Legge 132/2025 sull'intelligenza artificiale: sintesi e obblighi pratici

01

La legge 132/2025 in breve

La legge si chiama «Disposizioni e deleghe al Governo in materia di intelligenza artificiale» ed è stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025. Ha 28 articoli. L'art. 1 stabilisce che va interpretata e applicata in conformità al regolamento (UE) 2024/1689, l'AI Act, e l'art. 2 rinvia alle sue definizioni: «sistema di intelligenza artificiale» ha lo stesso significato nelle due norme.

Per chi usa l'IA nel proprio lavoro la legge non crea una procedura di autorizzazione e non obbliga a registrare gli strumenti presso un'autorità. Chiede invece trasparenza verso chi subisce gli effetti dell'IA (clienti, lavoratori, pazienti, cittadini) e conferma che la decisione finale resta a una persona: al professionista, al medico, al funzionario, al magistrato. La tabella riassume dove si trova cosa.

02

Professionisti (art. 13): IA solo di supporto e informativa al cliente

L'art. 13 riguarda tutte le professioni intellettuali: avvocati, commercialisti, consulenti del lavoro, notai, ingegneri, architetti, medici quando agiscono come liberi professionisti. Contiene due regole; il D.Lgs. 179/2026 vi ha aggiunto la formazione obbligatoria sull'IA tramite gli ordini (più sotto).

La prima: l'IA può servire solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale oggetto della prestazione. Trascrivere un colloquio, riassumere un fascicolo, cercare un precedente o preparare la bozza di un verbale che poi rivedi sono attività di supporto. Firmare un parere scritto dall'IA senza averlo valutato non lo è.

La seconda: per assicurare il rapporto fiduciario, le informazioni sui sistemi di IA utilizzati vanno comunicate al cliente con linguaggio chiaro, semplice ed esaustivo. La legge non prescrive una forma, ma l'informativa scritta, allegata al mandato o alla lettera d'incarico, è il modo più semplice per poterlo dimostrare. Un'informativa utile dice:

• quali sistemi di IA usa lo studio, con il nome del prodotto
• per quali attività li usa e per quali no (per esempio: trascrizione dei colloqui sì, redazione automatica dei pareri no)
• quali dati del cliente finiscono nel sistema e dove sono trattati
• che il fornitore non usa i dati per addestrare i propri modelli, se è così
• che ogni valutazione resta del professionista, che controlla il risultato
• a chi rivolgersi per domande, e che l'informativa sarà aggiornata se cambiano gli strumenti

03

Datori di lavoro (art. 11): quando bisogna informare i lavoratori

L'art. 11 chiede che l'IA sul lavoro sia sicura, affidabile e trasparente, che non violi la dignità e la riservatezza dei lavoratori e che non discrimini. L'obbligo di informare non è generale: il datore di lavoro informa il lavoratore «nei casi e con le modalità» dell'art. 1-bis del D.Lgs. 152/1997, introdotto dal decreto Trasparenza.

Quell'articolo riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati che forniscono indicazioni su assunzione, gestione o cessazione del rapporto, assegnazione di mansioni, sorveglianza, valutazione e prestazioni. In questi casi, prima dell'inizio dell'attività, il lavoratore deve ricevere per iscritto scopi, logica di funzionamento, dati usati, misure di controllo e livello di accuratezza del sistema, e le stesse informazioni vanno date alle rappresentanze sindacali. Resta fermo l'art. 4 dello Statuto dei lavoratori sui controlli a distanza.

Dal 23 ottobre 2026 il D.Lgs. 179/2026 aggiunge tre regole. Le decisioni finali su costituzione, modifica o cessazione del rapporto, compresi provvedimenti disciplinari e valutazioni delle prestazioni, non possono basarsi solo su un trattamento automatizzato: decide una persona, il lavoratore può chiedere una motivazione comprensibile e il licenziamento contrario è nullo; la ricerca e la selezione delle candidature sono escluse (art. 41). L'IA che incide su organizzazione del lavoro, ritmi produttivi o modalità della prestazione entra nella valutazione dei rischi dell'art. 28 del D.Lgs. 81/2008 (art. 42, comma 2). E il datore di lavoro deve informare e formare i lavoratori sui rischi specifici dell'uso dei sistemi di IA e sulle misure adottate (art. 42, comma 3).

Uno strumento che trascrive le riunioni e ne prepara il verbale, se non viene usato per valutare le persone, di norma non rientra nell'art. 1-bis. Restano comunque l'informativa privacy (artt. 13 e 14 del GDPR) a chi viene registrato, l'informazione e la formazione dell'art. 42 del D.Lgs. 179/2026 e un regolamento interno che dica quali riunioni si registrano, chi accede e per quanto si conservano. L'art. 12 della legge istituisce presso il Ministero del lavoro un Osservatorio sull'adozione dell'IA nel mondo del lavoro.

04

Pubblica amministrazione e giustizia (artt. 14 e 15)

Le pubbliche amministrazioni usano l'IA per essere più efficienti, ridurre i tempi dei procedimenti e migliorare i servizi, ma devono garantire agli interessati la conoscibilità del suo funzionamento e la tracciabilità del suo utilizzo (art. 14). L'IA ha funzione strumentale e di supporto: la persona che firma resta l'unica responsabile del provvedimento. Le amministrazioni devono adottare misure tecniche, organizzative e formative per un uso responsabile, senza nuovi fondi.

Nell'attività giudiziaria ogni decisione sull'interpretazione della legge, sulla valutazione di fatti e prove e sull'adozione dei provvedimenti è riservata al magistrato (art. 15). Il Ministero della giustizia disciplina l'uso dell'IA per l'organizzazione dei servizi e per le attività amministrative accessorie. Per gli enti pubblici, verbali di seduta, commissioni e conferenze di servizi sono un caso d'uso tipico: c'è una guida dedicata all'IA nella pubblica amministrazione.

05

Sanità (artt. 7-10)

In sanità l'IA è un supporto alla prevenzione, alla diagnosi e alla cura: la decisione resta sempre al medico (art. 7, comma 5). Il paziente ha diritto di essere informato sull'impiego di tecnologie di IA (art. 7, comma 3), e i sistemi devono essere affidabili, verificati e aggiornati periodicamente. L'art. 8 dichiara di rilevante interesse pubblico i trattamenti di dati per la ricerca sull'IA in sanità svolti da enti pubblici, IRCCS e soggetti privati senza scopo di lucro, e consente l'uso secondario di dati privi degli identificativi diretti, sempre con informativa. Gli artt. 9 e 10 rinviano a decreti del Ministero della salute e alla piattaforma di IA di AGENAS.

06

Dati personali e minori (art. 4)

L'IA deve trattare i dati personali in modo lecito, corretto e trasparente, compatibile con le finalità della raccolta. Le informazioni sul trattamento vanno date con linguaggio chiaro e semplice, in modo che l'utente conosca i rischi e possa opporsi. Sotto i 14 anni l'accesso alle tecnologie di IA richiede il consenso di chi esercita la responsabilità genitoriale; tra i 14 e i 18 anni il minore può dare il proprio consenso se le informazioni sono facilmente accessibili e comprensibili.

Il Garante per la protezione dei dati personali mantiene tutti i suoi poteri (art. 20, comma 4): per chi registra riunioni o colloqui il quadro privacy resta quello del GDPR e del Codice privacy.

07

Chi vigila: AgID e ACN (art. 20)

AgID e ACN sono le autorità nazionali per l'intelligenza artificiale. AgID promuove l'innovazione ed è l'autorità di notifica dell'AI Act: accredita e controlla gli organismi che verificano la conformità dei sistemi. ACN è l'autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori, e il punto di contatto unico con l'Unione europea. Banca d'Italia, CONSOB e IVASS restano autorità di vigilanza del mercato per banche, finanza e assicurazioni. Un comitato di coordinamento presso la Presidenza del Consiglio riunisce le due agenzie e il Dipartimento per la trasformazione digitale.

08

Reati e diritto d'autore (artt. 25 e 26)

Il nuovo art. 612-quater del codice penale punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto diffondendo senza consenso immagini, video o voci falsificati con l'IA e idonei a ingannare: sono i deepfake. Si procede a querela, salvo i casi previsti. L'uso dell'IA diventa anche un'aggravante comune (art. 61, n. 11-undecies c.p.) quando è un mezzo insidioso, ostacola la difesa o aggrava le conseguenze del reato, e aumenta le pene per aggiotaggio e manipolazione del mercato.

Sul diritto d'autore, la legge 633/1941 ora protegge le opere dell'ingegno «umano», anche quando create con l'ausilio dell'IA, purché siano il risultato del lavoro intellettuale dell'autore. Estrarre testi e dati da opere protette è lecito solo nei limiti delle eccezioni di text and data mining (artt. 70-ter e 70-quater).

09

Decreti attuativi: cosa è già in vigore

La legge delegava il Governo ad adottare entro dodici mesi decreti legislativi su dati e algoritmi per l'addestramento (art. 16) e sull'adeguamento della normativa italiana all'AI Act (art. 24). Tra i decreti già pubblicati, il D.Lgs. 9 settembre 2026, n. 160 (Gazzetta Ufficiale n. 214 del 15 settembre 2026) regola l'uso dell'IA nell'attività di polizia e la responsabilità civile e penale.

Il D.Lgs. 7 ottobre 2026, n. 179 (Gazzetta Ufficiale n. 234 dell'8 ottobre 2026), in vigore dal 23 ottobre 2026, attribuisce alle autorità i poteri di vigilanza e sanzione previsti dall'AI Act e contiene le regole sul lavoro descritte sopra. Per i professionisti conta due volte: gli ordini devono inserire nella formazione iniziale e continua percorsi sull'IA, compresi i profili deontologici e gli obblighi informativi verso il cliente, e adeguare i regolamenti entro sei mesi (art. 47); l'uso dell'IA può modulare l'equo compenso, secondo parametri ancora da fissare con decreto (art. 49).

L'art. 23 della legge autorizza investimenti fino a un miliardo di euro in imprese italiane dell'IA, della cybersicurezza e delle tecnologie quantistiche. Prima di applicare un dettaglio operativo, controlla su Normattiva il testo vigente della legge e dei decreti attuativi.

10

Caso pratico: registrare e trascrivere le riunioni con l'IA

È l'uso più diffuso negli studi e negli uffici, e tocca quasi tutti i punti della legge. Prima di iniziare, una lista di controllo:

• Informa i partecipanti della registrazione all'inizio della riunione e dai l'informativa privacy; nei colloqui con i clienti aggiungi l'informativa dell'art. 13.
• Scegli un fornitore che tratta i dati nell'UE, che non usa i contenuti per addestrare i modelli e con cui puoi firmare un accordo sul trattamento dei dati (art. 28 del GDPR).
• Decidi chi può accedere alle registrazioni e per quanto tempo si conservano, e scrivilo nel regolamento interno.
• Tieni la persona al centro: il verbale o il riepilogo dell'IA è una bozza che qualcuno rilegge, corregge e firma.
• Se lo strumento serve anche a valutare le persone, verifica gli obblighi dell'art. 1-bis del D.Lgs. 152/1997, dell'art. 4 dello Statuto dei lavoratori e dell'art. 41 del D.Lgs. 179/2026.
• Forma chi lo usa: il datore di lavoro informa e forma i lavoratori sui rischi dell'IA (art. 42 del D.Lgs. 179/2026), e la PA adotta misure formative (art. 14 della legge).