specifici di quel sistema.

4. Dati e modelli addestrati: segreto industriale, se li tieni segreti

L'articolo 52 modifica il codice della proprietà industriale. Tra le informazioni aziendali protette come segreto entrano in modo esplicito i dati di addestramento e gli algoritmi: architetture dei modelli, procedure e configurazioni di addestramento. Le cause finiscono davanti alle sezioni specializzate in materia di impresa (art. 53).

È una buona notizia per chi addestra o adatta modelli sui propri dati: lo storico delle commesse, le schede tecniche, le risposte del servizio clienti. Ma la tutela ha una condizione, la stessa che vale per ogni segreto industriale: le informazioni devono essere segrete, avere valore perché lo sono, ed essere protette da misure ragionevoli. Il giudice ti chiederà quali.

Non serve per forza tenere tutto in casa. Serve poter dimostrare dove stanno quei dati, chi li vede e con quali regole. Se li hai caricati su un servizio di cui non conosci le condizioni d'uso, quella dimostrazione diventa difficile.

5. Professionisti e studi

Due novità riguardano chi lavora in un ordine professionale.

• Formazione obbligatoria. I corsi di formazione continua degli ordini devono includere percorsi sull'AI, con un monte ore minimo (art. 47). I consigli nazionali hanno sei mesi per adeguare i regolamenti, quindi fino ad aprile 2027. Per le professioni sanitarie la quota passa dai crediti ECM (art. 51).
• Equo compenso. L'uso dell'AI può modulare l'equo compenso del professionista, secondo la classe di rischio del sistema usato (art. 49). I parametri arriveranno entro dodici mesi.

Per le imprese che sviluppano soluzioni AI, infine, il decreto istituisce lo spazio di sperimentazione italiano (art. 26), un ambiente controllato per provare i sistemi con le autorità. PMI e start-up avranno la precedenza, con criteri ancora da definire.

Cosa fare questo mese

Più che moduli da compilare, il decreto chiede di sapere come usi l'AI e di poterlo spiegare.

1. Fai l'elenco degli usi dell'AI che toccano persone: selezione, valutazioni, turni, richiami, premi. Contano anche le funzioni AI già incluse nel gestionale del personale.
2. Per ogni uso, scrivi chi decide e su cosa. Il nome della persona che firma e gli elementi che considera oltre al punteggio del sistema.
3. Aggiorna l'informativa ai lavoratori e mandala alle rappresentanze sindacali, prima di accendere un sistema nuovo.
4. Porta l'AI nel DVR se cambia ritmi o modalità di lavoro, e prevedi la formazione relativa.
5. Censisci i dati che usi per addestrare o istruire i modelli: dove stanno, chi vi accede, quale contratto li copre.
6. Controlla chatbot e contenuti generati: gli obblighi di trasparenza sono già in vigore e stanno nella fascia di sanzione più alta dopo quella delle pratiche vietate.

Il nostro taglio: spiegare una decisione richiede di poterla ricostruire

Il diritto alla motivazione dell'articolo 41 e il segreto industriale dell'articolo 52 chiedono la stessa cosa: sapere cosa ha fatto il sistema, con quali dati, su ordine di chi. Su un servizio AI esterno quelle informazioni stanno nei log del fornitore, se le conserva. Su un sistema che gira sulla tua infrastruttura i log, i parametri e i dati sono tuoi, e una motivazione si ricostruisce anche sei mesi dopo, quando un dipendente la chiede o un giudice la pretende.

Se vuoi capire quali dei tuoi strumenti rientrano nell'articolo 41, o quanto costa portare l'AI del personale su un'infrastruttura che controlli, parliamone.

FAQ

Cos'è il D.Lgs. 179/2026 e da quando si applica?

È il decreto legislativo del 7 ottobre 2026 che adegua le norme italiane all'AI Act europeo, in attuazione della legge 132/2025. È pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 ed è in vigore dal 23 ottobre 2026.

Chi controlla in Italia le aziende che usano l'intelligenza artificiale?

L'Agenzia per la cybersicurezza nazionale (ACN) è l'autorità di vigilanza del mercato, il punto di contatto unico e irroga le sanzioni. L'AgID gestisce gli organismi che certificano i sistemi. Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio nei servizi finanziari.

Un'azienda può usare l'AI per valutare o licenziare un dipendente?

Può usarla come supporto, ma la decisione finale su assunzione, modifica o fine del rapporto, provvedimenti disciplinari e valutazioni non può basarsi solo su un trattamento automatizzato. Il lavoratore può chiedere una motivazione comprensibile a una persona, e un licenziamento deciso in violazione della regola è nullo.

Le sanzioni dell'AI Act sono più basse per le PMI?

Sì. Per PMI, microimprese e start-up innovative il tetto di ogni sanzione è il valore più basso tra l'importo fisso e la percentuale del fatturato mondiale annuo. Per le violazioni lievi l'autorità può invece ordinare di rimediare o pubblicare una dichiarazione sulla violazione.