Legge italiana sull’Intelligenza Artificiale: focus di Assonime

La Circolare Assonime n. 27/2025 analizza la L. 132/2025, in vigore dallo scorso 10 ottobre 2025, primo quadro nazionale organico sull’intelligenza artificiale che affianca e in parte anticipa l’AI Act UE, fissando principi generali, norme settoriali, governance, profili penali e ampie deleghe al Governo.

La legge introduce un modello nazionale di “compliance by design” applicabile all’intera catena del valore dell’IA (sviluppo, adozione e uso), da interpretare in coerenza con l’AI Act. Rispetto al passato, non esisteva una cornice italiana unitaria: la “nuova regola applicabile” impone principi trasversali (trasparenza, proporzionalità, non discriminazione, spiegabilità, controllo umano) anche oltre gli ambiti direttamente coperti dall’AI Act.

Il catalogo dei principi (art. 3) vincola ricerca, sviluppo e utilizzo dell’IA: diritti fondamentali, qualità e trasparenza di dati/processi, supervisione umana effettiva, salvaguardia dei valori democratici, cybersicurezza proporzionata al rischio.

Circa i settori-chiave:

• per la sanità sono previste basi giuridiche per trattamenti data-driven a fini di ricerca e addestramento IA senza consenso quando di rilevante interesse pubblico, previa comunicazione al Garante; la centralità della decisione clinica umana e una piattaforma IA territoriale presso Agenas;
• per il lavoro e le professioni sono previsti obblighi informativi del datore sull’uso di sistemi decisionali/di monitoraggio automatizzati, è istituito l’Osservatorio ministeriale e l’IA resta uno strumento di supporto, con responsabilità e trasparenza verso il cliente;
• per PA e giustizia è previsto che la decisione finale sia sempre umana, con criteri di tracciabilità e una motivazione rafforzata.

Circa il diritto d’autore, le opere sono protette solo se frutto di creatività umana, anche se assistita da IA; estesa in LDA l’eccezione TDM “a mezzo IA” alle condizioni UE (accesso legittimo e assenza di opt-out), ma la legge non dettaglia le modalità di opt-out, lasciando aree di incertezza applicativa.

Cosa devono fare le imprese?

• Mappare casi d’uso IA e allineare policy interne ai principi (trasparenza, spiegabilità, controllo umano, sicurezza);
• pianificare trattamenti e DPIA per addestramento, con comunicazione preventiva al Garante e misure di minimizzazione/anonimizzazione;

• verificare accessi legittimi e gestione dell’opt-out dei titolari, documentando basi giuridiche e conformità;
• aggiornare informative ex “Decreto Trasparenza”, coinvolgere le rappresentanze e programmare la formazione;
• rivedere modelli 231 su reati aggravati da IA, risk assessment e codici etici (sorveglianza umana, sicurezza, trasparenza).