La legge 23 settembre 2025, n. 132 è la legge italiana sull'intelligenza artificiale: in vigore dal 10 ottobre 2025, affianca l'AI Act europeo senza creare nuovi obblighi per i sistemi di IA. Designa AgID e ACN come autorità nazionali, detta regole per lavoro, sanità, professioni e PA, introduce il reato di deepfake e delega il Governo ai decreti attuativi.
In sintesi
- Titolo ufficiale: «Disposizioni e deleghe al Governo in materia di intelligenza artificiale». Pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025, è in vigore dal 10 ottobre 2025.
- Non è un secondo AI Act: l'articolo 3, comma 5, dice espressamente che la legge non produce nuovi obblighi rispetto al regolamento (UE) 2024/1689 per sistemi e modelli di IA.
- AgID è l'autorità di notifica, ACN l'autorità di vigilanza del mercato e il punto di contatto unico. Banca d'Italia, CONSOB e IVASS vigilano sul settore finanziario.
- Le regole con più impatto sulle imprese: informare i lavoratori, informare i clienti dei professionisti, consenso dei genitori sotto i 14 anni, il nuovo reato dell'articolo 612-quater del codice penale.
- Nel 2026 sono arrivati i decreti attuativi: il d.lgs. 160/2026 (polizia, responsabilità civile e penale) e il d.lgs. 179/2026 (poteri delle autorità, sanzioni, formazione, lavoro), in vigore dal 23 ottobre 2026.
Perché l'Italia ha una legge sull'IA se c'è già l'AI Act?
L'AI Act è un regolamento europeo: si applica direttamente in tutti gli Stati membri, senza recepimento. Ma lascia ai Paesi alcune scelte obbligate, come designare le autorità di vigilanza, fissare le procedure sanzionatorie e organizzare gli spazi di sperimentazione. Inoltre non disciplina tutto: il rapporto di lavoro, le professioni ordinistiche, il diritto d'autore e il diritto penale restano in gran parte competenza nazionale.
La legge 132/2025 riempie questi spazi. Il disegno di legge del Governo, che molti cercano ancora come «ddl intelligenza artificiale», è stato approvato in via definitiva dal Senato il 17 settembre 2025 ed è spesso presentato come la prima legge nazionale organica sull'IA in un Paese dell'Unione. Il testo integrale è su Normattiva e nella Gazzetta Ufficiale. Per il quadro europeo di partenza (livelli di rischio, ruoli, scadenze) potete leggere la nostra guida all'AI Act.
Per un'azienda il punto pratico è uno solo: gli obblighi tecnici e organizzativi vengono dall'AI Act, mentre la legge italiana aggiunge principi, alcuni doveri di informazione e un apparato di vigilanza e sanzioni. Se volete capire subito dove la vostra organizzazione è scoperta rispetto a entrambi, potete partire dalla valutazione gratuita della governance AI di Opsio, che in circa 40 minuti mette in fila uso dell'IA, policy, fornitori e rischi.
Hai bisogno di aiuto con cloud?
Prenota un incontro gratuito di 30 minuti con uno dei nostri specialisti in cloud. Analizziamo le tue esigenze e forniamo raccomandazioni concrete — nessun obbligo.
Cosa prevede la legge 132/2025, articolo per articolo
La legge ha 28 articoli divisi in sei capi. La tabella riassume le parti che interessano di più a imprese e professionisti.
| Articolo | Tema | Cosa dice in pratica |
|---|---|---|
| Artt. 1–3 | Finalità e principi | Approccio antropocentrico, trasparenza, sicurezza, non discriminazione, sorveglianza umana. Interpretazione conforme all'AI Act e nessun obbligo aggiuntivo (art. 3, c. 5) |
| Art. 4 | Informazione e dati personali | Informative chiare sui trattamenti legati all'IA. Sotto i 14 anni serve il consenso di chi esercita la responsabilità genitoriale |
| Art. 7 | Sanità | Nessuna selezione discriminatoria nell'accesso alle cure; il paziente ha diritto di sapere che si usa l'IA; la decisione resta sempre al medico |
| Artt. 11–12 | Lavoro | Il datore di lavoro informa il lavoratore sull'uso dell'IA secondo l'art. 1-bis del d.lgs. 152/1997. Nasce un Osservatorio presso il Ministero del lavoro |
| Art. 13 | Professioni intellettuali | IA solo per attività strumentali e di supporto; il professionista comunica al cliente quali sistemi usa |
| Artt. 14–15 | PA e giustizia | L'IA supporta, ma la responsabilità del provvedimento resta alla persona; le decisioni giudiziarie sono riservate al magistrato |
| Art. 19 | Strategia nazionale | Strategia per l'IA aggiornata almeno ogni due anni dalla Presidenza del Consiglio, d'intesa con AgID e ACN |
| Art. 20 | Autorità nazionali | AgID e ACN designate «Autorità nazionali per l'intelligenza artificiale» |
| Art. 23 | Investimenti | Fino a 1 miliardo di euro in capitale di rischio per imprese di IA, cybersicurezza e tecnologie abilitanti |
| Art. 24 | Deleghe al Governo | Decreti legislativi entro 12 mesi per adeguarsi all'AI Act e per disciplinare gli usi illeciti dell'IA |
| Art. 25 | Diritto d'autore | Protette solo le opere dell'ingegno umano, anche se create con l'ausilio dell'IA; regole sul text and data mining |
| Art. 26 | Diritto penale | Aggravante per i reati commessi con l'IA e nuovo reato di illecita diffusione di deepfake |
AgID e ACN: chi vigila sull'intelligenza artificiale in Italia
L'articolo 20 sceglie un modello a due agenzie, entrambe già esistenti. L'Agenzia per l'Italia digitale (AgID) promuove l'innovazione ed è l'autorità di notifica prevista dall'articolo 70 dell'AI Act: designa e controlla gli organismi che valuteranno la conformità dei sistemi ad alto rischio. L'Agenzia per la cybersicurezza nazionale (ACN) è l'autorità di vigilanza del mercato e il punto di contatto unico con le istituzioni europee: ispezioni, richieste di informazioni e sanzioni passano da lì. Le due agenzie gestiscono insieme lo spazio di sperimentazione normativa (la «sandbox»).
Per credito, servizi di investimento e assicurazioni restano competenti Banca d'Italia, CONSOB e IVASS, come consente l'articolo 74 dell'AI Act per gli istituti finanziari. Il Garante per la protezione dei dati personali mantiene tutti i suoi poteri sul GDPR. Un comitato di coordinamento presso la Presidenza del Consiglio riunisce i direttori di AgID e ACN e il capo del Dipartimento per la trasformazione digitale.
Chi cerca «AgID IA» si aspetta spesso un ente che certifica i prodotti. Non è così: né AgID né ACN rilasciano autorizzazioni preventive a chi usa l'IA. Per i sistemi ad alto rischio la verifica della conformità spetta al fornitore e, dove previsto, a un organismo notificato; chi li usa come deployer ha obblighi diversi. La differenza tra i due ruoli è spiegata in deployer e fornitore nell'AI Act.
Lavoro, professioni e minori: le regole che toccano le aziende
Datori di lavoro
Un datore di lavoro che usa l'IA per organizzare turni, valutare prestazioni o gestire il personale deve informare i lavoratori nei casi e con le modalità del cosiddetto decreto trasparenza (art. 1-bis del d.lgs. 152/1997). La legge ribadisce il divieto di discriminazioni per sesso, età, origine etnica, credo religioso, orientamento sessuale, opinioni politiche e condizioni personali. Il d.lgs. 179/2026 ha poi stretto le maglie, come vedremo sotto.
Professionisti
Avvocati, commercialisti, ingegneri, consulenti del lavoro e le altre professioni intellettuali possono usare l'IA solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale. E devono dire al cliente, con linguaggio chiaro, semplice ed esaustivo, quali sistemi di IA usano. In pratica conviene inserire una clausola nel mandato o nella lettera d'incarico.
Minori
Sotto i 14 anni l'accesso alle tecnologie di IA e il relativo trattamento dei dati richiedono il consenso dei genitori. Tra i 14 e i 18 anni il minore può dare il proprio consenso, purché l'informativa sia facilmente accessibile e comprensibile. Interessa chiunque offra chatbot, app educative o servizi di IA generativa al pubblico italiano.
Deepfake e reati: cosa cambia nel codice penale
L'articolo 26 introduce l'articolo 612-quater del codice penale, «Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale»: chi cagiona un danno ingiusto diffondendo senza consenso immagini, video o voci falsificati con l'IA e idonei a ingannare è punito con la reclusione da uno a cinque anni. Si procede a querela, ma d'ufficio in alcuni casi, per esempio se la vittima è una persona incapace o una pubblica autorità.
La legge aggiunge anche un'aggravante comune (art. 61, n. 11-decies c.p.) quando l'IA è stata un mezzo insidioso, e pene più alte per aggiotaggio e manipolazione del mercato commessi con l'IA: reclusione da due a sette anni. Per un'impresa il tema è concreto: un video falso del vostro amministratore delegato, diffuso senza consenso, può costituire reato per chi lo diffonde, ma è anche un rischio reputazionale da gestire nel vostro piano di risposta agli incidenti. Sul fronte degli obblighi di etichettatura dei deepfake vale invece l'AI Act, come spiega la guida all'articolo 50 dell'AI Act sulla trasparenza.
I decreti attuativi: d.lgs. 160/2026 e d.lgs. 179/2026
L'articolo 24 dava al Governo dodici mesi, fino al 10 ottobre 2026, per adottare i decreti legislativi. A ottobre 2026 ne sono stati pubblicati due; i testi sono consultabili su Normattiva, per esempio il d.lgs. 179/2026.
| Decreto | Gazzetta Ufficiale e vigore | Contenuto principale |
|---|---|---|
| D.lgs. 9 settembre 2026, n. 160 | GU n. 214 del 15 settembre 2026; in vigore dal 30 settembre 2026 | IA nelle attività di polizia; nuovo reato dell'art. 437-bis c.p. (omesse misure di sicurezza o di sorveglianza umana su IA ad alto rischio); responsabilità dell'ente ex d.lgs. 231/2001; regole civili su prova e nesso causale |
| D.lgs. 7 ottobre 2026, n. 179 | GU n. 234 dell'8 ottobre 2026; in vigore dal 23 ottobre 2026 | Poteri di AgID, ACN e autorità finanziarie; sanzioni; spazio di sperimentazione italiano; formazione; tutele nel lavoro; professioni ed equo compenso |
Tre novità del d.lgs. 179/2026 meritano attenzione. Primo, le sanzioni ricalcano l'AI Act (fino a 35 milioni di euro o 7% per le pratiche vietate, 15 milioni o 3% per gli altri obblighi), ma l'Italia fissa anche un tetto specifico, fino a 1 milione di euro o 0,5% del fatturato, per chi non esegue la valutazione d'impatto sui diritti fondamentali (FRIA) o non rispetta il diritto alla spiegazione. Secondo, nel lavoro le decisioni finali su assunzione, modifica o cessazione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non possono essere prese unicamente in modo automatizzato: un licenziamento deciso in violazione è nullo. Terzo, gli ordini professionali devono inserire percorsi di alfabetizzazione sull'IA nella formazione continua, adeguando i propri regolamenti entro sei mesi dall'entrata in vigore del decreto.
Il d.lgs. 160/2026 ha invece un effetto meno visibile ma rilevante per chi sviluppa o integra IA ad alto rischio: se il danno deriva dalla violazione di obblighi dell'AI Act, il nesso causale si presume salvo prova contraria, e la conformità certificata non esclude da sola la responsabilità. Documentare bene sorveglianza umana e misure di sicurezza diventa quindi anche una difesa in giudizio.
Cosa devono fare le imprese italiane adesso
- Censite i sistemi di IA in uso, compresi quelli che il personale usa senza autorizzazione. Il metodo è descritto in shadow AI e inventario dei sistemi di IA.
- Stabilite il vostro ruolo per ogni sistema: fornitore o deployer.
- Aggiornate le informative a lavoratori e clienti, coordinandole con il GDPR.
- Rivedete i processi HR perché nessuna decisione finale sul rapporto di lavoro resti al solo algoritmo.
- Organizzate la formazione: l'AI Act chiede misure di alfabetizzazione e il d.lgs. 179/2026 la rafforza per professioni, sanità e PA. Trovate un programma per ruoli in AI literacy e formazione per l'AI Act.
- Segnate le scadenze europee: le date dopo il rinvio sono nella pagina sulle scadenze e l'entrata in vigore dell'AI Act.
Domande frequenti
La legge 132/2025 è già in vigore?
Sì. È stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è in vigore dal 10 ottobre 2025. Alcune parti dipendono dai decreti attuativi: il d.lgs. 160/2026 è in vigore dal 30 settembre 2026, mentre il d.lgs. 179/2026, pubblicato l'8 ottobre 2026, entra in vigore il 23 ottobre 2026.
Chi controlla l'intelligenza artificiale in Italia?
L'ACN è l'autorità di vigilanza del mercato e il punto di contatto unico con l'Unione; AgID è l'autorità di notifica e designa gli organismi di valutazione della conformità. Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati da banche, intermediari e assicurazioni. Il Garante privacy resta competente per il trattamento dei dati personali.
La legge italiana aggiunge obblighi rispetto all'AI Act?
Per sistemi e modelli di IA no: l'articolo 3, comma 5, lo esclude. Aggiunge però regole di settore che con l'AI Act non coincidono, come l'informativa ai clienti dei professionisti, il consenso dei genitori sotto i 14 anni, le tutele nelle decisioni sul rapporto di lavoro e nuovi reati. Per un'azienda conviene trattarle come un unico programma di compliance.
Cosa rischia chi diffonde un deepfake?
Il nuovo articolo 612-quater del codice penale punisce con la reclusione da uno a cinque anni chi, senza consenso, diffonde immagini, video o voci falsificati con l'IA causando un danno ingiusto. Con il d.lgs. 160/2026 il reato rientra anche tra quelli che possono far scattare la responsabilità dell'ente ai sensi del d.lgs. 231/2001.
Che differenza c'è tra «ddl intelligenza artificiale» e legge 132/2025?
È lo stesso testo in due momenti diversi. Il disegno di legge del Governo è stato discusso in Parlamento tra il 2024 e il 2025, approvato definitivamente il 17 settembre 2025 e promulgato come legge 23 settembre 2025, n. 132. Nei commenti scritti prima dell'approvazione, la numerazione degli articoli del ddl può non coincidere con quella della legge.
Mettete in ordine la governance AI in 40 minuti
La legge italiana e l'AI Act chiedono le stesse basi: sapere quali sistemi usate, avere regole chiare per il personale, controllare i fornitori e valutare i rischi. Con l'assessment gratuito di Opsio su AI policy e governance rispondete a 14 passi di domande in italiano e ricevete subito quattro documenti scritti sulle vostre risposte: framework di governance AI, AI policy aziendale sull'uso accettabile, checklist per i fornitori AI e modello di valutazione dei rischi, più un quadro di maturità su dieci ambiti. I documenti sono consegnati in inglese come file Word modificabili e restano vostri. Se poi vi serve aiuto per l'attuazione, c'è la nostra consulenza sulla governance AI.
Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744, e i testi vigenti della legge 132/2025 e dei relativi decreti su Normattiva. Situazione aggiornata a ottobre 2026.
Scritto da
Country Manager, Svezia
Johan guida le operazioni di Opsio in Svezia, promuovendo l'adozione dell'IA, la trasformazione DevOps, la strategia di sicurezza e le soluzioni cloud per le aziende nordiche. Con oltre 12 anni di esperienza nell'infrastruttura cloud, ha realizzato più di 200 progetti su AWS, Azure e GCP — specializzandosi in revisioni Well-Architected, progettazione di landing zone e strategia multi-cloud.
Standard editoriali: Questo articolo è stato scritto da professionisti cloud e revisionato dal nostro team di ingegneria. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date in questa pagina indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente.