D.Lgs. 179/2026 sull’intelligenza artificiale: cosa cambia per DVR, lavoratori e sicurezza

Dal 23 ottobre 2026 è in vigore il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre, che adegua la normativa italiana al regolamento europeo sull’intelligenza artificiale, l’AI Act. Il D.Lgs. 179/2026 conta 54 articoli: la parte più ampia riguarda i poteri delle autorità nazionali e le sanzioni, ma due articoli interessano direttamente chi si occupa di sicurezza in azienda. L’articolo 42 stabilisce che i sistemi di intelligenza artificiale che incidono sull’organizzazione del lavoro, sui ritmi produttivi o su decisioni rilevanti per la sicurezza vanno considerati nella valutazione dei rischi. L’articolo 41 vieta che assunzioni, provvedimenti disciplinari, valutazioni delle prestazioni e licenziamenti vengano decisi soltanto da un sistema automatizzato.

Il decreto non fissa una scadenza unica, ma cambia il modo di applicare obblighi che datori di lavoro, RSPP, security manager e responsabili delle risorse umane conoscono già. La notizia ricostruisce cosa prevede il testo, chi controlla, come si incastra con il calendario europeo modificato a luglio e quali punti restano aperti.

Cosa contiene il D.Lgs. 179/2026

Il decreto attua la delega contenuta nell’articolo 24 della legge 23 settembre 2025, n. 132, la legge italiana sull’intelligenza artificiale, e si divide in cinque capi:

• Capi I e II (articoli 1-35). Definizioni, autorità nazionali, punto di contatto unico, vigilanza del mercato, sanzioni, spazi di sperimentazione normativa (le cosiddette sandbox) e modifiche alla disciplina dell’Agenzia per la cybersicurezza nazionale.
• Capo III (articoli 36-51). Intelligenza artificiale nella scuola, nell’università, nelle professioni, nel lavoro, nella sanità e nella pubblica amministrazione, con un forte accento sulla formazione.
• Capi IV e V (articoli 52-54). Tutela delle informazioni aziendali su dati, algoritmi e metodi matematici attraverso il codice della proprietà industriale, una norma processuale e la clausola di invarianza finanziaria.

Il titolo del decreto indica i due assi su cui lavora: i “poteri delle Autorità nazionali” e l'”utilizzo dell’intelligenza artificiale nella formazione”. Il testo non riscrive gli obblighi dell’AI Act, che resta un regolamento europeo direttamente applicabile: stabilisce chi vigila, con quali poteri e con quali sanzioni, e aggiunge alcune regole nazionali, tra cui quelle sul lavoro.

Chi vigila: ACN, AgID e le altre autorità

Le autorità nazionali per l’intelligenza artificiale sono due, l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN), come già previsto dalla legge 132/2025. Il decreto ne precisa i compiti e affianca loro le autorità di settore.

Autorità	Ruolo nel D.Lgs. 179/2026	Articoli
ACN	autorità di vigilanza del mercato sui sistemi di IA, punto di contatto unico, poteri ispettivi, registrazione nazionale dei sistemi ad alto rischio per le infrastrutture critiche	5, 6, 14, 15, 16
AgID	autorità di notifica: valuta, designa e controlla gli organismi che certificano la conformità dei sistemi	4, 13, 20
Banca d’Italia, CONSOB, IVASS	vigilanza sui sistemi ad alto rischio usati nei servizi bancari, finanziari e assicurativi	5
Garante per la protezione dei dati personali	solo nei casi dell’articolo 74, paragrafo 8, dell’AI Act: sistemi biometrici usati per attività di contrasto, gestione delle frontiere, giustizia e democrazia, e altri sistemi ad alto rischio degli stessi ambiti	5

L’ACN apre un procedimento in seguito alla segnalazione di un incidente grave, a un reclamo non manifestamente infondato, a una segnalazione di altre autorità oppure d’ufficio. Sulle prove di sistemi di IA in condizioni reali può svolgere ispezioni a distanza o in loco, anche senza preavviso. Quando un prodotto ricade sia nell’AI Act sia in un’altra normativa europea di prodotto, l’Agenzia esercita la vigilanza in forma congiunta con l’autorità di settore, e quest’ultima deve avvisarla se si accorge che il prodotto contiene un sistema di IA.

Intelligenza artificiale e valutazione dei rischi: l’articolo 42

Il cuore del decreto per la sicurezza sul lavoro è l’articolo 42, intitolato “Intelligenza artificiale, salute e sicurezza nei luoghi di lavoro”. Il comma 2 dispone che l’utilizzo di sistemi di intelligenza artificiale che incidono “sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza” sia valutato nell’ambito della valutazione dei rischi prevista dall’articolo 28 del decreto legislativo 9 aprile 2008, n. 81.

La formula non riguarda qualsiasi uso dell’IA, ma quelli che toccano almeno uno dei quattro ambiti indicati. Rientrano con buona probabilità, ad esempio, un software che assegna turni e carichi di lavoro in un magazzino, un sistema di visione che ferma una linea o segnala l’assenza dei dispositivi di protezione, un algoritmo che detta i tempi di prelievo della merce, una piattaforma di manutenzione predittiva che decide quando intervenire su un impianto. Lo strumento usato in ufficio per scrivere una mail, invece, difficilmente cambia l’organizzazione o la sicurezza del lavoro.

Il decreto non fissa una data entro cui aggiornare i documenti e non prevede sanzioni proprie: la regola si inserisce nel meccanismo già noto del Testo unico. L’articolo 29 del D.Lgs. 81/2008 impone di rielaborare subito la valutazione dei rischi in caso di modifiche significative del processo produttivo o dell’organizzazione del lavoro, o in relazione all’evoluzione della tecnica, e di aggiornare il documento di valutazione dei rischi (DVR) entro trenta giorni. La valutazione si svolge con il responsabile del servizio di prevenzione e protezione e il medico competente, previa consultazione del rappresentante dei lavoratori per la sicurezza. L’introduzione di un sistema di IA con le caratteristiche dell’articolo 42 è quindi, a tutti gli effetti, una delle modifiche che fanno scattare la revisione.

Il comma 3 aggiunge un obbligo di informazione e formazione dei lavoratori sui rischi specifici legati all’uso dei sistemi di IA e sulle misure adottate. Si somma a quello dell’articolo 4 dell’AI Act, in vigore dal 2 febbraio 2025, che chiede a fornitori e utilizzatori (i deployer) di sostenere l’alfabetizzazione sull’IA del personale, senza imporre un livello specifico. Il comma 1 affida al Ministero del lavoro il coordinamento delle misure di tutela, mentre il comma 4 gli chiede di promuovere l’IA anche come strumento di prevenzione degli infortuni, in raccordo con l’Ispettorato nazionale del lavoro. Sulle applicazioni predittive dell’IA alla prevenzione l’archivio ha già raccontato esperienze e limiti.

Decisioni sul lavoratore: l’ultima parola resta a una persona

L’articolo 41 riguarda i processi decisionali sul rapporto di lavoro. Il datore di lavoro che usa sistemi di IA deve fare in modo che le decisioni finali su costituzione, modifica o cessazione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non siano adottate unicamente sulla base di un trattamento automatizzato. La decisione definitiva spetta a una persona fisica con un potere “effettivo e autonomo”.

I punti principali:

• Selezione esclusa. Le attività di ricerca e selezione delle candidature non sono considerate decisioni finali, anche quando escludono un candidato dalle fasi successive.
• Consenso irrilevante. Il consenso del lavoratore non rende lecita una decisione presa solo dalla macchina.
• Informativa preventiva. Prima di avviare il trattamento il datore di lavoro deve fornire l’informativa dell’articolo 1-bis del decreto legislativo 152/1997 sui sistemi decisionali o di monitoraggio automatizzati.
• Diritto alla motivazione. Il lavoratore può ottenere, tramite una persona, una spiegazione comprensibile della decisione, con l’indicazione del peso dei sistemi di IA e dei principali parametri considerati.
• Nullità. Il licenziamento e le altre decisioni adottate in violazione della regola sono nulli.

La norma tocca anche la security aziendale. Analisi automatiche di accessi, timbrature, immagini o dati di localizzazione possono segnalare un’anomalia, ma una contestazione disciplinare che poggiasse soltanto su quell’esito sarebbe a rischio di nullità. A livello europeo, inoltre, l’allegato III dell’AI Act classifica ad alto rischio i sistemi usati per selezionare il personale, assegnare compiti in base al comportamento o monitorare e valutare le prestazioni, e dal 2 dicembre 2027 l’articolo 26 obbligherà i datori di lavoro a informare lavoratori e rappresentanti prima di metterli in uso.

Sanzioni e calendario dopo il Digital Omnibus

L’articolo 23 del decreto fissa le sanzioni amministrative nei limiti massimi previsti dall’AI Act, salvo che il fatto costituisca reato:

Violazione	Sanzione massima
Pratiche vietate dall’articolo 5 dell’AI Act	35 milioni di euro o 7% del fatturato mondiale annuo, se superiore
Obblighi di fornitori, rappresentanti, importatori, distributori, deployer e organismi notificati, obblighi di trasparenza (tra cui articoli 16, 26 e 50)	15 milioni di euro o 3% del fatturato
Informazioni inesatte, incomplete o fuorvianti alle autorità o agli organismi notificati	7,5 milioni di euro o 1% del fatturato
Obblighi degli articoli 27 e 86	1 milione di euro o 0,5% del fatturato

Per piccole e medie imprese e start-up vale l’importo o la percentuale più bassa, come prevede l’articolo 99 dell’AI Act. Per le violazioni di scarsa offensività l’articolo 22 consente, in alternativa alla multa, un ordine di eliminare l’infrazione oppure, se è già cessata, una dichiarazione pubblica; chi non rispetta l’ordine paga una sanzione aumentata fino a un terzo.

Le date contano, perché nel frattempo il calendario europeo è cambiato. Il regolamento (UE) 2026/1744 dell’8 luglio 2026, il cosiddetto Digital Omnibus sull’IA pubblicato in Gazzetta ufficiale dell’UE il 24 luglio, ha rinviato gli obblighi per i sistemi ad alto rischio. Il quadro risultante dal testo consolidato dell’AI Act è questo:

Dal	Cosa si applica
2 febbraio 2025	pratiche vietate e alfabetizzazione sull’IA
2 agosto 2025	governance, autorità e regime sanzionatorio europeo
2 agosto 2026	applicazione generale del regolamento, compresi gli obblighi di trasparenza
23 ottobre 2026	D.Lgs. 179/2026: autorità e sanzioni nazionali, articoli 41 e 42 sul lavoro
2 dicembre 2027	obblighi per i sistemi ad alto rischio dell’allegato III (biometria, infrastrutture critiche, lavoro)
2 agosto 2028	obblighi per i sistemi ad alto rischio dell’allegato I, cioè l’IA integrata in prodotti come ascensori, apparecchiature radio o attrezzature a pressione

Il lato security: biometria, videosorveglianza e infrastrutture critiche

Per chi gestisce la sicurezza fisica il decreto conferma che sarà l’ACN a vigilare sul mercato dei sistemi di IA, compresi quelli integrati in videosorveglianza, analisi video e controllo accessi. L’AI Act classifica ad alto rischio l’identificazione biometrica remota, la categorizzazione biometrica basata su attributi sensibili e il riconoscimento delle emozioni, mentre esclude la semplice verifica biometrica che conferma l’identità dichiarata da una persona, il caso tipico del varco con badge e impronta. L’uso di sistemi che deducono le emozioni dei lavoratori è vietato dal 2 febbraio 2025, salvo motivi medici o di sicurezza. Sulle tecniche di analisi video il magazine ha pubblicato un approfondimento dedicato alla videosorveglianza intelligente.

Una novità specifica riguarda le infrastrutture critiche. L’allegato III dell’AI Act considera ad alto rischio i sistemi di IA usati come componenti di sicurezza nella gestione di infrastrutture digitali critiche, traffico stradale e fornitura di acqua, gas, riscaldamento ed elettricità. L’articolo 14 del decreto affida all’ACN la registrazione nazionale di questi sistemi, con modalità che saranno fissate da un decreto del direttore generale dell’Agenzia d’intesa con AgID, e chiede un coordinamento con il punto di contatto unico previsto dal D.Lgs. 134/2024, che ha recepito la direttiva sulla resilienza dei soggetti critici (CER). Gli operatori del settore si trovano così a dialogare con le stesse strutture su più fronti, come già accade per la protezione da droni e minacce ibride.

I punti aperti

Il decreto è in vigore, ma diverse parti dipendono da atti successivi. Un regolamento adottato con decreto del Presidente del Consiglio dei ministri, su proposta dell’ACN, dovrà definire le modalità dei controlli e delle misure di vigilanza, senza un termine indicato nel testo. Un secondo DPCM, sui costi della vigilanza per i prodotti non conformi, è atteso entro novanta giorni, cioè entro il 21 gennaio 2027. Anche le modalità di registrazione dei sistemi per le infrastrutture critiche attendono il decreto dell’Agenzia.

Sul lavoro, l’articolo 42 indica cosa valutare ma non come: mancano per ora criteri o indicazioni operative del Ministero del lavoro, che il decreto incarica del coordinamento. In attesa di chiarimenti, la valutazione resta affidata al giudizio del datore di lavoro e dei suoi consulenti, con il rischio di approcci molto diversi da un’azienda all’altra.

Pesa poi lo sfasamento dei tempi. Gli articoli 41 e 42 si applicano da subito, mentre gran parte degli obblighi europei sui sistemi ad alto rischio usati nel lavoro e nella security scatterà solo dal 2 dicembre 2027. Chi rinvia ogni verifica a quella data rischia di trovarsi già oggi in difetto sulle regole nazionali, che non dipendono dalla classificazione del sistema come ad alto rischio.

Cosa fare adesso: le verifiche per datori di lavoro, RSPP e security manager

1. Censire i sistemi di IA in uso, compresi quelli integrati in software già presenti: gestione dei turni, logistica, videoanalisi, controllo accessi, manutenzione predittiva, piattaforme per le risorse umane.
2. Applicare i quattro criteri dell’articolo 42 a ciascun sistema e, se ne ricorre almeno uno, rielaborare la valutazione dei rischi con RSPP e medico competente, consultando il rappresentante dei lavoratori per la sicurezza e rispettando i trenta giorni per il DVR.
3. Aggiornare informazione e formazione sui rischi specifici dei sistemi adottati, coordinandole con le iniziative di alfabetizzazione sull’IA.
4. Mappare i processi decisionali sul personale in cui un sistema fornisce indicazioni, individuare la persona che decide, predisporre l’informativa dell’articolo 1-bis del D.Lgs. 152/1997 e una procedura per motivare le decisioni.
5. Classificare i sistemi di security secondo l’allegato III dell’AI Act, distinguendo verifica biometrica e identificazione, ed escludere funzioni di riconoscimento delle emozioni sul luogo di lavoro.
6. Seguire gli atti attuativi dell’ACN e del Ministero del lavoro, in particolare il decreto sulla registrazione dei sistemi per le infrastrutture critiche e i DPCM sui poteri di vigilanza.