Un anno fa, il 10 ottobre 2025, è entrata in vigore la legge italiana sull'intelligenza artificiale, la 132/2025. Era una legge quadro: principi, qualche obbligo subito operativo e molte deleghe al Governo. L'8 ottobre 2026 è arrivato in Gazzetta il pezzo che mancava per le imprese, il decreto legislativo 179/2026. Entra in vigore il 23 ottobre 2026, tra nove giorni.

Questa analisi risponde a una domanda sola: cosa cambia per una PMI che usa l'IA, e cosa conviene fare prima del 23 ottobre. Senza allarmi e senza dimenticare che, per i dettagli, fa fede il testo in Gazzetta.

Se parti da zero sulle regole europee, leggi prima AI Act PMI: checklist obblighi minimi e il quadro su cosa devono sapere le aziende italiane sull'AI Act. Qui restiamo sulla parte italiana.

In 30 secondi

  • Cosa è: il secondo decreto attuativo della legge 132/2025, 54 articoli. Il primo, il D.Lgs. 160/2026, riguarda polizia e responsabilità civile e penale ed è in vigore dal 30 settembre.
  • Chi vigila: AgID è autorità di notifica, ACN è autorità di vigilanza del mercato e punto di contatto unico. Banca d'Italia, CONSOB e IVASS per i settori vigilati.
  • Lavoro: le decisioni finali su assunzione, modifica e fine del rapporto, compresi provvedimenti disciplinari e valutazioni delle prestazioni, non possono basarsi solo su un trattamento automatizzato. Altrimenti sono nulle.
  • Sicurezza: l'IA che incide su organizzazione e ritmi di lavoro entra nella valutazione dei rischi. Informare e formare i lavoratori diventa un obbligo esplicito.
  • Sanzioni: stessi massimali dell'AI Act, ma per PMI e start-up si applica il valore più basso tra importo fisso e percentuale del fatturato.
  • Cosa non cambia: gli obblighi alto rischio (per esempio selezione del personale) restano al 2 dicembre 2027.

La sequenza, in ordine

1. 10 ottobre 2025: in vigore la legge 132/2025. Già operativi l'informativa ai lavoratori quando si usa l'IA (art. 11) e l'informativa al cliente per i professionisti (art. 13).

2. 2 agosto 2026: scattano gli obblighi di trasparenza dell'AI Act, chatbot e contenuti generati. Ne abbiamo parlato in AI Act 2 agosto: trasparenza e controlli.

3. 30 settembre 2026: in vigore il D.Lgs. 160/2026 (IA e polizia, responsabilità).

4. 8 ottobre 2026: pubblicato il D.Lgs. 179/2026, firmato il 7 ottobre, a ridosso della scadenza della delega fissata al 10 ottobre.

5. 23 ottobre 2026: il D.Lgs. 179/2026 entra in vigore.

6. 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell'Allegato III, dopo il rinvio deciso a livello europeo.

Il cuore per le PMI: le decisioni sulle persone

L'articolo 41 è quello da leggere con attenzione. Se usi sistemi di IA nei processi decisionali sul personale, la decisione finale su assunzione, modifica o cessazione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni deve restare a una persona con potere effettivo e autonomo. Tre dettagli contano.

1. La nullità. Un licenziamento o una decisione presa solo applicando l'output di un sistema è nulla. Non è una multa, è un atto che può cadere.

2. Il consenso non basta. Far firmare al dipendente un "accetto" non deroga al divieto.

3. Lo screening dei CV è escluso dal divieto. Il testo definitivo lascia fuori ricerca e selezione delle candidature, anche quando scartano qualcuno nelle prime fasi. Restano però il GDPR e, dal 2027, le regole alto rischio dell'AI Act sui sistemi di selezione.

In più, prima di attivare il sistema serve l'informativa prevista dall'articolo 1-bis del D.Lgs. 152/1997, e il lavoratore può chiedere una motivazione comprensibile della decisione, con il peso che ha avuto il sistema e i parametri principali (art. 41, comma 3, secondo la lettura di PMI.it).

Un esempio per capirci (scenario illustrativo). Una PMI di 30 persone usa un software turni che assegna un punteggio di affidabilità e propone chi escludere dagli straordinari meglio pagati. Dal 23 ottobre il punteggio può orientare. La scelta finale la fa e la firma un responsabile, che può discostarsi dal sistema e lascia due righe sulle ragioni. Se nessuno guarda e si applica la classifica così com'è, la decisione è contestabile.

L'IA entra nel DVR

L'articolo 42 è nuovo rispetto allo schema iniziale. I sistemi di IA che incidono su organizzazione, ritmi produttivi o modalità della prestazione vanno considerati nella valutazione dei rischi dell'articolo 28 del D.Lgs. 81/2008. E i lavoratori vanno informati e formati sui rischi specifici dell'IA e sulle misure adottate.

In pratica: alla prossima revisione del DVR (meglio se prima), RSPP e titolare aggiungono una sezione sui sistemi di IA usati in produzione, logistica, turni o customer care. Non serve un trattato. Serve sapere quali sistemi ci sono e cosa cambiano nel lavoro.

Sulla formazione c'è un dettaglio utile. Secondo PMI.it, l'articolo 23 del decreto non mette l'alfabetizzazione IA dell'AI Act (art. 4) tra le violazioni punite con multa. Ma l'obbligo di formare sui rischi, via articolo 42, c'è comunque. La formazione va calibrata sull'uso reale: chi scrive email con un assistente non ha bisogno del corso di chi decide su turni e premi.

Sanzioni: cosa conta per una PMI

L'articolo 23 riprende i massimali dell'articolo 99 dell'AI Act: fino a 35 milioni o 7% del fatturato per le pratiche vietate, fino a 15 milioni o 3% per gli obblighi degli operatori e la trasparenza, fino a 7,5 milioni o 1% per informazioni inesatte alle autorità. C'è anche una fascia nazionale più bassa, 1 milione o 0,5%, per valutazione d'impatto sui diritti fondamentali e diritto alla spiegazione.

Per PMI, microimprese e start-up innovative si applica il valore più basso tra i due. PMI.it fa un esempio: un'azienda con 2 milioni di fatturato che usa un chatbot sul sito senza dire ai clienti che parlano con un'IA ha come tetto il 3% del fatturato, cioè 60.000 euro, non 15 milioni. Resta una cifra che nessuna PMI vuole pagare per una riga di disclosure mancante.

Per le violazioni lievi l'articolo 22 permette alle autorità di ordinare di rimediare entro un termine, prima della multa. Chi non rimedia paga di più.

Nota di verifica. Il comunicato del Consiglio dei ministri parlava di massimali inferiori a quelli europei. Il confronto pubblicato da NicFab col testo in Gazzetta non lo conferma: i massimali coincidono con l'AI Act. Se leggi sintesi diverse, fidati del testo pubblicato.

La sandbox italiana: priorità alle PMI, ma non ancora aperta

L'articolo 26 istituisce lo Spazio di sperimentazione italiano per l'IA, gestito da AgID e ACN, con priorità di accesso per PMI e start-up. È interessante per chi sviluppa soluzioni di IA, meno per chi le usa e basta. Ma modalità e criteri di ammissione dipendono da decreti congiunti delle due agenzie, senza un termine fissato. Oggi è un annuncio, non uno sportello. Se cerchi soldi per progetti IA, la mappa giusta resta quella degli incentivi AI per PMI 2026.

Professionisti e studi

Se la tua PMI è uno studio (commercialisti, consulenti del lavoro, ingegneri, avvocati), due cose. L'informativa al cliente sull'uso dell'IA è già obbligatoria dal 2025, per l'articolo 13 della legge 132. Con il decreto, gli ordini hanno sei mesi (entro il 23 aprile 2027) per inserire percorsi sull'IA nella formazione continua, con un monte ore minimo. E l'uso dell'IA potrà modulare l'equo compenso in base alla classe di rischio del sistema, ma solo dopo i decreti sui parametri, attesi entro dodici mesi.

Cosa fare entro il 23 ottobre (checklist)

1. Mappa i sistemi di IA in uso, compresi quelli dentro software già comprati: gestionale HR, turni, CRM, centralino, helpdesk. Se un tool "suggerisce", "classifica" o "dà un punteggio" alle persone, segnalo.

2. Separa gli usi: interni (bozze, email, riassunti), verso clienti (chatbot, contenuti), sulle persone (valutazioni, turni, premi, disciplina). Il terzo gruppo è quello che il decreto guarda da vicino.

3. Per ogni uso sulle persone, nomina chi decide. Un nome, non un ruolo vago. Quella persona può discostarsi dal sistema e lascia traccia delle ragioni.

4. Controlla l'informativa ai lavoratori (art. 1-bis D.Lgs. 152/1997) e, dove ci sono, la comunicazione alle rappresentanze sindacali.

5. Aggiorna il DVR con l'RSPP per i sistemi che cambiano ritmi o organizzazione.

6. Forma in modo proporzionato e tieni un registro semplice: chi, quando, su cosa.

7. Chiedi ai fornitori cosa fa davvero la funzione IA e quali dati usa. Le domande giuste sono in Vendor AI: 10 domande da mettere in contratto.

Se in azienda girano anche agenti con accesso a mail o gestionali, aggiungi un passaggio con l'audit permessi agente AI in 30 minuti. E se manca ancora una regola scritta sull'uso dei chatbot, parti dalla policy interna di una pagina.

Cosa resta aperto

  • Regolamenti delle autorità. ACN e AgID devono ancora definire modalità dei poteri ispettivi e procedimento sanzionatorio. Le sanzioni sono previste, ma la prassi si vedrà con questi atti.
  • Coordinamento con il calendario europeo. Il decreto non richiama espressamente il regolamento europeo che ha rinviato l'alto rischio. Gli obblighi alto rischio comunque si applicano dalle date europee.
  • Interpretazione dei casi grigi. Dove finisce il "supporto" e inizia la "decisione basata unicamente" su un sistema? Per i casi delicati, un passaggio con il consulente del lavoro è tempo ben speso.

Questa è un'analisi giornalistica, non un parere legale. Le fonti principali sono il testo in Gazzetta e due letture professionali, linkate sotto.

Conclusione

Il decreto 179/2026 non chiede a una PMI di diventare un ufficio compliance. Chiede una cosa semplice e scritta: sulle persone, l'ultima parola resta umana. Mappa i tool, nomina chi decide, aggiorna informativa e DVR, forma chi usa i sistemi. Sono poche ore di lavoro prima del 23 ottobre. Per il quadro completo da cui partire, c'è la guida pratica all'AI per PMI.