Italia attua l'AI Act: due decreti assegnano vigilanza all'ACN, aprono il riconoscimento facciale alle forze dell'ordine

Il 10 giugno 2026 il Consiglio dei ministri ha approvato, in esame preliminare, due schemi di decreto legislativo attuativi della legge 132 del 2025 sull'intelligenza artificiale. Il primo schema disciplina i poteri delle autorità nazionali, la vigilanza, le sanzioni, gli spazi di sperimentazione e la formazione, con disposizioni sul lavoro. Il secondo regola l'uso dei sistemi di IA nelle attività di polizia e introduce un quadro di responsabilità civile e penale. I testi non sono ancora definitivi: prima di entrare in vigore, entrambi gli schemi dovranno passare al vaglio delle Commissioni parlamentari, della Conferenza delle Regioni e delle Authority competenti.

Chi ha deciso. La decisione è del Consiglio dei ministri, sotto la regia della Presidenza del Consiglio. Il sottosegretario con delega all'Innovazione Alessio Butti ha illustrato l'architettura istituzionale. Il ministro dell'Interno Matteo Piantedosi ha gestito direttamente la parte più esplosiva, quella sul riconoscimento facciale, dichiarando che non è previsto alcun sistema di sorveglianza di massa. Il contesto normativo a monte è il Regolamento UE 2024/1689 (AI Act), in applicazione dal 2 agosto 2024, e la sua trasposizione italiana attraverso la legge 132/2025. La scadenza per l'esercizio delle deleghe legislative è il 10 ottobre 2026: il governo ha scelto di muoversi a giugno per non consumare il tempo utile durante la pausa estiva del Parlamento.

Chi beneficia. La prima beneficiaria istituzionale identificabile è l'Agenzia per la Cybersicurezza Nazionale (ACN), che assume il ruolo di autorità di vigilanza del mercato e di punto di contatto unico con l'Unione Europea. L'Agenzia per l'Italia Digitale (AgID) funge da autorità di notifica e gestisce lo Spazio di sperimentazione italiano per l'IA, un ambiente regolato pensato per startup e sviluppatori. Nel comparto finanziario, la competenza resta alle rispettive authority di settore (Banca d'Italia, CONSOB, IVASS), il che significa che i grandi intermediari regolamentati mantengono i propri interlocutori già consolidati. Le startup e le PMI ottengono un accesso teorico ai sandbox regolativi, ma la struttura di governance frammentata su più autorità tende storicamente a favorire i soggetti con risorse di compliance già strutturate. Sul piano industriale, la legge 132/2025 destina fino a un miliardo di euro del Fondo di sostegno al venture capital, con oltre 300 milioni già allocati da CDP Venture Capital a favore di oltre 150 startup, e prevede l'avvio del Polo SophIA con circa 30 milioni di euro.

Chi paga. Sul piano sanzionatorio, le violazioni delle pratiche vietate dall'articolo 5 dell'AI Act possono arrivare fino a 35 milioni di euro, o fino al 7% del fatturato mondiale annuo se superiore. Le violazioni minori seguono soglie inferiori. Il costo di compliance ricade strutturalmente su chi sviluppa, integra e usa sistemi di IA: le imprese regolamentate dovranno confrontarsi con ACN, AgID, Garante Privacy, Banca d'Italia, IVASS, CONSOB, a seconda del settore. Sui lavoratori gravano obblighi formativi: il governo ha stanziato 300 milioni per la formazione dei docenti e 100 milioni per la formazione universitaria. I professionisti (avvocati, medici, ingegneri) dovranno seguire percorsi formativi promossi dagli ordini. Il costo immediato dei percorsi di adeguamento organizzativo è documentabile ma non ancora quantificato in fonti pubbliche disponibili a questa data.

Il nodo biometrico. Il capitolo più controverso riguarda l'uso dell'IA da parte delle forze dell'ordine. I decreti consentono l'identificazione biometrica remota in tempo reale negli spazi pubblici solo per finalità tassative: minacce terroristiche, reati di particolare gravità, ricerca di persone scomparse, vittime di tratta, sequestri. È richiesta un'autorizzazione preventiva dell'autorità giudiziaria per un massimo di 15 giorni; in urgenza, il magistrato deve convalidare entro 48-72 ore, altrimenti i dati raccolti sono distrutti. Il riconoscimento facciale a posteriori è attivabile solo dopo la commissione di un reato, su base di prove oggettive, con log non modificabili conservati per 5 anni. È vietata la creazione di banche dati biometriche alimentate da raccolte massive dal web. Sulla carta, questi limiti ricalcano le eccezioni già previste dall'AI Act europeo. Nella pratica, chi vigila sull'applicazione concreta delle autorizzazioni giudiziarie e sulla distruzione effettiva dei dati raccolti in urgenza rimane una domanda aperta: la fonte pubblica che risponda a questa domanda non è documentabile a questa data.

Il 10 giugno 2026, in parallelo con l'azione italiana, la Commissione Europea ha pubblicato la versione finale del Code of Practice sul labelling dei contenuti generati dall'IA, strumento volontario per aiutare provider e deployer a rispettare le obbligazioni di trasparenza dell'articolo 50 dell'AI Act, che entrano in vigore il 2 agosto 2026. Questa coincidenza di date non è casuale: l'Italia si è mossa per non arrivare impreparata all'applicazione piena del regolamento europeo prevista per quella stessa estate.