Cosa prevede la nuova legge italiana sull'Intelligenza Artificiale? Era davvero necessaria?
Il commento del Dott. Andrea Venanzoni, Vicepresidente AssoCyber
Il 17 settembre 2025 il Senato ha approvato in via definitiva il testo della legge recante la disciplina, e le connesse deleghe al Governo, in tema di intelligenza artificiale.
L’Italia diventa così il primo Paese europeo a dotarsi di una specifica normativa che compendia e integra quella già in vigore dell’Artificial Intelligence Act europeo.
L’AI Act d’altronde già di suo rappresenta una notevolissima sfida di sistema, per istituzioni pubbliche, imprese, mondo del lavoro e cittadini: non per caso presenta una implementazione a scadenze differite, con singole previsioni normative, come quelle sugli usi vietati e sui template per la trasparenza nell’addestramento dei vari modelli, già entrate in vigore e altri incombenti a cui ci si dovrà adeguare nei mesi prossimi.
Pertanto le scadenze dell’AI Act dovranno essere monitorate avendo ora riguardo anche alle ulteriori scadenze, molte rivolte al potere pubblico, contenute nella nuova legge italiana.
Il fatto che sin dal titolo vengano previste delle deleghe al Governo, disciplinate e perimetrate queste dall’articolo 22, per l’armonizzazione tra la normativa italiana e quella europea pone una delicata questione di ulteriori tempistiche da ossequiare per dare concreta attuazione alle previsioni di legge.
Il Governo dovrà lavorare da subito per l’adozione dei decreti legislativi entro dodici mesi dall’entrata in vigore della legge, vincolato al rispetto di principi e criteri diretti: tra questi l’individuazione e la designazione di autorità come punti di contatto e poi percorsi di piena alfabetizzazione nei vari snodi di utilizzo ed esercizio dell’IA, anche con un significativo potenziamento dei curricula scolastici, accademici e di ricerca.
La legge ha avuto, diciamolo subito, un iter piuttosto celere per gli ossificati standard temporali della produzione legislativa; poco più di cinquecento giorni.
Ma cinquecento giorni sono un’eternità nell’accelerato spazio dell’alta tecnologia; in questo arco temporale, breve per le aule parlamentari, geologico per l’innovazione, sono emersi nuovi modelli di IA, nuove sfide, nuove tematiche, e il rischio è che la norma di legge arrivi sempre e solo quando essa è già superata.
Peraltro, al di là dei decreti legislativi da adottarsi da parte del Governo, c’è anche la questione della materiale attuazione di varie disposizioni della legge, rimandata ad altri attori pubblici che saranno pertanto chiamati all’ennesimo grande sforzo di adeguamento.
Ma che cosa prevede il nuovo testo?
Da un lato, in piena coerenza con l’AI Act europeo e con l’irrinunciabile vocazione della regolazione dell’alta tecnologia a servirsi di etica e principi, vengono affermati la necessità di persistenza del fattore umano nell’uso dell’intelligenza artificiale e la trasparenza dell’addestramento e dei processi decisionali.
Funzione della legge, recita l’articolo 1, è quella di promuovere un "utilizzo corretto, trasparente e responsabile, in una dimensione antropocentrica, dell’intelligenza artificiale, volto a coglierne le opportunità. Garantisce la vigilanza sui rischi economici e sociali e sull’impatto sui diritti fondamentali dell’intelligenza artificiale."
L’affermazione del principio antropocentrico si connette poi alla dimensione della protezione dei dati personali e al riconoscimento della centralità della sovranità tecnologica del Paese.
Non per caso, viene delineato l’orizzonte di un complesso sistema di governance, mediante individuazione di due autorità di settore, l’Agenzia per l’Italia Digitale e l’Autorità per la Cybersicurezza Nazionale, ciascuna competente ovviamente ratione materiae.
Di particolare interesse il Capo II della legge, dedicato a disposizioni settoriali diversificate a seconda dell’ambito di materiale impiego dell’IA.
Nel campo sanitario, agli articoli 7,8,9, nel mercato del lavoro, articoli 10 e 11, sul versante delle professioni intellettuali, articolo 12, nella P.A., articolo 13, nell’attività giudiziaria e processuale, articoli 14 e 15, nel rafforzamento della cybersicurezza nazionale, all’articolo 16.
Opportunamente la legge, all’articolo 17, istituisce la Strategia nazionale per l’IA, che dovrebbe rappresentare la bussola e la stella polare della policy governativa in questo così delicato ambito.
Condivisibile l’enfasi posta sul monitoraggio serrato dell’evoluzione della citata policy, al fine di evitare ritardi, disallineamenti e inerzie.
Il sostegno economico, sotto forma di assunzione di partecipazioni nel capitale di rischio delle società impegnate nel settore del Tech, è stabilito dall’articolo 21 in un miliardo di euro, una cifra che, specie se combinata alla irrinunciabile clausola di invarianza finanziaria che conclude la legge all’articolo 26, suscita vaste perplessità.
Il vero, drammatico tema dell’innovazione tecnologica in Italia e in Europa è la assenza di un robusto e determinato venture capital, strangolato spesso dalla iper-regolazione e dall’eccesso di oneri amministrativi.
Del pari, che in un settore tanto disruptive debba continuare a leggersi che “Dall’attuazione della presente legge, ad esclusione dell’articolo 19, non devono derivare nuovi o maggiori oneri a carico della finanza pubblica. Le amministrazioni pubbliche interessate provvedono all’adempimento delle disposizioni della presente legge con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente” fa comprendere come la norma e l’azione politica rappresentino sovente delle macchine ornamentali inutili davanti all’infuriare accelerato della trasformazione tecnologica.
L’eccezione di cui all’articolo 19 inerisce la sperimentazione da finanziarsi presso il Ministero degli affari esteri e della cooperazione internazionale.
Non mancano poi nuove fattispecie penali, introdotte dall’articolo 25 e che vanno ad esempio a sanzionare i deepfake.
Volendo trarre una prima, parziale conclusione può chiedersi; era davvero necessaria una legge italiana sull’IA?
Alcune previsioni, certamente, come quelle sulla strategia nazionale e quelle sull’individuazione del sistema di governance, erano necessarie.
Molte altre in realtà sono norme di principio, e potranno essere valutate solo quando gli attori coinvolti avranno dato esecuzione e avranno adottato i provvedimenti richiesti, trasformando i principi in realtà materiale.
Le norme di formazione, literacy, disseminazione culturale erano in fondo già proprie dell’AI Act e doppiarle, ripetendole, appare più un vezzo politico che non una necessità.
In realtà, la vera rivoluzione dell’IA avverrà fuori dal perimetro della legge, nei laboratori privati e grazie all’iniziativa di ricercatori e investitori.
La sfida è immane, e di certo non è risolta da questo provvedimento legislativo.
