D.Lgs. 179/2026 e imprese: qualche spunto sul nuovo decreto italiano

Il 23 ottobre 2026 entra in vigore il d.lgs. 179/2026, secondo decreto attuativo della legge 132/2025 sull’intelligenza artificiale. Un ulteriore passaggio nell'adeguamento dell'ordinamento italiano all'AI Act europeo.

Il decreto disciplina, tra l'altro, i poteri delle autorità competenti, i controlli e il sistema sanzionatorio. Ma contiene anche disposizioni che meritano attenzione per le loro ricadute sull'organizzazione delle imprese.

Senza pretesa di esaustività, tre aspetti offrono qualche spunto di riflessione.

Il primo riguarda il lavoro e, in particolare, le decisioni assistite dall'intelligenza artificiale.

L'art. 41 del d.lgs. 179/2026, in attuazione dei principi già espressi dall'art. 11 della legge 132/2025 e fermo restando l'art. 22 del GDPR, introduce specifiche garanzie a tutela dei lavoratori.

Le decisioni definitive relative alla costituzione, modificazione o risoluzione del rapporto di lavoro, comprese le valutazioni delle prestazioni e i provvedimenti disciplinari, non possono essere adottate unicamente sulla base di un trattamento automatizzato. Devono essere riservate a una persona fisica dotata di un potere decisionale effettivo e autonomo. Il consenso del lavoratore non consente di derogare a questo divieto.

La disposizione rafforza anche le garanzie di trasparenza: oltre agli obblighi informativi previsti dall'art. 1-bis del d.lgs. 152/1997, il lavoratore ha diritto di ottenere, su richiesta e mediante intervento umano, una motivazione intelligibile della decisione, comprensiva dell'eventuale incidenza dell'IA e dei principali parametri considerati.

La violazione del divieto comporta la nullità della decisione, incluso il licenziamento.

Il legislatore delimita, tuttavia, l'ambito della disposizione, escludendo dalle decisioni definitive relative alla costituzione del rapporto le attività di ricerca e selezione delle candidature, anche quando comportino l'esclusione dalle fasi successive. Restano applicabili le tutele del GDPR e, secondo i rispettivi presupposti e termini di applicazione, quelle dell'AI Act, che include i sistemi destinati alla selezione e alla valutazione dei candidati tra le categorie potenzialmente ad alto rischio (Allegato III, punto 4).

La questione, quindi, non è soltanto assicurare la presenza formale di una persona nel processo decisionale, ma garantire che questa disponga delle informazioni, delle competenze e dell'autonomia necessarie per valutare criticamente e, se opportuno, disattendere il risultato prodotto dal sistema.

Il secondo riguarda la salute e la sicurezza nei luoghi di lavoro.

L'art. 42 del d.lgs. 179/2026 interviene sul sistema di prevenzione disciplinato dal d.lgs. 81/2008, prevedendo espressamente che l'impiego di sistemi di IA che incidono sull'organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti per la sicurezza debba essere considerato nell'ambito della valutazione dei rischi prevista dall'art. 28.

Non si tratta di un obbligo generalizzato di predisporre una valutazione separata per ogni applicativo di IA, ma della necessità di integrare i rischi derivanti dal suo impiego nel sistema di prevenzione aziendale e, quando necessario, nel Documento di valutazione dei rischi (DVR).

Gli aspetti da considerare possono comprendere, a seconda degli utilizzi, l'interazione tra lavoratori e sistemi automatizzati, gli effetti sui carichi e sui ritmi di lavoro, l'affidabilità delle indicazioni algoritmiche e gli eventuali rischi per la salute psicofisica dei lavoratori.

Il comma 3 prevede inoltre specifici obblighi di informazione e formazione sui rischi connessi all'utilizzo dell'IA e sulle misure di prevenzione e protezione adottate.

L'intelligenza artificiale entra dunque nel perimetro delle responsabilità del datore di lavoro in materia di sicurezza, richiedendo il coinvolgimento delle funzioni competenti nella valutazione dei rischi e nella definizione delle misure preventive. Al tempo stesso, l'art. 42 riconosce anche le potenzialità dell'IA come strumento per prevenire infortuni e malattie professionali.

Il terzo riguarda la tutela del patrimonio informativo e tecnologico dell'impresa.

L'art. 52 del d.lgs. 179/2026 introduce il comma 1-bis nell'art. 98 del Codice della proprietà industriale (d.lgs. 30/2005), chiarendo che tra le informazioni aziendali e le esperienze tecnico-industriali tutelabili come segreti commerciali possono rientrare anche i dati, gli algoritmi e i metodi matematici utilizzati per l'addestramento dei sistemi di IA.

La disposizione richiama espressamente le architetture dei modelli, le funzioni di ottimizzazione, le procedure e le configurazioni di addestramento e gli altri elementi tecnico-computazionali funzionali allo sviluppo dei sistemi.

Non si tratta, tuttavia, di una tutela automatica né dell'attribuzione di un nuovo diritto esclusivo sugli algoritmi. La protezione resta subordinata ai requisiti dell'art. 98, comma 1: segretezza delle informazioni, valore economico derivante dalla segretezza e adozione di misure ragionevolmente adeguate a preservarla.

Quando tali condizioni ricorrono, trova applicazione la tutela prevista dall'art. 99 del Codice della proprietà industriale contro l'acquisizione, l'utilizzazione o la divulgazione abusiva dei segreti commerciali.

Le conseguenze organizzative e contrattuali non sono trascurabili: diventano rilevanti la gestione degli accessi, la classificazione delle informazioni riservate, gli accordi di riservatezza, la regolamentazione dei rapporti con sviluppatori e fornitori e il controllo delle modalità di condivisione dei dati.

Il punto è particolarmente delicato quando lo sviluppo o l'addestramento dei sistemi coinvolge soggetti esterni, piattaforme di terzi o infrastrutture cloud.

La tutela del know-how legato all'IA dipende, quindi, anche dalla capacità dell'impresa di dimostrare di aver adottato misure effettive per proteggerlo. Definire un'informazione "confidenziale" può essere un inizio, ma difficilmente basta.

Ambiti differenti, che mettono tuttavia in evidenza una questione comune: la necessità di una governance integrata dell'intelligenza artificiale.

L'IA attraversa ormai funzioni e processi aziendali tradizionalmente governati da discipline diverse: diritto del lavoro, sicurezza, privacy, cybersecurity, proprietà intellettuale, responsabilità e organizzazione societaria.

Il rischio è affrontare ciascun profilo separatamente, moltiplicando procedure e adempimenti senza una visione complessiva. Una governance efficace dovrebbe invece partire dagli utilizzi effettivi della tecnologia e dal loro impatto sull'organizzazione, per integrare i relativi rischi nei sistemi di gestione e controllo già esistenti.

Il primo passaggio, apparentemente semplice, è capire dove e come l'IA venga utilizzata. Non è scontato: può essere già presente nei software gestionali, nei processi HR, negli strumenti amministrativi o nelle applicazioni utilizzate quotidianamente dal personale, anche senza una scelta aziendale consapevole di adottarla.

Da qui alcune domande: quali sistemi sono utilizzati? Quali dati trattano? Quali decisioni influenzano? Chi ne valuta i rischi? Come sono disciplinati i rapporti con i fornitori? Le responsabilità e i controlli sono adeguatamente definiti?

Sono interrogativi che riguardano non soltanto la conformità normativa, ma anche l'organizzazione e la capacità dell'impresa di governare le trasformazioni tecnologiche.

Per questo è importante integrare la governance dell'IA nei processi decisionali, nei sistemi di controllo e nelle responsabilità aziendali, adottando misure proporzionate ai rischi e agli utilizzi effettivi.

Senza dimenticare che una policy, per quanto ben scritta, difficilmente governa un rischio se nessuno sa che quel rischio esiste.

E l'intelligenza artificiale, nel frattempo, continua a evolvere; non sempre con gli stessi tempi delle organizzazioni che la utilizzano.