L’art. 5 D.Lgs. 179/2026 in vigore dal 23 ottobre 2026 individua le autorità nazionali di vigilanza del mercato previste dall’art. 70 Reg. UE 2024/1689 (AI Act). Il decreto attua la delega dell’art. 24 L. 132/2025 e contiene anche norme su formazione, professioni e lavoro (artt. 36-51) e sui segreti commerciali relativi agli algoritmi (artt. 52-53), che qui si tralasciano per esaminare competenze e sanzioni.

Le autorità designate

La L. 132/2025 aveva già indicato AgID e ACN come Autorità nazionali per l’intelligenza artificiale. Il decreto ne precisa i compiti e affianca loro altre autorità.

Il ruolo dell’ACN

L’ACN è l’autorità di vigilanza di riferimento per tutto ciò che non ricade nelle competenze settoriali. Il decreto le attribuisce:

• i poteri di vigilanza e ispettivi dell’AI Act e degli artt. 14 e 16 Reg. UE 2019/1020, comprese le ispezioni senza preavviso sulle prove in condizioni reali (art. 15);
• le misure degli artt. 79, 80, 82 e 83 AI Act sui sistemi che presentano un rischio o non sono conformi, con procedimento avviato su segnalazione di incidente grave, reclamo, segnalazione di altre autorità o d’ufficio (art. 16);
• la registrazione nazionale dei sistemi ad alto rischio relativi alle infrastrutture critiche, Allegato III, punto 2 (art. 14);
• il coordinamento con le autorità settoriali sui prodotti dell’Allegato I (art. 8) e la relazione annuale alla Commissione sulle sanzioni irrogate da tutte le autorità (art. 24 c. 9).

Cosa manca per l’operatività

Buona parte di questi poteri attende atti successivi.

Il regolamento sul procedimento sanzionatorio dell’ACN era in verità già previsto dalla L. 90/2024 che fissava un termine di novanta giorni; alla data attuale il medesimo però non risulta adottato. Nelle more la stessa disposizione rinvia alle sezioni I e II del capo I della L. 689/81. L’art. 24 c. 1 del decreto si limita poi a chiedere un provvedimento motivato «entro un termine ragionevole», senza un termine certo di conclusione.

Massimi senza minimi

L’art. 23 riprende le fasce dell’art. 99 AI Act e ne aggiunge una.

Le estensioni sono consentite: dopo l’Omnibus digitale (Reg. UE 2026/1744) l’art. 99 par. 1 rimette agli Stati le sanzioni per «qualsiasi violazione».

Ogni fascia è costruita con la formula «fino a»: il decreto fissa il massimo e non il minimo. L’art. 24 c. 10 rinvia alla L. 689/81 «in quanto compatibile», escluso l’art. 16 sul pagamento in misura ridotta. Ne discende che il minimo resta quello generale dell’art. 10 L. 689/81, pari a 10 euro, e che la cornice edittale va da 10 euro a decine di milioni, senza soglie intermedie che orientino l’autorità.

I criteri di commisurazione

Proprio sui criteri di determinazione l’art. 23 c. 6 rinvia ai criteri dell’art. 99 par. 7 AI Act e aggiunge la natura, sostanziale o formale, dell’obbligo violato. La norma europea elenca dieci circostanze da considerare «se del caso», fra cui natura, gravità e durata della violazione, dimensioni, fatturato e quota di mercato dell’operatore, benefici conseguiti o perdite evitate, cooperazione, dolo o colpa e condotta riparatoria.

Il coordinamento presenta alcune incertezze.

1. Il rinvio alla L. 689/81 porta con sé l’art. 11, che detta criteri propri (gravità, opera svolta per eliminare le conseguenze, personalità, condizioni economiche) per le sanzioni fissate fra un minimo e un massimo. Qui la cornice manca, e non è chiaro se i due elenchi si cumulino.
2. La distinzione fra obblighi sostanziali e formali non è definita. Da essa dipende anche l’accesso alle misure non pecuniarie dell’art. 22 (ordine di eliminare l’infrazione, dichiarazione pubblica), riservate alle violazioni «di scarsa offensività o pericolosità».
3. Il concorso con le sanzioni del GDPR resta affidato alle lett. b) e c) dell’art. 99 par. 7, cioè a un criterio di commisurazione caso per caso.
4. L’art. 23 c. 7 applica il tetto ridotto dell’art. 99 par. 6 alle PMI e alle start-up innovative, nozione qualificata dal diritto interno, mentre l’AI Act parla di start-up senza definirle. Non menziona poi le piccole imprese a media capitalizzazione, cui il nuovo par. 6 bis estende il tetto ridotto per le sanzioni dei parr. 4 e 5. Il regolamento si applica comunque direttamente, e quindi dovrebbe ritenersi applicabile, per il principio del favor rei, tale estensione anche all’interno dell’ordinamento italiano.
5. Il comma 5 rinvia alla definizione di fatturato dell’art. 99, che però non contiene tale definizione.

Il perimetro del Garante privacy

Quando attribuisce al Garante per la protezione dei dati personali la qualità di autorità di vigilanza del mercato, il potere di adottare linee guida e quello sanzionatorio, il decreto usa la formula «limitatamente a quanto previsto dall’art. 74 par. 8» (artt. 5, 11 e 24). È lo stesso AI Act a delimitare l’ambito: la norma impone di designare le autorità di protezione dei dati per i sistemi biometrici dell’Allegato III, punto 1, solo nella misura in cui sono usati per attività di contrasto, gestione delle frontiere, giustizia e democrazia, e per i sistemi dei punti 6, 7 e 8 (contrasto, migrazione, asilo e frontiere, amministrazione della giustizia e processi democratici). Per i sistemi non ad alto rischio usati negli stessi contesti il Garante collabora con l’ACN e con le autorità finanziarie (art. 9 c. 3 e 4). Fuori da quel perimetro, per esempio per la selezione del personale o per il merito creditizio, il Garante conserva i poteri del GDPR (art. 12) ma non vigila sull’applicazione dell’AI Act.

Il Garante figura anche fra le autorità che tutelano i diritti fondamentali ai sensi dell’art. 77 AI Act, con le quali le autorità di vigilanza devono coordinarsi (art. 7 c. 5). Il Dipartimento per la trasformazione digitale, con AgID e ACN, ha individuate quali Autorità di tutela di tali diritti:

• il Garante per la protezione dei dati personali;
• l’Autorità garante della concorrenza e del mercato;
• l’Autorità per le garanzie nelle comunicazioni;
• il Garante nazionale dei diritti delle persone private della libertà personale;
• l’Autorità garante nazionale dei diritti delle persone con disabilità.

In sintesi

Dal 23 ottobre 2026 l’ACN è l’autorità di vigilanza del mercato a competenza generale, ma la disciplina dei suoi poteri ispettivi attende un DPCM il cui termine per l’adozione non è stato indicato. Le sanzioni hanno i massimi dell’AI Act, nessun minimo specifico e criteri di commisurazione non appaiono coordinati con la L. 689/81. Oggi sono esigibili i divieti dell’art. 5 (le nuove pratiche vietate introdotte dall’Omnibus dal 2 dicembre 2026), la trasparenza dell’art. 50, i requisiti degli organismi notificati e il divieto di informazioni inesatte; gli obblighi sui sistemi ad alto rischio saranno efficaci dal 2 dicembre 2027 (Allegato III) e dal 2 agosto 2028 (Allegato I).