Legge 132/2025 sull'intelligenza artificiale: cosa cambia per aziende e professionisti
La prima legge italiana sull'AI è in vigore dal 10 ottobre 2025 e affianca l'AI Act. Per le aziende contano l'informativa ai dipendenti, le decisioni sul lavoro che restano a una persona, il reato di deepfake e la responsabilità dell'ente.
La legge 23 settembre 2025, n. 132 è la prima legge italiana sull'intelligenza artificiale. È in vigore dal 10 ottobre 2025 e affianca l'AI Act europeo senza sostituirlo, come un regolamento di condominio che aggiunge regole di casa a quelle del codice civile senza poterle cambiare. Nell'autunno 2026 il governo ha adottato i primi decreti attuativi, il 160/2026 sulla responsabilità civile e penale e il 179/2026 su autorità, lavoro e professioni, e per un'azienda le novità più concrete stanno proprio lì.
Lavoro: informare i dipendenti e lasciare la decisione a una persona
L'articolo 11 chiede al datore di lavoro e al committente di informare il lavoratore quando usano l'intelligenza artificiale, nei casi e nei modi dell'articolo 1-bis del decreto legislativo 152/1997, la norma sulla trasparenza delle condizioni di lavoro. Il decreto legislativo 179/2026, in vigore dal 23 ottobre 2026, è andato oltre. All'articolo 41 stabilisce che le decisioni finali su assunzione, modifica e cessazione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non possono basarsi solo su un trattamento automatizzato: la decisione resta a una persona con un potere effettivo, il lavoratore può chiedere una motivazione comprensibile, e il licenziamento che viola la regola è nullo. La ricerca e la selezione delle candidature restano fuori da questo divieto, anche quando escludono qualcuno dalle fasi successive.
L'articolo 42 dello stesso decreto porta l'AI dentro la valutazione dei rischi prevista dal decreto legislativo 81/2008, quando incide sull'organizzazione del lavoro, sui ritmi produttivi o sulle decisioni rilevanti per la sicurezza, e chiede di informare e formare i dipendenti sui rischi specifici. Un'azienda che usa un sistema per assegnare i turni o misurare la produttività, per esempio, deve tenerne conto nel documento di valutazione dei rischi.
Un sistema che segnala ritardi e anomalie nelle presenze, per esempio, può preparare l'elenco dei casi, ma il provvedimento disciplinare lo decide un responsabile che ha guardato i dati e sa spiegarli. Negli agenti che sviluppiamo per i processi interni il confine tra quello che il sistema fa da solo e quello che spetta a una persona lo fissiamo con l'azienda prima di scrivere il codice. In un caso come questo l'agente prepara l'elenco, il responsabile decide, e il registro conserva il suo nome e la motivazione, quella che il lavoratore può chiedere.
Professionisti, diritto d'autore e minori
Per le professioni intellettuali l'articolo 13 ammette l'AI solo per attività strumentali e di supporto e chiede di comunicare al cliente quali sistemi si usano, con linguaggio chiaro, semplice ed esaustivo. Ne parliamo in Informativa sull'intelligenza artificiale ai clienti. L'articolo 25 modifica la legge sul diritto d'autore: un'opera creata con l'aiuto dell'AI resta protetta se è il risultato del lavoro intellettuale del suo autore. L'articolo 4 richiede invece il consenso dei genitori perché un minore di quattordici anni usi tecnologie di intelligenza artificiale, e riguarda chi offre app e servizi digitali ai ragazzi.
Deepfake e responsabilità dell'azienda
L'articolo 26 ha introdotto nel codice penale l'articolo 612-quater: chi causa un danno ingiusto a una persona diffondendo senza il suo consenso immagini, video o voci falsificati con l'AI, e capaci di ingannare sulla loro autenticità, rischia da uno a cinque anni di reclusione. Il decreto legislativo 160/2026, in vigore dal 30 settembre 2026, ha aggiunto l'articolo 437-bis sulla mancata adozione di misure di sicurezza nei sistemi ad alto rischio. Il reato colpisce anche l'utilizzatore professionale che rinuncia di proposito alla sorveglianza umana, quando ne deriva un pericolo per la vita o l'incolumità delle persone.
Per tutti e due i reati l'azienda può rispondere in base al decreto legislativo 231/2001, con sanzioni pecuniarie e interdittive, quindi chi ha un modello organizzativo 231 farebbe bene ad aggiornarlo con il legale o il consulente che lo ha redatto. Le autorità italiane per l'AI sono AgID e l'Agenzia per la cybersicurezza nazionale, come spieghiamo in AI Act: cosa devono fare le aziende. Scrivici se vuoi capire quali strumenti della tua azienda toccano il lavoro dei dipendenti.