Professioni, sanità, lavoro e formazione: le novità del D.Lgs. 179/2026 sull'AI

Con il D.Lgs. 179/2026 l’Italia definisce una parte rilevante dell’adeguamento nazionale all’AI Act: chi vigila sull’uso dell’intelligenza artificiale (AI), quali sanzioni si applicano e come cambiano formazione, professioni e rapporti di lavoro. Per le imprese le novità più concrete riguardano le decisioni sul personale e la sicurezza sul lavoro, ambiti in cui occorre capire dove i sistemi incidono sulle attività e quali obblighi ne derivano.

Il D.Lgs. 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 e in vigore dal 23 ottobre 2026, attua la delega della Legge 132/2025 ed è uno dei principali decreti legislativi di adeguamento della normativa italiana all’AI Act, spesso indicati come decreti attuativi. Si affianca al Regolamento (UE) 2024/1689, che resta il riferimento per obblighi e classificazione dei sistemi in base al rischio, mentre i profili penali sono affidati al distinto D.Lgs. 160/2026.

Nel lavoro, l’art. 41 stabilisce che le decisioni finali su costituzione, modifica o cessazione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non possono essere adottate esclusivamente mediante trattamento automatizzato: decide una persona fisica con potere effettivo e autonomo, e il consenso del lavoratore non supera il divieto. La ricerca e selezione delle candidature non rientra tra le decisioni finali. Restano gli obblighi informativi dell’art. 1-bis del D.Lgs. 152/1997 e, su richiesta, il lavoratore può ottenere, mediante l’intervento di una persona fisica, una motivazione intelligibile della decisione, dell’incidenza dell’AI e dei principali parametri considerati. Le decisioni adottate in violazione del divieto, compreso il licenziamento, sono nulle.

Per le imprese il primo presidio è censire sistemi, finalità, ruolo assunto come fornitore o utilizzatore (deployer) e obblighi applicabili, inserendoli in una governance dell’intelligenza artificiale con responsabilità e controlli definiti.

L’Agenzia per l’Italia digitale (AgID) è l’autorità di notifica: designa e monitora gli organismi che valutano la conformità dei sistemi di AI. L’Agenzia per la cybersicurezza nazionale (ACN) è l’autorità di vigilanza del mercato e il punto di contatto unico con le istituzioni europee, con poteri di richiesta di informazioni e di ispezione. Restano ferme, per i sistemi ad alto rischio nei rispettivi settori, le competenze di Banca d’Italia, Consob e Istituto per la vigilanza sulle assicurazioni (IVASS), oltre a quelle del Garante privacy.

L’art. 23 fissa le sanzioni pecuniarie, con massimali che per le pratiche vietate arrivano a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. Per violazioni di scarsa offensività o pericolosità, l’art. 22 consente misure non pecuniarie: l’ordine di eliminare l’infrazione e di non ripeterla oppure, se è già cessata, una dichiarazione pubblica. Chi non ottempera all’ordine è soggetto alle sanzioni dell’art. 23, aumentate fino a un terzo.

Il decreto promuove l’alfabetizzazione sull’AI nella scuola, nell’istruzione degli adulti, nelle università e negli ITS Academy. Per la pubblica amministrazione, l’art. 40 prevede politiche formative e linee guida sul quadro minimo delle competenze del personale. Nella sanità, l’art. 51 introduce percorsi sull’AI nella formazione continua in medicina e in quella manageriale.

Per i professionisti, l’art. 47 richiede che la formazione iniziale e continua organizzata da ordini e collegi comprenda percorsi sull’uso dell’AI con profili tecnici, giuridici e deontologici, con un monte ore minimo. Regolamenti e atti organizzativi vanno adeguati entro il 23 aprile 2027.

L’art. 42 è il punto in cui il decreto sull’intelligenza artificiale incontra la prevenzione nel lavoro. Se un sistema incide sull’organizzazione del lavoro, sui ritmi, sulle modalità di esecuzione delle mansioni o su processi decisionali rilevanti per la sicurezza, il suo utilizzo va considerato nella valutazione dei rischi ai sensi dell’art. 28 del D.Lgs. 81/2008 e quindi nel documento di valutazione dei rischi (DVR). L’aggiornamento del DVR quindi potrà essere valutato ogni volta che ci siano degli effetti concreti sul sistema, come ad esempio in caso di variazioni sull’affidabilità degli output, o ancora l’eccessivo affidamento agli automatismi.

Il datore di lavoro deve inoltre assicurare informazione e formazione sui rischi specifici dell’uso dei sistemi di AI e sulle misure di prevenzione e protezione adottate. È un obbligo distinto dall’AI literacy prevista dall’art. 4 dell’AI Act: conoscere le potenzialità dell’AI non equivale a operare in sicurezza con uno strumento aziendale. Altro è l’uso dell’AI a supporto della progettazione della formazione sulla sicurezza, personalizzando contenuti e casi pratici.

Sul piano penale, il D.Lgs. 160/2026 ha introdotto l’art. 437-bis del Codice penale, che sanziona specifiche omissioni delle misure di sicurezza o sorveglianza umana nei sistemi di AI ad alto rischio quando ne derivano i pericoli previsti dalla norma. Per gli utilizzatori professionali rileva l’omissione intenzionale della sorveglianza umana. L’art. 25-vicies del D.Lgs. 231/2001 disciplina inoltre la responsabilità degli enti nei casi previsti. Le imprese devono quindi mappare gli impieghi, valutarne i rischi, definire la sorveglianza umana e verificare che la formazione sia coerente con l’attività svolta.