Il decreto IA: cosa vale già oggi

Il decreto italiano sull'IA è in vigore dal 23 ottobre, e la parte che vale già oggi è quella di cui si parla meno.

La scadenza che si è spostata, e quella che non aspetta

Con le scadenze dell'AI Act per i sistemi ad alto rischio spostate a dicembre 2027 e agosto 2028, viene naturale pensare che ci sia tempo. Sarebbe un errore. Il D.Lgs. 179/2026 non aspetta. Alcuni obblighi sono già operativi, e riguardano uno degli ambiti più delicati per qualsiasi organizzazione: le decisioni sul personale.

Cosa vale già: deve decidere una persona

La regola centrale è semplice da enunciare e meno semplice da applicare:

• Un licenziamento o un'altra decisione definitiva sul rapporto di lavoro non può più basarsi solo su un trattamento automatizzato.
• Deve decidere una persona con un potere effettivo e autonomo. Chi si limita a confermare l'esito proposto dal sistema non basta.
• Il consenso del lavoratore non cambia le cose. Non si può aggirare la regola per contratto.
• La decisione presa in violazione è nulla.
• L'unica eccezione è la selezione automatica dei profili.

In pratica, la "supervisione umana" smette di essere un principio di progettazione e diventa qualcosa che potreste dover dimostrare. Se una decisione viene contestata, la domanda non sarà se una persona era formalmente coinvolta, ma se aveva davvero l'autorità, le informazioni e l'autonomia per decidere diversamente.

Chi vigila

Il decreto chiarisce anche una questione attesa da molti: chi è competente.

• ACN per la vigilanza del mercato.
• AgID come autorità di notifica.
• Banca d'Italia, Consob e IVASS nei rispettivi settori.

Per i soggetti regolati, la governance dell'IA verrà letta insieme ai rapporti di vigilanza già esistenti, non in un compartimento separato.

Il mio consiglio pratico: partite dall'inventario

È poco spettacolare, ma funziona. Elencate ogni sistema di IA in uso, comprese le funzioni arrivate senza clamore dentro le piattaforme HR, CRM e di produttività. Molte organizzazioni scoprono di avere già punteggi, classifiche o raccomandazioni automatiche dentro strumenti acquistati per altri scopi.

Poi fatevi una domanda per ciascun sistema:

Dove decide davvero una persona, e saremmo in grado di dimostrarlo?

Dimostrarlo, di solito, significa poche cose concrete:

• Un ruolo definito con il potere di discostarsi dal sistema.
• Una traccia di cosa ha suggerito il sistema e cosa ha deciso la persona.
• Informazioni sufficienti perché quella persona capisca il suggerimento, non lo accetti e basta.
• Un processo scritto, conosciuto e applicato.

Il rischio vero è il processo

Secondo la mia esperienza, raramente i guai nascono dallo strumento. Nascono dal processo non documentato che gli sta intorno. Un inventario, punti di decisione chiari e una traccia semplice delle evidenze vi mettono in una posizione molto più solida, sia per questo decreto oggi sia per gli obblighi dell'AI Act che seguiranno. Lo stesso lavoro di base sostiene anche un sistema di gestione come la ISO/IEC 42001.

Nella vostra organizzazione avete già mappato dove l'IA tocca le decisioni sul personale? Se volete costruire questo inventario, vedete la mia consulenza in AI governance o contattatemi.

Fonti: noze (D.Lgs. 179/2026); regulations.ai (sintesi del decreto, art. 41 ecc.); Informazione Fiscale, 23 ottobre; IAPP, 27 ottobre; Cyber Security 360, 23 ottobre; White & Case (date AI Omnibus). Questo articolo ha carattere informativo e non costituisce consulenza legale.