#Finsubito news dalla rete – D.Lgs. 179/2026 in Vigore, AgID e ACN [2026]

Da oggi, 23 ottobre 2026, l’Italia ha una governance operativa per l’intelligenza artificiale. Il decreto legislativo 7 ottobre 2026, n. 179 è entrato in vigore quindici giorni dopo la pubblicazione nella Gazzetta Ufficiale n. 234 dell’8 ottobre e completa l’impianto dell’AI Act in Italia: chi vigila, chi notifica, chi sanziona.

Il testo conta 54 articoli. Adegua la normativa nazionale al Regolamento (UE) 2024/1689 e chiude il lavoro avviato con la legge 132/2025. Designa AgID e ACN come autorità nazionali competenti, lascia un ruolo al Garante privacy nel suo perimetro e prepara sandbox, formazione e un regime sanzionatorio. Per chi sviluppa, ospita o usa modelli linguistici in azienda, da oggi esiste un interlocutore preciso per ogni scenario.

Il tempismo pesa. A Bruxelles il Digital Omnibus sull’IA ha già spostato in avanti le scadenze più temute, mentre la data del 2 agosto 2026 per l’applicazione generale e per la trasparenza dell’articolo 50 è rimasta. Chi segue modelli, regole e rischi dell’intelligenza artificiale deve quindi leggere insieme il livello europeo e quello italiano, tenendo separate le date certe dalle ricostruzioni ancora da confermare sul testo ufficiale.

D.Lgs. 179/2026: date, struttura e perimetro del decreto

La cronologia è netta. Il decreto è stato emanato il 7 ottobre 2026, pubblicato in Gazzetta Ufficiale l’8 ottobre e diventa efficace il 23 ottobre. In mezzo ci sono quindici giorni di vacatio, un intervallo breve che ha lasciato a imprese e studi legali poco tempo per allineare policy interne e contratti con i fornitori di IA.

Con 54 articoli, il provvedimento non riscrive l’AI Act. Lo rende applicabile sul territorio nazionale. Definisce poteri delle autorità, procedure di vigilanza, organizzazione degli spazi di sperimentazione e conseguenze per chi viola le regole. Completa così il quadro istituzionale e sanzionatorio che la legge 132/2025 aveva impostato in forma di cornice.

Secondo la sintesi pubblicata da Noze, le disposizioni toccano istruzione e formazione professionale, lavoro, attività professionali, sanità, pubblica amministrazione, ricerca e tutela dei lavoratori. È una lista ampia, ma ha una logica. Sono i settori in cui l’IA entra già nei processi decisionali, dalla selezione del personale al credito, e in cui l’Allegato III dell’AI Act classifica molti usi come ad alto rischio.

Un punto di metodo. Il decreto è una norma, non un prodotto né un modello. Non ha versioni, piani commerciali o prezzi, e va letto come una legge di attuazione. Ogni dettaglio operativo sta nel testo di Normattiva e negli atti che le autorità pubblicheranno nelle prossime settimane, quindi le cifre riportate solo da commentatori restano, per ora, ricostruzioni.

AI Act Italia: la ripartizione dei compiti tra AgID e ACN

Il cuore del decreto è la scelta di un modello a due autorità principali. AgID, l’Agenzia per l’Italia Digitale, è l’autorità nazionale di notifica. L’ACN, l’Agenzia per la cybersicurezza nazionale, è l’autorità di vigilanza del mercato e il punto di contatto unico con le istituzioni europee. La divisione segue una logica riconoscibile: AgID presidia l’accreditamento e la qualità degli organismi, ACN controlla i sistemi una volta sul mercato.

AgID: notifica e conformità

Il ruolo di autorità di notifica è tecnico ma decisivo. Gli organismi che certificano la conformità dei sistemi ad alto rischio devono essere designati e controllati da qualcuno, e quel qualcuno ora è AgID. Per i laboratori e le società di certificazione italiane significa un unico sportello per ottenere l’abilitazione. Per i fornitori di IA significa sapere a chi rivolgersi quando una valutazione di terze parti è obbligatoria.

ACN: vigilanza, ispezioni e registro

All’ACN il decreto assegna la parte più pesante. Come ricostruisce l’analisi di uno studio legale internazionale sull’attuazione italiana, l’agenzia è competente anche per la registrazione nazionale dei sistemi ad alto rischio collegati alle infrastrutture critiche. Ottiene inoltre poteri di vigilanza e ispezione. Secondo la sintesi di Noze, i controlli possono svolgersi da remoto o in loco, un dettaglio che va trattato come ricostruzione e non come dato verificato sul testo.

La scelta di affidare la sorveglianza a un’agenzia di cybersicurezza dice molto sull’impostazione. Il legislatore tratta l’IA come un tema di sicurezza dei sistemi oltre che di diritti. Chi gestisce reti, energia o trasporti con componenti di IA dovrà quindi dialogare con la stessa struttura che già segue la direttiva NIS2.

Garante privacy e autorità di settore: un modello distribuito

L’Italia non crea un regolatore unico dell’IA. Sceglie un assetto distribuito, in cui ogni autorità mantiene le competenze che già esercita. Il Garante per la protezione dei dati personali continua a muoversi nel suo ambito, quello dei dati e dei diritti degli interessati. Le ricostruzioni dei commentatori aggiungono Banca d’Italia, CONSOB e IVASS per i rispettivi settori finanziario e assicurativo, come autorità coinvolte nella vigilanza di mercato.

I testi disponibili oggi non permettono di indicare una nuova competenza specifica attribuita al Garante dal 23 ottobre. Non è un vuoto: la sua attività sui sistemi di IA non dipende dal decreto, perché il GDPR si applica comunque a ogni trattamento di dati personali, compreso l’addestramento e l’uso dei modelli. Il Garante, che l’8 settembre ha pubblicato un episodio del proprio podcast dedicato ad algoritmi, regole e rischi dell’IA, resta quindi un interlocutore obbligato per chiunque raccolga dati per allenare o rifinire un modello.

Perché il modello distribuito è un compromesso

Il vantaggio è la competenza. Una banca che usa l’IA per il credito parla con chi conosce il credito, un ospedale con chi conosce la sanità. Il rischio è la frammentazione. Il fornitore di un assistente conversazionale venduto a più settori può trovarsi davanti più autorità con letture diverse della stessa regola. Il decreto prova a ridurre il problema con un punto di contatto unico verso Bruxelles e con un coordinamento tra le agenzie, ma la prova vera arriverà con i primi procedimenti.

Per le imprese la lezione pratica è mappare in anticipo quale autorità abbia titolo su ciascun sistema. Un modello usato per scrivere testi di marketing finisce in un perimetro diverso da quello che filtra i curriculum o che gestisce un impianto industriale.

Digital Omnibus sull’IA: il Regolamento (UE) 2026/1744

Il decreto italiano nasce dentro una cornice europea che è cambiata in corsa. Il Regolamento (UE) 2026/1744, datato 8 luglio 2026, modifica l’AI Act e, per coordinamento, i regolamenti 2018/1139 sull’aviazione civile e 2023/1230 sulle macchine. È il testo noto come Digital Omnibus sull’IA.

La Commissione europea aveva proposto l’Omnibus il 19 novembre 2025, dentro un pacchetto di semplificazione più ampio. L’accordo politico è arrivato a maggio. Il regolamento è stato pubblicato nella Gazzetta ufficiale dell’UE il 24 luglio 2026 ed è entrato in vigore il 27 luglio. In meno di nove mesi dalla proposta, quindi, una modifica dell’AI Act è diventata diritto vigente.

Va distinto l’Omnibus sull’IA dal resto del pacchetto. Una fonte segnala che altri capitoli, su dati e cybersicurezza, erano ancora in negoziato interistituzionale al 21 ottobre 2026. Chi legge che l’Omnibus è ormai legge deve chiedersi di quale parte si parli: l’unica adottata e in vigore, per ora, è quella sull’IA.

Resta fermo anche un principio. La Commissione presenta l’Omnibus come una semplificazione mirata, che allunga i tempi e snellisce gli adempimenti amministrativi senza toccare le garanzie su sicurezza e diritti fondamentali. La sostanza dello scambio è questa: più tempo per le imprese, stessa architettura di tutele.

Le nuove scadenze dell’AI Act: prima e dopo l’Omnibus

Le date principali, secondo l’analisi di ActuIA sul Regolamento 2026/1744 con stato al 6 ottobre 2026, sono riassunte qui sotto. Per le due scadenze dell’alto rischio il riscontro arriva anche dalla pagina della Commissione sull’entrata in vigore dell’Omnibus.

Tre rinvii, quindi, e non uno. L’alto rischio dell’Allegato III slitta di sedici mesi, quello dell’Allegato I di dodici, la sandbox di dodici. Cambia anche la partita della trasparenza: i fornitori di sistemi generativi immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per il requisito di marcatura. Il considerando 38 parla di un periodo transitorio di quattro mesi.

La tesi secondo cui tutti gli obblighi dell’AI Act sarebbero stati rinviati è sbagliata. L’applicazione generale e gli obblighi di trasparenza dell’articolo 50 restano al 2 agosto 2026, quindi sono già operativi. Secondo il Parlamento europeo, dopo le modifiche del 2026 l’AI Act dovrebbe essere pienamente applicabile, norme sull’alto rischio comprese, il 2 agosto 2028.

Sanzioni: massimali dell’AI Act e regime nazionale

Le cifre sulle multe hanno fatto il giro dei titoli, spesso senza contesto. I massimali sono quelli fissati dall’AI Act per le diverse violazioni, e il decreto italiano costruisce attorno ad essi il regime nazionale. La sintesi di PMI.it sul decreto in vigore raccoglie obblighi, sanzioni e scadenze per le imprese, mentre alcuni commentatori consigliano di verificare le cifre direttamente sul testo ufficiale prima di usarle come riferimento definitivo.

Per le pratiche vietate vale l’importo più alto tra cifra fissa e percentuale. Le pratiche vietate sono otto dal 2 febbraio 2025 e diventano dieci il 2 dicembre 2026, con i due nuovi divieti introdotti dall’Omnibus. Per i modelli di uso generale, inoltre, la Commissione può imporre multe dal 2 agosto 2026.

Questi sono tetti, non importi tipici. Nella pratica regolatoria europea le sanzioni effettive si collocano di norma molto sotto il massimo, e il GDPR lo ha mostrato per anni. Il segnale per le imprese sta altrove: la possibilità di una sanzione calcolata sul fatturato globale cambia l’ordine di priorità nei consigli di amministrazione, che finora trattavano la compliance IA come un tema da laboratorio tecnico.

Modelli di uso generale: cosa cambia per chi addestra e distribuisce LLM

Il decreto 179 parla soprattutto di autorità e di usi settoriali, mentre la disciplina dei grandi modelli resta in larga parte europea. La Commissione, e non un’agenzia italiana, ha il potere di sanzionare i fornitori di modelli di uso generale dal 2 agosto 2026. L’AI Act prevede inoltre un regime di adeguamento dedicato per i modelli immessi sul mercato prima del 2 agosto 2025.

Questa divisione ha una conseguenza concreta. Una società italiana che sviluppa un proprio modello fondazionale risponde a Bruxelles per gli obblighi del fornitore di modelli generali. La stessa società, quando integra quel modello in un prodotto per le risorse umane o per la sanità, entra nel perimetro nazionale di ACN e delle autorità di settore.

Fine-tuning e deployer: il confine che conta

Chi rifinisce un modello aperto per un uso aziendale si muove in una zona intermedia. Il ruolo giuridico dipende da cosa fa: se mette il sistema sul mercato con il proprio nome, assume obblighi da fornitore, se lo usa soltanto per i processi interni, resta deployer. Il decreto non cambia questa qualificazione, ma rende finalmente chiaro chi la verifica sul territorio italiano.

Per i team tecnici la mossa utile è documentare. Registro dei modelli in uso, provenienza dei dati di addestramento, test di sicurezza e responsabile interno per ogni sistema sono le prime cose che un’autorità chiederà in un controllo. Prima dell’Omnibus la scadenza dell’alto rischio rendeva l’esercizio urgente per tutti. Adesso offre più respiro, ma non lo cancella.

Lavoro, formazione e alfabetizzazione sull’IA

Il capitolo sul lavoro è quello che le imprese italiane leggeranno per primo. Secondo le ricostruzioni, il decreto collega l’impiego dell’IA in azienda agli obblighi di sicurezza del D.Lgs. 81/2008, e quindi la valutazione dei rischi dovrà tener conto di strumenti di IA che incidono su carichi, tempi e decisioni sui lavoratori. Il tema è stato ripreso da testate specializzate come PuntoSicuro e InSic nei giorni scorsi.

Sulla formazione, la norma europea è cambiata. L’Omnibus ha riscritto l’articolo 4 dell’AI Act sull’alfabetizzazione: fornitori e deployer devono adottare misure per sostenere la competenza sull’IA del personale e di chi opera per loro conto. Il decreto italiano aggiunge percorsi di formazione per le professioni, inclusi gli iscritti agli ordini e, in casi specifici, le professioni non regolamentate.

Due scadenze nazionali, riportate da una sola fonte e quindi da confermare, riguardano gli ordini professionali. Avrebbero sei mesi dall’entrata in vigore, cioè fino al 23 aprile 2027, per adeguare i propri regolamenti sulla formazione. L’integrazione dei parametri per l’equo compenso sarebbe attesa entro dodici mesi, il 23 ottobre 2027.

La conseguenza organizzativa è semplice da dire e faticosa da fare. Ogni azienda che usa assistenti di IA con dati interni dovrebbe definire chi è formato, su cosa e con quale evidenza documentale. Un corso una tantum non basta, perché i modelli cambiano versione ogni pochi mesi e i rischi cambiano con loro.

Sicurezza degli agenti IA: perché la scelta di ACN conta

Affidare la vigilanza a un’agenzia di cybersicurezza segue la direzione in cui si muove la minaccia. Il 6 ottobre 2026 il CERT-AGID ha pubblicato un documento sugli Explosive Prompts e sulla sicurezza dei sistemi agentici, che insiste sui meccanismi di autorizzazione esterni al modello. È il principio che molti ricercatori ripetono sulla prompt injection: un modello non può essere l’unica barriera tra un testo ostile e un’azione sensibile.

L’ACN, dal canto suo, ha dedicato l’inizio di ottobre alla cooperazione internazionale su sicurezza dell’IA. Secondo l’agenzia, il 1 e 2 ottobre si è svolto un workshop congiunto con il BSI tedesco su 5G e 6G, sicurezza dell’IA e degli agenti, test di sicurezza e standard. Il 21 ottobre ha partecipato al primo dialogo cyber Italia-Albania, dove si è parlato anche di trasparenza e sicurezza dell’IA.

I numeri operativi mostrano il carico che l’agenzia sostiene. Sempre secondo ACN, a settembre 2026 gli eventi cyber registrati sono stati 485, contro 309 di agosto, un aumento del 57% su base mensile. Le notifiche NIS2 ricevute superano quota 1.500. Sono dati dell’agenzia e non misurano l’IA in sé, ma ricordano che le nuove competenze arrivano a una struttura già sotto pressione.

Il direttore generale Andrea Quacivi, in audizione alla Commissione Esteri e Difesa del Senato il 13 ottobre, ha indicato secondo l’ACN 82 misure avviate della strategia nazionale, con circa 526 milioni di euro stanziati attraverso fondi strategici più oltre 400 milioni dal PNRR. Tra le priorità ha citato intelligenza artificiale, supercalcolo e la partecipazione alle gigafactory europee dell’IA. Anche questi numeri provengono da una sola fonte, quella dell’agenzia stessa.

Impatto sul mercato: imprese, PA e fornitori di IA

Il primo effetto è sulla domanda di consulenza e certificazione. Con AgID autorità di notifica, gli organismi italiani di valutazione della conformità hanno un percorso di designazione chiaro, e i fornitori un mercato locale in cui cercarli. Studi legali e società di consulenza hanno già anticipato il tema con note e articoli di approfondimento, come nel caso dei blog di PwC Italia e DLA Piper usciti in questi giorni.

Il secondo effetto è sulle PMI. Le piccole imprese italiane usano soprattutto IA acquistata da terzi, e per loro il decreto significa sapere cosa chiedere al fornitore. Contratti con clausole su documentazione tecnica, log, supporto in caso di controllo e responsabilità in caso di incidente diventano la parte più concreta della compliance.

Il terzo effetto riguarda la pubblica amministrazione, che è insieme regolatore e grande utilizzatore. Secondo AgID, a marzo 2026 sono partite le procedure di consultazione su linee guida per sviluppo e acquisto di IA nella PA. Con il decreto operativo, quelle linee guida avranno un riferimento normativo più stabile, e gli appalti di IA potranno chiedere requisiti allineati all’AI Act.

Il quarto effetto, più sottile, è competitivo. Un quadro nazionale chiaro attira o respinge investimenti a seconda di come lo si applica. Se i controlli saranno prevedibili e i tempi di risposta rapidi, l’Italia può posizionarsi come mercato dove la compliance costa poco da capire. Se le autorità daranno interpretazioni divergenti, il rischio è che i fornitori preferiscano lanciare i prodotti altrove e arrivare in Italia con ritardo.

Il contesto: dall’AI Act del 2024 al decreto di oggi

La traiettoria spiega perché il 23 ottobre sia una data di svolta più amministrativa che tecnologica. Le tappe, in ordine, sono queste:

• 13 giugno 2024: viene adottato il Regolamento (UE) 2024/1689, l’AI Act.
• 2 febbraio 2025: scattano le prime otto pratiche vietate dell’articolo 5.
• 19 novembre 2025: la Commissione propone il Digital Omnibus, con le modifiche mirate all’AI Act.
• 8 luglio 2026: viene firmato il Regolamento 2026/1744, pubblicato il 24 luglio.
• 27 luglio 2026: l’Omnibus entra in vigore e sposta le scadenze dell’alto rischio.
• 2 agosto 2026: si applicano le regole generali e la trasparenza dell’articolo 50, e la Commissione può sanzionare i fornitori di modelli di uso generale.
• 7 e 8 ottobre 2026: il D.Lgs. 179/2026 viene emanato e pubblicato.
• 23 ottobre 2026: il decreto diventa efficace.

Il quadro mostra uno scarto interessante. L’Europa ha deciso prima i principi, poi ha corretto i tempi, e solo ora i Paesi completano le macchine amministrative. L’Italia lo fa a ottobre, con la legge 132/2025 già alle spalle e con una scadenza dell’alto rischio che nel frattempo si è allontanata di oltre un anno.

Questa sequenza ha un lato positivo. Le autorità nascono prima che le obbligazioni più pesanti diventino applicabili, e hanno quindi tempo per costruire procedure, formare ispettori e pubblicare linee guida. Il lato negativo è che, in assenza di pressione immediata, c’è il rischio di rimandare le scelte difficili fino a ridosso del 2 dicembre 2027.

Cinque previsioni per i prossimi dodici mesi

Le previsioni che seguono sono valutazioni editoriali basate sulle date confermate. Non sono fatti.

• Linee guida entro l’inverno. ACN e AgID pubblicheranno i primi atti operativi, probabilmente su registrazione dei sistemi e designazione degli organismi, prima del 2 dicembre 2026, quando scattano i due nuovi divieti e la scadenza per la marcatura dei contenuti generativi.
• Corsa alla marcatura. I fornitori di strumenti generativi già sul mercato useranno fino all’ultimo giorno il periodo transitorio per il requisito dell’articolo 50, paragrafo 2, e l’adozione di standard di watermark e metadati accelererà nelle ultime settimane del 2026.
• Primo organismo notificato italiano nel 2027. Con AgID in campo, è plausibile vedere le prime designazioni nel corso dell’anno, in tempo per le sandbox che gli Stati membri devono rendere operative entro il 2 agosto 2027.
• Contratti di IA più rigidi. Le PMI chiederanno ai fornitori clausole su documentazione, audit e responsabilità, e il mercato della compliance come servizio crescerà prima che l’alto rischio diventi obbligatorio.
• Nuovi rinvii in discussione. Se gli standard tecnici resteranno in ritardo, è ragionevole attendersi pressioni per ulteriori slittamenti prima del 2 dicembre 2027, anche se l’Omnibus ha già mostrato che la Commissione concede tempo in cambio di semplificazione e non di abbandono delle regole.

Cosa devono fare oggi le aziende italiane

Il primo passo è un inventario. Quali sistemi di IA usa l’azienda, chi li ha forniti, per quali decisioni e con quali dati. Senza questo elenco non si può stabilire se un sistema rientri nell’alto rischio, nei requisiti di trasparenza o fuori dal perimetro dell’AI Act.

Il secondo passo è la classificazione. Selezione del personale, valutazione del credito, istruzione e biometria sono gli esempi ricorrenti dell’Allegato III, con obbligo rinviato al 2 dicembre 2027. Chatbot rivolti al pubblico e generatori di contenuti, invece, ricadono già nella trasparenza dell’articolo 50, applicabile dal 2 agosto 2026.

Il terzo passo è assegnare responsabilità. Un referente interno per l’IA, un canale con il fornitore e una procedura per gli incidenti rendono l’azienda pronta a una richiesta di ACN o di un’autorità di settore. Il quarto è la formazione, da documentare e aggiornare. Il quinto è seguire gli atti attuativi nelle prossime settimane, perché il decreto rimanda a provvedimenti che non sono ancora stati pubblicati.

Domande frequenti sul D.Lgs. 179/2026 e l’AI Act in Italia

Quando è entrato in vigore il D.Lgs. 179/2026?

Il decreto è stato emanato il 7 ottobre 2026, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre e ha effetto dal 23 ottobre 2026.

Chi vigila sull’intelligenza artificiale in Italia?

AgID è l’autorità nazionale di notifica, l’ACN è l’autorità di vigilanza del mercato e il punto di contatto con le istituzioni europee. Il Garante privacy resta competente per i dati personali, mentre altre autorità di settore intervengono nei rispettivi ambiti.

L’AI Act è stato rinviato del tutto?

No. Il Regolamento (UE) 2026/1744 ha spostato l’alto rischio dell’Allegato III al 2 dicembre 2027 e quello dell’Allegato I al 2 agosto 2028, ma l’applicazione generale e la trasparenza dell’articolo 50 restano al 2 agosto 2026.

Quanto sono alte le multe previste?

I massimali dell’AI Act arrivano a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, a 15 milioni o al 3% per gli altri obblighi e a 7,5 milioni o all’1% per le informazioni scorrette. Sono tetti massimi, non importi automatici.

Chi sviluppa modelli linguistici deve registrarsi in Italia?

I fornitori di modelli di uso generale rispondono soprattutto alla Commissione europea, che può sanzionarli dal 2 agosto 2026. La registrazione nazionale curata da ACN riguarda alcuni sistemi ad alto rischio, in particolare quelli legati alle infrastrutture critiche.

Il Digital Omnibus è una legge già completa?

Solo la parte sull’IA è stata adottata ed è in vigore dal 27 luglio 2026. Altri capitoli del pacchetto, secondo una fonte, erano ancora in negoziato al 21 ottobre.

Le aziende devono formare i dipendenti sull’IA?

L’articolo 4 dell’AI Act, riscritto dall’Omnibus, chiede a fornitori e deployer misure per sostenere l’alfabetizzazione del personale. Il decreto italiano aggiunge percorsi formativi per professioni e ordini, con scadenze nazionali che vanno confermate sul testo.