La Legge italiana 132/2025: il quadro nazionale sull'IA

Accanto all'AI Act europeo, l'Italia si è dotata di una propria legge sull'intelligenza artificiale. Ecco cosa cambia per le aziende italiane.

Un quadro nazionale che si affianca a quello europeo

Il Parlamento italiano ha approvato in via definitiva la Legge 23 settembre 2025 n. 132, recante disposizioni e delega al Governo in materia di intelligenza artificiale. La legge è stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è entrata in vigore il 10 ottobre 2025. Si tratta del primo testo organico italiano sull'IA: non sostituisce il Regolamento europeo — che resta direttamente applicabile e ha la prevalenza in caso di contrasto — ma lo integra su aspetti che il diritto dell'Unione lascia agli Stati membri o su cui richiede una disciplina nazionale di attuazione.

L'iter parlamentare è stato articolato: il disegno di legge di iniziativa governativa (AS 1146) è stato presentato il 20 maggio 2024, in concomitanza con l'adozione dell'AI Act da parte del Parlamento europeo, ed è stato approvato dopo un doppio passaggio tra Camera e Senato. L'Italia è stata il primo Stato membro a dotarsi di un quadro normativo nazionale organico di attuazione dell'AI Act. Il punto di equilibrio è delicato: l'AI Act è un regolamento, quindi direttamente applicabile, ma alcune scelte (autorità competenti, sanzioni amministrative, profili penali, regole sulla pubblica amministrazione, applicazioni settoriali) restano nella disponibilità del legislatore nazionale, e la Legge 132/2025 occupa proprio questi spazi. Il 10 giugno 2026 il Consiglio dei Ministri ha approvato un primo pacchetto di decreti legislativi di attuazione della delega, volti ad adeguare l'ordinamento nazionale al Regolamento (UE) 2024/1689 e a disciplinare i poteri delle Autorità nazionali.

I principi generali

La Legge 132/2025 esordisce con una serie di principi generali (artt. 1-6) che guidano lo sviluppo e l'uso dell'IA in Italia. Si ribadisce la centralità della persona, il rispetto della dignità umana, la non discriminazione, la trasparenza, la sostenibilità ambientale, la sicurezza. L'art. 4 introduce principi specifici in materia di informazione e riservatezza dei dati personali, in sinergia con gli artt. 14 e 15 dell'AI Act, e disciplina l'accesso alle tecnologie di IA e il trattamento dei dati personali da parte dei minori, con soglie di età conformi al Regolamento (UE) 2016/679 e al Codice in materia di protezione dei dati personali. Sono principi che fanno eco a quelli dell'AI Act e che danno il quadro valoriale entro cui devono muoversi sia le pubbliche amministrazioni sia i soggetti privati. Pur trattandosi di principi, non sono mere dichiarazioni d'intenti: in caso di controversia o di vigilanza, costituiscono un parametro interpretativo concreto.

Le autorità competenti italiane

Uno dei nodi più importanti che la Legge 132/2025 affronta è quello delle autorità competenti per l'attuazione dell'AI Act in Italia (art. 20). Il Regolamento europeo lascia agli Stati membri la designazione di una o più autorità di vigilanza del mercato e di una o più autorità di notifica. La scelta italiana è di un'architettura plurale, fondata su due agenzie principali.

L'Agenzia per l'Italia Digitale (AgID) è individuata come autorità di notifica e con funzioni di promozione e sviluppo dell'IA. L'Agenzia per la Cybersicurezza Nazionale (ACN) è individuata come autorità di vigilanza del mercato, con compiti ispettivi e sanzionatori. Il ruolo di autorità di vigilanza nei rispettivi settori è inoltre attribuito a Banca d'Italia, CONSOB e IVASS. Restano ferme le competenze del Garante per la protezione dei dati personali su tutto ciò che riguarda il trattamento dei dati personali nei sistemi di IA, e le competenze dell'AGCOM quale Coordinatore dei Servizi Digitali.

Questa pluralità di autorità comporta per le aziende la necessità di sapere a chi rivolgersi e a chi rispondere. Iusprivacy.eu mantiene una mappa aggiornata delle competenze e accompagna i clienti nei rapporti con le autorità di volta in volta interessate.

Le applicazioni settoriali

La Legge 132/2025 contiene disposizioni specifiche su settori dove l'uso dell'IA è particolarmente delicato. Nel settore sanitario (artt. 7-8 e 10) si precisano i confini dell'uso dell'IA a supporto delle decisioni cliniche, ribadendo che la decisione finale resta sempre del professionista umano, e si introduce una disciplina per la ricerca e sperimentazione su banche dati e modelli di IA. Nel settore del lavoro (artt. 11-12) si rafforzano gli obblighi di informazione e trasparenza quando l'IA è usata per assunzioni, gestione del personale o monitoraggio, in coordinamento con il Decreto Trasparenza (D.Lgs. 152/1997 come modificato dal D.Lgs. 104/2022 e dal D.L. 48/2023 conv. L. 85/2023), ed è istituito un Osservatorio sull'adozione di sistemi di IA nel mondo del lavoro. Nell'esercizio delle professioni intellettuali (art. 13) l'IA può essere usata solo come strumento di supporto, con obbligo di informazione preventiva al cliente in modo chiaro, semplice ed esaustivo. Nel settore della giustizia (art. 15) si chiarisce il ruolo dei sistemi di IA come strumenti di supporto e mai sostitutivi del giudice. Nella pubblica amministrazione (art. 14) si stabiliscono regole per l'uso dell'IA nei processi decisionali, ispirate ai principi di conoscibilità, controllabilità e non esclusività, ferma restando la responsabilità del funzionario umano.

La delega al Governo

Una parte importante della Legge 132/2025 è costituita dalla delega al Governo (art. 24) per l'emanazione, entro dodici mesi dall'entrata in vigore, di uno o più decreti legislativi di attuazione. Un primo pacchetto è stato approvato dal Consiglio dei Ministri il 10 giugno 2026. Il Capo IV (art. 25) modifica inoltre la disciplina del diritto d'autore, estendendo la tutela alle opere create con l'ausilio dell'IA purché costituiscano il risultato del lavoro intellettuale dell'autore (nuovo art. 70-septies della L. 633/1941), mentre il Capo V (art. 26) inserisce nel Codice penale il nuovo art. 612-quater per reprimere la diffusione di deepfake che cagionino un danno ingiusto alla persona rappresentata. Le aziende devono quindi essere pronte a recepire ulteriori novità con l'entrata in vigore dei decreti delegati.

I profili sanzionatori

Sul piano sanzionatorio, la Legge 132/2025 interviene su due fronti. Da un lato, l'irrogazione delle sanzioni amministrative previste dall'AI Act è attribuita alle autorità competenti italiane. Dall'altro, la legge introduce fattispecie penali specifiche: in particolare, il nuovo art. 612-quater c.p. punisce la diffusione di deepfake che cagionino un danno ingiusto, e l'art. 24 delega al Governo l'introduzione di ulteriori fattispecie di reato e di strumenti di tutela civile per i soggetti danneggiati. È un settore in cui il legislatore italiano ha voluto andare oltre il minimo richiesto dall'Unione Europea.

Cosa cambia operativamente per le aziende

Per le aziende italiane, la Legge 132/2025 significa anzitutto un quadro normativo nazionale di riferimento, finalmente definito. Significa chiarezza sulle autorità da contattare, sulla procedura per la valutazione di conformità, sulle modalità di interazione con la pubblica amministrazione. Significa anche, però, attenzione a regole nazionali aggiuntive che si sommano agli obblighi europei: in particolare nei settori sanitario, del lavoro, delle professioni intellettuali e della pubblica amministrazione, dove la legge italiana ha aggiunto requisiti specifici.

Iusprivacy.eu segue costantemente l'evoluzione del diritto italiano in materia di IA, anche attraverso la produzione di articoli e analisi pubblicati sul portale, e adatta i propri servizi di consulenza ai decreti legislativi di attuazione via via emanati. L'impegno è di garantire ai clienti una compliance allineata sia all'AI Act europeo sia alla legge italiana e ai decreti delegati.