La Legge 23 settembre 2025, n. 132 (Legge 132/2025), prima legge nazionale organica sull'IA nell'UE, delega al Governo l'adozione di decreti legislativi di adeguamento al Regolamento (UE) 2024/1689 ai sensi dell'articolo 1, con scadenza delegata al 10 ottobre 2026. Il Consiglio dei Ministri ha approvato in forma preliminare due schemi di decreto il 10 giugno 2026, concernenti formazione, lavoro, polizia e responsabilità civile e penale.
I provider e gli sviluppatori italiani di sistemi di IA, gli importatori e i distributori, i deployer privati di sistemi di IA ad alto rischio, i produttori italiani di dispositivi medici e SaMD abilitati all'IA e i fornitori di IA verso la pubblica amministrazione italiana devono avere processi di governance dell'IA, di valutazione d'impatto sui diritti fondamentali (FRIA) e di valutazione della conformità pronti entro il 10 ottobre 2026, pena l'esposizione a sanzioni penali nazionali ai sensi degli articoli 2-7 della Legge 132/2025 e a sanzioni amministrative oltre i massimali dell'AI Act una volta adottati i decreti.
- Scadenza : 10 ottobre 2026, termine dell'articolo 1 per l'adozione dei decreti attuativi dell'AI Act
- Chi : provider, sviluppatori, importatori, distributori, deployer di IA ad alto rischio e produttori di dispositivi medici abilitati all'IA in Italia
- Cosa : il Governo deve adottare i decreti legislativi di adeguamento all'AI Act; gli operatori devono avere pronti governance, FRIA e processi di conformità
- Altrimenti : sanzioni penali ex Legge 132/2025 artt. 2-7 e sanzioni amministrative; se il Governo manca la delega, il potere adottivo decade (art. 76 Cost.)
- Fonte ufficiale : Legge 132/2025 nella Gazzetta Ufficiale
Cosa scade il 10 ottobre 2026
L'obbligo in scadenza il 10 ottobre 2026 è l'adozione, da parte del Governo italiano, dei decreti legislativi di adeguamento al Regolamento (UE) 2024/1689, ai sensi della delega di cui all'articolo 1 della Legge 132/2025. La delega ha durata di 12 mesi dall'entrata in vigore della legge, il 10 ottobre 2025. I decreti detallieranno le procedure nazionali, il regime sanzionatorio e gli assetti istituzionali che completano l'AI Act direttamente applicabile, senza traspone.
Il Consiglio dei Ministri, nella seduta n. 177 del 10 giugno 2026, ha dato passaggio preliminare a due schemi di decreto su formazione, lavoro, polizia e responsabilità civile e penale. L'adozione definitiva è attesa entro la finestra delegatoria di ottobre 2026; se il Governo manca il termine, il potere adottivo decade ex articolo 76 della Costituzione.
| Data | Evento |
|---|---|
| 25 settembre 2025 | Legge 132/2025 pubblicata nella Gazzetta Ufficiale (GU n. 223) |
| 10 ottobre 2025 | Entrata in vigore della Legge 132/2025; sanzioni penali (artt. 2-7) e designazione delle autorità (art. 20) |
| 10 giugno 2026 | Consiglio dei Ministri n. 177: passaggio preliminare di due schemi di decreto IA |
| 10 ottobre 2026 | Scadenza delega ex articolo 1: decreti attuativi |
Chi è coinvolto
La Legge 132/2025 raggiunge ogni attore che immette o utilizza un sistema di IA sul mercato italiano. Per esposizione di mercato, gli attori esposti sono i provider e gli sviluppatori italiani di sistemi di IA, gli importatori e i distributori, i deployer privati di sistemi di IA ad alto rischio in Italia (finanza, HR e reclutamento, operatori di infrastrutture critiche), i produttori italiani di dispositivi medici e SaMD abilitati all'IA con IA ad alto rischio MDR o IVDR (Allegato III) e i fornitori e integratori di IA verso la pubblica amministrazione italiana e i settori regolati.
La legge designa AgID (Agenzia per l'Italia Digitale) come autorità di notifica ex articolo 70 dell'AI Act e ACN (Agenzia per la Cybersicurezza Nazionale) come autorità di vigilanza del mercato e punto di contatto unico dell'UE ex articolo 20. Il Garante privacy resta l'autorità ex articolo 51 GDPR per l'IA ad alto rischio che incide sui diritti fondamentali; i sistemi ad alto rischio del settore finanziario restano con Banca d'Italia, CONSOB e IVASS. Gli operatori non devono riunire queste autorità in un unico supervisore.
Cosa fare prima del 10 ottobre 2026
- Mappare i propri sistemi di IA rispetto alle categorie ad alto rischio dell'AI Act (Allegato III) e all'ambito della Legge 132/2025 per individuare quali ricadono sotto le sanzioni nazionali
- Strutturare la governance dell'IA: nominare un responsabile della conformità IA e istituire processi interni di gestione del rischio e della qualità
- Predisporre procedure di valutazione d'impatto sui diritti fondamentali (FRIA) per i deploy di IA ad alto rischio, sul modello dell'articolo 27 dell'AI Act che i decreti italiani operativeranno
- Preparare la documentazione di valutazione della conformità e i fascicoli tecnici per i sistemi di IA ad alto rischio, inclusa la sovrapposizione MDR e IVDR per i dispositivi medici abilitati all'IA
- Monitorare i portali di notifica e registrazione AgID e ACN e la tempistica della sandbox regolamentare che i decreti apriranno
- Rivedere i contratti con i fornitori e gli integratori di IA verso la pubblica amministrazione italiana per gli obblighi nazionali che i decreti imporranno
- Informare i team legali e di conformità sul regime di sanzioni penali (artt. 2-7) a fianco delle sanzioni amministrative dell'AI Act
Cosa accade in caso di inadempimento
Una volta adottati i decreti attuativi, la non conformità espone gli operatori alle sanzioni penali nazionali ex articoli 2-7 della Legge 132/2025 e a sanzioni amministrative oltre i massimali dell'AI Act (articolo 99). Le sanzioni penali si applicano dal 10 ottobre 2025, data di entrata in vigore della legge, e i decreti ne dettaglieranno gli aspetti procedurali ed esecutivi. Se il Governo manca la finestra delegatoria, il potere adottivo decade ex articolo 76 della Costituzione. Il monitoraggio continuo per giurisdizione rileva il momento in cui l'Italia adotta i decreti e li pubblica nella Gazzetta Ufficiale.
Come differisce dalla tempistica dell'AI Act UE sull'alto rischio
- La Legge 132/2025 italiana è in vigore dal 10 ottobre 2025, con sanzioni penali (artt. 2-7) già applicabili, mentre gli obblighi dell'AI Act UE sull'Allegato III ad alto rischio sono stati differiti al 2 dicembre 2027 tramite il Digital Omnibus (il nostro approfondimento)
- Gli operatori italiani sono quindi esposti a sanzioni nazionali su una tempistica che precede la data di conformità UE sull'alto rischio differita
