La Legge 132/2025, in vigore dal 10 ottobre 2025, è il primo intervento normativo nazionale che accompagna l'applicazione del Regolamento UE 2024/1689 (AI Act). Non introduce obblighi ulteriori rispetto al regolamento europeo, ma definisce la governance italiana e — soprattutto — rende molto più concreto il tema per le PMI.

Chi vigila

Il presidio è affidato ad AgID, per notifica e accreditamento dei soggetti, e all'Agenzia per la Cybersicurezza Nazionale, cui spettano la vigilanza di mercato e l'applicazione delle sanzioni. Resta pienamente competente il Garante per la protezione dei dati personali per tutto ciò che riguarda il trattamento dei dati.

I punti che toccano davvero le imprese

  • Trasparenza: l'utilizzo di sistemi di IA va comunicato in modo chiaro a clienti, utenti e interessati
  • Lavoro: l'IA usata per organizzare, valutare o monitorare la prestazione lavorativa richiede informativa e tutele; è stato istituito un Osservatorio dedicato presso il Ministero del Lavoro
  • Professioni: l'IA resta strumento di supporto, la responsabilità professionale non è delegabile
  • Minori: consenso genitoriale sotto i 14 anni per l'accesso ai sistemi di IA

📋 Dove si concentra il rischio nelle PMI

Tre casi ricorrenti: 1) software di screening dei CV che profilano i candidati; 2) videosorveglianza con analisi intelligente delle immagini, che si intreccia con l'art. 4 dello Statuto dei Lavoratori e con l'accordo sindacale o l'autorizzazione dell'Ispettorato; 3) assistenti generativi in cui i dipendenti incollano dati di clienti e fornitori senza alcuna policy interna.

Le sanzioni

Il sistema sanzionatorio segue i livelli dell'AI Act: fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli obblighi, fino a 7,5 milioni o all'1% per informazioni inesatte. A questi si somma, sul versante dati personali, l'impianto sanzionatorio del GDPR.

✅ Cosa fare subito

Mappare i sistemi di IA effettivamente in uso (spesso sono più di quanti l'azienda creda), classificarne il rischio, aggiornare registro dei trattamenti e informative, redigere una policy aziendale sull'uso dell'IA e formare il personale. È un intervento rapido, ed è la prima cosa che verrà chiesta in caso di ispezione o di data breach.