Il D.Lgs. 179/2026, pubblicato in Gazzetta Ufficiale l'8 ottobre, riserva a una persona fisica con potere effettivo e autonomo la decisione finale su assunzione, modifica e cessazione del rapporto: quelle adottate solo con un trattamento automatizzato sono nulle, e il consenso del lavoratore non basta a sanare il vizio. L'Italia ha scelto un impianto dichiaratamente antropocentrico, in cui l'IA assiste e la responsabilità resta umana. Ma l'esclusione della ricerca e selezione dal divieto dice dove si concentra, per ora, il margine di manovra degli algoritmi in azienda.
Un decreto firmato all'ultimo giorno utile
Il D.Lgs. 7 ottobre 2026, n. 179 attua la delega dell'art. 24 della legge 23 settembre 2025, n. 132, il cui termine scadeva il 10 ottobre 2026. La firma del Presidente della Repubblica è arrivata il 7 ottobre, la pubblicazione sulla Gazzetta Ufficiale n. 234 l'8 ottobre, l'applicazione il 23 ottobre: 54 articoli divisi in cinque capi, dalla governance e sanzioni (artt. 1-35) alla formazione, professioni, lavoro, sanità e PA (artt. 36-51), fino alla tutela come segreto aziendale di dati e algoritmi di addestramento (artt. 52-53) e alla clausola finanziaria (art. 54).
La tempistica racconta la fretta. Il Consiglio dei ministri ha approvato il testo in esame preliminare il 10 giugno 2026 e in via definitiva il 4 agosto, dopo i pareri di AgID, ACN, Garante per la protezione dei dati personali, Conferenza unificata e Commissioni parlamentari. Tra l'approvazione definitiva e l'entrata in applicazione passano meno di tre mesi: un tempo stretto per aziende e ordini chiamati a riorganizzare processi e formazione.
L'impianto antropocentrico e la casella vuota della selezione
L'art. 3 fissa il principio: l'IA supporta decisioni e servizi, la responsabilità è della persona. Da qui discendono gli obblighi operativi dell'art. 41, che copre anche i provvedimenti disciplinari e le valutazioni delle prestazioni, e dell'art. 42, che fa entrare i sistemi incidenti su organizzazione, ritmi produttivi e modalità della prestazione nella valutazione dei rischi dell'art. 28 del D.Lgs. 81/2008.
Prima di avviare il trattamento il datore consegna l'informativa dell'art. 1-bis del D.Lgs. 152/1997. Il lavoratore può poi chiedere, con l'intervento di una persona, una motivazione comprensibile della decisione che lo riguarda, con l'incidenza dell'IA e i principali parametri considerati; restano ferme le tutele del GDPR e l'art. 4 dello Statuto dei lavoratori sul controllo a distanza.
C'è però una casella vuota. Il testo definitivo esclude dal divieto le attività di ricerca e selezione delle candidature, anche quando portano a scartare un candidato nelle prime fasi: lo screening automatico dei curricula resta ammesso, con le regole del GDPR e, al termine del rinvio europeo, gli obblighi sui sistemi ad alto rischio. Nella pratica un'azienda di 40 dipendenti che usa un software HR può lasciare che il punteggio orienti la scelta, ma l'esclusione dal premio di risultato è una valutazione delle prestazioni e va firmata da un responsabile, con traccia delle ragioni anche quando conferma la proposta del software.
AgID e ACN: due autorità, un solo regolamento
L'art. 4 assegna ad AgID il ruolo di autorità di notifica, che designa e controlla gli organismi di valutazione della conformità; gli artt. 5 e 6 affidano all'ACN la vigilanza del mercato sui sistemi di IA e il ruolo di punto di contatto unico con le istituzioni europee. Banca d'Italia, CONSOB e IVASS vigilano nei rispettivi ambiti — credito, servizi di investimento, assicurazioni — mentre il Garante privacy interviene nei limiti dell'art. 74, par. 8, del Regolamento. Il coordinamento passa dal Comitato istituito presso la Presidenza del Consiglio dall'art. 20, comma 3, della L. 132/2025, e l'art. 26 crea lo Spazio di sperimentazione italiano per l'IA, ambiente controllato gestito da AgID e ACN con priorità di accesso per PMI e start-up.
Le sanzioni ricalcano i massimali dell'art. 99 del Regolamento europeo.
| Violazione | Sanzione massima |
|---|---|
| Pratiche di IA vietate (es. riconoscimento delle emozioni sul lavoro) | 35 milioni di euro o 7% del fatturato mondiale |
| Obblighi su sistemi ad alto rischio, organismi notificati, trasparenza su chatbot e deepfake | 15 milioni di euro o 3% del fatturato mondiale |
| Informazioni inesatte, incomplete o fuorvianti alle autorità | 7,5 milioni di euro o 1% del fatturato mondiale |
| Valutazione d'impatto e diritto alla spiegazione | 1 milione di euro o 0,5% del fatturato mondiale |
Per le grandi imprese vale il più alto dei due valori; per PMI, microimprese e start-up innovative l'art. 23, comma 7, impone il più basso. Il dettaglio cambia la geografia del rischio: il tetto in euro e quello percentuale si incrociano a 500 milioni di fatturato (35 milioni diviso 7%, e 15 milioni diviso 3%). Per PMI, microimprese e start-up innovative, sotto i 500 milioni di fatturato morde la percentuale (vale il più basso dei due valori); per le grandi imprese vale il più alto, quindi sotto quella soglia è il tetto fisso a pesare. Una PMI con 2 milioni di fatturato che non dichiara un chatbot rischia 60.000 euro (3%), mentre una pratica vietata la esporrebbe a 140.000 euro (7%): cifre proporzionali, non milionarie.
Formazione: sei mesi agli ordini, dodici per l'equo compenso
La parte del decreto che pesa sui professionisti è negli artt. 47 e 49: ordini e collegi hanno sei mesi per inserire percorsi sull'IA nella formazione continua, mentre i parametri dell'equo compenso vanno integrati entro dodici mesi. Sul fronte aziendale è obbligatorio formare i dipendenti sui rischi dei sistemi in uso, in parallelo ai dettami sull'alfabetizzazione AI della normativa europea. Il decreto interviene anche su PA, giustizia e sanità, con l'art. 40 dedicato ai sistemi di IA nelle pubbliche amministrazioni e alla valorizzazione del capitale umano, e l'art. 48 che consente a centri per l'impiego e agenzie per il lavoro di usare l'IA per orientamento e incontro tra domanda e offerta, sotto supervisione umana e con trasparenza delle decisioni.
Dove si sposta davvero il rischio
L'asimmetria più interessante sta nei tempi. Gli obblighi sui sistemi ad alto rischio diventano sanzionabili solo dalle date di applicazione europee, rinviate dall'Omnibus digitale: e la selezione del personale è esclusa dal divieto italiano. Lette insieme, le due cose dicono che lo screening algoritmico dei candidati resta, oggi, l'anello meno presidiato della catena. Le regole sulla supervisione umana arrivano subito; quelle tecniche no.
C'è poi un secondo scarto, che non si misura in euro. Le sanzioni amministrative sono proporzionali al fatturato e per le PMI valgono nel valore più basso, ma la nullità di un licenziamento o di una sanzione disciplinare decisi senza intervento umano non dipende dalle dimensioni dell'impresa. Un datore di lavoro da 2 milioni di fatturato e uno da 2 miliardi rischiano la stessa cosa davanti al giudice: la caduta dell'atto. La firma del responsabile e la traccia delle ragioni valgono più di qualunque calcolo sulla multa.
Chi ha già in mano un gestionale HR ha poco da guadagnare a spostare la decisione finale sul software e molto da perdere: dal 23 ottobre la differenza tra una valutazione difendibile e un atto nullo è una persona che esamina il caso e si assume la scelta.
Fonti
Indice dei Contenuti
