Intelligenza Artificiale e Legge 132/2025: cosa cambia davvero

Intelligenza Artificiale e Legge n. 132/2025 rappresentano oggi i due elementi centrali del processo di costruzione della disciplina italiana sull’utilizzo dei sistemi algoritmici. La legge del 23 settembre 2025, entrata in vigore il 10 ottobre 2025, non sostituisce il Regolamento europeo sull’intelligenza artificiale, ma ne integra l’applicazione attraverso principi nazionali, disposizioni settoriali, nuove competenze istituzionali e deleghe affidate al Governo.

Il risultato è un quadro normativo articolato, nel quale il Regolamento (UE) 2024/1689, noto come AI Act conserva il ruolo di disciplina europea direttamente applicabile, mentre la Legge n. 132/2025 interviene sulle materie rimesse agli Stati membri e sui profili caratteristici dell’ordinamento italiano. La legge è stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è stata successivamente oggetto di un avviso di rettifica.

Intelligenza Artificiale e Legge 132/2025: il rapporto con l’AI Act

Il primo elemento da chiarire riguarda il rapporto tra la legge italiana e la disciplina europea. L’articolo 1 stabilisce espressamente che le disposizioni nazionali devono essere interpretate e applicate conformemente al Regolamento (UE) 2024/1689.

La Legge n. 132/2025 non introduce quindi un sistema alternativo all’AI Act. Essa costruisce una disciplina nazionale complementare, destinata a operare nei settori nei quali il regolamento europeo lascia spazi di intervento agli Stati membri oppure richiede l’individuazione delle autorità competenti, delle procedure di controllo e dell’apparato sanzionatorio.

La stessa legge precisa che i principi generali da essa formulati non devono produrre, per i sistemi di intelligenza artificiale e per i modelli di intelligenza artificiale per finalità generali, obblighi ulteriori rispetto a quelli previsti dall’AI Act. Questa clausola è essenziale per evitare sovrapposizioni, duplicazioni e possibili contrasti con il principio di armonizzazione europea.

Il coordinamento assume particolare rilevanza in vista del 2 agosto 2026, data dalla quale diviene applicabile una parte molto ampia della disciplina europea, ferme restando le disposizioni già operative dal 2025 e le differenti scansioni temporali previste per alcune categorie di sistemi.

Un modello antropocentrico fondato sul controllo umano

Il principio ispiratore della Legge n. 132/2025 è la centralità della persona. Ricerca, sviluppo, adozione e utilizzo dell’intelligenza artificiale devono rispettare i diritti fondamentali, le libertà costituzionali e i principi di trasparenza, proporzionalità, sicurezza, protezione dei dati personali, accuratezza, non discriminazione, parità di genere e sostenibilità.

Particolare rilievo assume il principio della sorveglianza umana. I sistemi di intelligenza artificiale devono essere sviluppati e utilizzati senza comprimere l’autonomia e il potere decisionale della persona. Devono inoltre risultare conoscibili, trasparenti e, nei limiti tecnicamente possibili, spiegabili.

La responsabilità non può quindi essere trasferita automaticamente all’algoritmo. L’intervento umano deve essere effettivo e non meramente formale: il soggetto chiamato a prendere la decisione deve possedere le competenze, le informazioni e i poteri necessari per comprendere, verificare e, quando occorre, correggere o disattendere il risultato prodotto dal sistema.

La legge collega inoltre la tutela dei diritti alla cybersicurezza lungo l’intero ciclo di vita del sistema. Sicurezza, resilienza, protezione contro le manipolazioni e controlli proporzionati al rischio diventano componenti strutturali della governance dell’intelligenza artificiale.

Protezione dei dati personali, trasparenza e tutela dei minori

Il trattamento dei dati attraverso sistemi di intelligenza artificiale deve rimanere conforme al GDPR e al Codice in materia di protezione dei dati personali. La Legge n. 132/2025 richiede che le informazioni relative ai trattamenti siano formulate con un linguaggio chiaro, semplice e comprensibile, in modo da consentire agli utenti di conoscere i rischi e di esercitare i propri diritti.

Una disciplina specifica riguarda i minori. Per l’accesso alle tecnologie di intelligenza artificiale e per il conseguente trattamento dei dati personali del minore di quattordici anni è richiesto il consenso di chi esercita la responsabilità genitoriale. Il minore che abbia compiuto quattordici anni può invece esprimere personalmente il consenso, purché le informazioni siano facilmente accessibili e comprensibili.

Per imprese e amministrazioni ciò comporta la necessità di coordinare le informative privacy, i meccanismi di acquisizione del consenso, le procedure di verifica dell’età e le misure di sicurezza con le caratteristiche concrete del servizio di intelligenza artificiale utilizzato.

L’utilizzo dell’intelligenza artificiale nel lavoro

Nel rapporto di lavoro l’intelligenza artificiale può essere utilizzata per migliorare le condizioni lavorative, tutelare l’integrità psicofisica delle persone e accrescere la qualità delle prestazioni. Il suo impiego deve tuttavia essere sicuro, affidabile, trasparente e rispettoso della dignità umana.

Il datore di lavoro o il committente deve informare il lavoratore nei casi e secondo le modalità previste dall’articolo 1-bis del D.Lgs. n. 152/1997, relativo all’utilizzo di sistemi decisionali o di monitoraggio automatizzati. La comunicazione deve riguardare, tra gli altri elementi, gli aspetti del rapporto sui quali incide il sistema, le sue finalità, la logica di funzionamento, le categorie di dati utilizzate, le misure di controllo, l’accuratezza, la robustezza, la cybersicurezza e i potenziali effetti discriminatori.

La disciplina deve essere coordinata anche con lo Statuto dei lavoratori, con il GDPR, con gli obblighi di valutazione d’impatto e con le prerogative delle rappresentanze sindacali. Non è quindi sufficiente inserire una clausola generica nell’informativa aziendale: occorre ricostruire concretamente i processi nei quali l’intelligenza artificiale interviene nella selezione, nell’assegnazione delle mansioni, nella valutazione delle prestazioni, nel monitoraggio o nella cessazione del rapporto.

La legge istituisce inoltre presso il Ministero del lavoro un Osservatorio sull’adozione dei sistemi di intelligenza artificiale nel mondo del lavoro, chiamato a monitorarne gli effetti, individuare i settori maggiormente coinvolti e promuovere la formazione di lavoratori e datori di lavoro.

Professionisti: l’AI rimane uno strumento di supporto

Per le professioni intellettuali la Legge n. 132/2025 adotta una posizione particolarmente netta. L’intelligenza artificiale può essere impiegata esclusivamente per attività strumentali e di supporto, mentre deve rimanere prevalente il lavoro intellettuale del professionista.

Il professionista conserva quindi la responsabilità della prestazione, delle valutazioni formulate e delle conclusioni comunicate al cliente. Non può giustificare un errore richiamando l’output prodotto dal sistema né affidare all’intelligenza artificiale la parte essenziale del proprio giudizio tecnico o giuridico.

La legge impone inoltre di comunicare al cliente, con linguaggio chiaro, semplice ed esaustivo, le informazioni relative ai sistemi di intelligenza artificiale utilizzati. Per gli studi professionali diventa pertanto opportuno definire procedure interne che stabiliscano quali strumenti possano essere utilizzati, quali dati possano essere inseriti, come debbano essere verificati i risultati e in quali forme debba essere resa l’informazione al cliente.

Pubblica amministrazione e decisione amministrativa

Le pubbliche amministrazioni possono utilizzare l’intelligenza artificiale per incrementare l’efficienza, ridurre i tempi dei procedimenti e migliorare la qualità dei servizi. Devono però garantire agli interessati la conoscibilità del funzionamento del sistema e la tracciabilità del suo impiego.

L’AI deve svolgere una funzione strumentale e di supporto. Il potere decisionale resta attribuito alla persona fisica, che rimane l’unica responsabile del procedimento e del provvedimento adottato.

La disposizione conferma che la trasformazione digitale della PA non elimina le garanzie proprie dell’azione amministrativa. Motivazione, partecipazione, imparzialità, trasparenza, accesso agli atti e sindacabilità della decisione devono continuare a essere assicurati anche quando l’istruttoria o la proposta di decisione siano state elaborate mediante sistemi algoritmici.

Le amministrazioni sono inoltre chiamate ad adottare misure tecniche, organizzative e formative. La formazione degli utilizzatori diventa quindi parte integrante dell’obbligo di corretta implementazione del sistema e non un’attività accessoria.

Intelligenza artificiale nell’attività giudiziaria

Nell’attività giudiziaria ogni decisione relativa all’interpretazione e all’applicazione della legge, alla valutazione dei fatti e delle prove e all’adozione dei provvedimenti rimane riservata al magistrato.

I sistemi di intelligenza artificiale possono essere impiegati per l’organizzazione dei servizi, la semplificazione del lavoro giudiziario e le attività amministrative accessorie, ma non possono sostituire l’esercizio della funzione giurisdizionale.

La legge prevede inoltre specifiche attività formative per magistrati e personale amministrativo, finalizzate all’acquisizione di competenze digitali e alla conoscenza dei benefici e dei rischi derivanti dall’impiego dell’AI. Fino alla piena attuazione dell’AI Act, la sperimentazione negli uffici giudiziari ordinari deve essere autorizzata dal Ministero della giustizia, sentite le autorità nazionali competenti.

AgID, ACN e autorità di vigilanza

La Legge n. 132/2025 designa l’Agenzia per l’Italia digitale e l’Agenzia per la cybersicurezza nazionale quali autorità nazionali per l’intelligenza artificiale.

AgID è chiamata a promuovere l’innovazione e lo sviluppo dell’AI e a svolgere le funzioni relative alla notifica, valutazione, accreditamento e supervisione degli organismi incaricati di verificare la conformità dei sistemi.

ACN assume invece le funzioni di vigilanza del mercato, comprese le attività ispettive e sanzionatorie, e opera come punto di contatto unico con le istituzioni europee. Conserva inoltre un ruolo specifico nella promozione dell’intelligenza artificiale applicata alla cybersicurezza.

Restano ferme le competenze della Banca d’Italia, della CONSOB e dell’IVASS per i sistemi utilizzati nei settori bancario, finanziario e assicurativo, nonché quelle del Garante per la protezione dei dati personali e dell’Autorità per le garanzie nelle comunicazioni. Ne deriva una governance necessariamente multilivello, che richiede procedure chiare di cooperazione e coordinamento tra autorità.

Diritto d’autore e opere realizzate con l’ausilio dell’AI

La legge modifica la disciplina sul diritto d’autore, chiarendo che sono protette le opere dell’ingegno umano di carattere creativo anche quando siano state realizzate con l’ausilio di strumenti di intelligenza artificiale, purché costituiscano il risultato del lavoro intellettuale dell’autore.

La tutela non deriva quindi dal semplice utilizzo di uno strumento generativo. Deve essere possibile individuare un contributo creativo umano effettivo, riconducibile alle scelte, alla progettazione, alla selezione o alla rielaborazione compiute dall’autore.

La legge interviene anche sulle attività di text and data mining, confermando che le riproduzioni e le estrazioni di testi e dati mediante sistemi di intelligenza artificiale sono consentite soltanto nel rispetto delle condizioni e delle eccezioni previste dalla normativa sul diritto d’autore.

Deepfake, aggravanti e responsabilità penale

Sul piano penale, la Legge n. 132/2025 introduce una nuova aggravante comune per i reati commessi mediante sistemi di intelligenza artificiale quando il loro utilizzo costituisca un mezzo insidioso, ostacoli la difesa pubblica o privata oppure aggravi le conseguenze del fatto.

Viene inoltre introdotto l’articolo 612-quater del Codice penale, relativo all’illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale. La disposizione punisce chi cagiona un danno ingiusto diffondendo, senza il consenso della persona interessata, immagini, video o voci falsificati o alterati e idonei a trarre in inganno sulla loro autenticità.

Ulteriori aggravamenti di pena sono previsti per la manipolazione del mercato e per altre condotte illecite realizzate mediante sistemi di AI. La legge rafforza così la tutela contro i deepfake dannosi, senza criminalizzare in modo generalizzato la produzione di contenuti sintetici.

I decreti attuativi della Legge n. 132/2025

La disciplina italiana non può ancora considerarsi definitivamente completata. Gli articoli 16 e 24 delegano il Governo ad adottare, entro il 10 ottobre 2026, uno o più decreti legislativi riguardanti l’utilizzo dei dati e degli algoritmi per l’addestramento, l’adeguamento dell’ordinamento nazionale all’AI Act, i poteri delle autorità, le sanzioni, la formazione e le responsabilità civili e penali.

Nel giugno 2026 il Governo ha approvato in esame preliminare due schemi di decreto legislativo. Alla data del 21 luglio 2026, entrambi risultano ancora sottoposti all’esame parlamentare.

L’Atto del Governo n. 418 riguarda l’utilizzo dell’intelligenza artificiale nell’attività di polizia e le responsabilità penali e civili. Lo schema interviene, tra l’altro, sui trattamenti biometrici, sulle garanzie procedurali, sulla formazione del personale, sugli illeciti connessi alla realizzazione o all’impiego dei sistemi e sugli strumenti processuali per il risarcimento dei danni.

L’Atto del Governo n. 421 riguarda invece i poteri delle autorità nazionali e l’utilizzo dell’intelligenza artificiale nella formazione. L’iter parlamentare dei due provvedimenti è ancora in corso e i testi potranno pertanto subire modificazioni prima dell’approvazione definitiva.

Dalla conformità formale alla governance dell’intelligenza artificiale

La principale conseguenza della Legge n. 132/2025 è il passaggio da un utilizzo prevalentemente sperimentale dell’intelligenza artificiale a una vera e propria governance organizzativa dell’AI.

Imprese, pubbliche amministrazioni e studi professionali devono innanzitutto ricostruire quali sistemi siano già utilizzati, anche in modo informale, dai dipendenti e dai collaboratori. Occorre poi individuare le finalità, i dati trattati, i fornitori coinvolti, il ruolo assunto ai sensi dell’AI Act, il livello di rischio, le decisioni influenzate dal sistema e le persone potenzialmente interessate.

Su questa base devono essere predisposti presidi relativi alla selezione dei fornitori, alla protezione dei dati, alla sicurezza, alla tracciabilità, al controllo umano, alla verifica degli output, alla gestione degli incidenti e alla conservazione della documentazione.

Un ruolo decisivo spetta alla formazione. La conoscenza delle potenzialità dello strumento non è sufficiente: dirigenti, dipendenti e professionisti devono essere in grado di riconoscere limiti, allucinazioni, distorsioni, rischi discriminatori, problemi di riservatezza e conseguenze giuridiche dell’utilizzo improprio.

La Legge n. 132/2025 sull’Intelligenza Artificiale non rappresenta il punto di arrivo della regolazione italiana, ma l’inizio di una fase attuativa destinata a svilupparsi attraverso i decreti legislativi, l’attività delle autorità nazionali e la progressiva applicazione dell’AI Act.

Il messaggio rivolto alle organizzazioni è tuttavia già chiaro: l’intelligenza artificiale può migliorare produttività, servizi e capacità decisionali, ma deve essere inserita in un sistema di responsabilità nel quale rimangano centrali la persona, la trasparenza, la protezione dei dati, la sicurezza e il controllo umano.

La vera sfida non consiste soltanto nell’acquistare strumenti conformi, ma nel costruire processi organizzativi capaci di governarli. In questa prospettiva, competenze giuridiche, tecnologiche e manageriali devono convergere in un modello integrato di AI governance.

Paradigma approfondisce l’evoluzione della disciplina dell’intelligenza artificiale attraverso iniziative formative dedicate ad AI Act, governance, responsabilità, data protection, cybersicurezza e impatti organizzativi. Visita il nostro sito per conoscere i prossimi appuntamenti.