0
In meno di un mese l’Italia ha completato due tasselli decisivi dell’adeguamento all’AI Act.
Il D.Lgs. 179/2026 porta l’intelligenza artificiale dentro la valutazione dei rischi del D.Lgs. 81/08.
Il D.Lgs. 160/2026 introduce un nuovo reato, una nuova responsabilità “231” e regole civilistiche più favorevoli per chi è danneggiato. Per chi si occupa di prevenzione, i due testi vanno letti insieme.
Fino a ieri l’IA in azienda era soprattutto un tema per l’IT, il legale o la privacy. Da questo autunno entra a pieno titolo nel perimetro del servizio di prevenzione e protezione. Il datore di lavoro dovrà valutarne i rischi nel DVR, formare i lavoratori e, nei casi più gravi, potrà risponderne anche penalmente. Vediamo cosa cambia e cosa conviene fare subito
Una sola legge delega, due decreti
Entrambi i provvedimenti adeguano l’ordinamento italiano al Regolamento (UE) 2024/1689, il cosiddetto AI Act, e completano il percorso avviato con la Legge 23 settembre 2025, n. 132. Hanno però obiettivi diversi e sono arrivati in ordine inverso rispetto a quanto si potrebbe pensare: prima le regole sulla responsabilità, poi quelle sulla prevenzione.
Il D.Lgs. 7 ottobre 2026, n. 179 attua lo stesso art. 24, commi 1 e 2, lettere da a) a g) e da i) a n). È il decreto della governance: definisce i poteri di AgID, ACN e delle autorità di settore, regola le sanzioni amministrative e porta l’IA nei settori ordinari, dalla scuola alla sanità, dall’università alla pubblica amministrazione, fino al lavoro e alla sicurezza.
Il D.Lgs. 9 settembre 2026, n. 160 attua l’art. 24 della Legge 132/2025 nei commi 1, 2 lettera h), 3 e 5. Il Titolo II, quello che interessa le imprese, costruisce il nuovo quadro della responsabilità penale, “231” e civile legata all’IA.
Stesse definizioni, stesse autorità
I due decreti non inventano un vocabolario proprio. Per le nozioni di sistema di IA, di output e di classificazione ad alto rischio rinviano entrambi all’AI Act e all’art. 2 della Legge 132/2025. È un dettaglio tecnico con un effetto pratico: un sistema classificato come ad alto rischio lo è allo stesso modo ai fini della prevenzione e ai fini penali.
Anche la governance è condivisa. Entrambi i testi fanno riferimento alle due Autorità nazionali per l’intelligenza artificiale designate dall’art. 20 della Legge 132/2025: l’Agenzia per l’Italia Digitale (AgID) e l’Agenzia per la Cybersicurezza Nazionale (ACN).
Nel campo della sicurezza sul lavoro, i due decreti funzionano come una coppia: il 179 detta la norma di condotta preventiva, il 160 la norma sanzionatoria.
La regola: prevenire e gestire il rischio (D.Lgs. 179/2026)
L’art. 42 chiede alle aziende di valutare nel Documento di Valutazione dei Rischi, ex art. 28 del D.Lgs. 81/08, i sistemi di IA che incidono sull’organizzazione del lavoro, sui ritmi produttivi e sulla sicurezza. Gli artt. 41 e 42 aggiungono il dovere di informare e formare i lavoratori in modo specifico e fissano un principio che non ammette deroghe: la decisione e la sorveglianza restano affidate a una persona fisica.
La conseguenza: risposta penale, 231 e civile (D.Lgs. 160/2026)
Quando l’omessa valutazione dei rischi, la mancata adozione di cautele tecniche o l’assenza di sorveglianza umana su un sistema ad alto rischio mettono in pericolo la vita o l’incolumità pubblica o individuale, scatta il nuovo delitto dell’art. 437-bis c.p., punito con la reclusione da uno a cinque anni. Il reato non riguarda solo chi produce il sistema: si estende anche all’utilizzatore professionale, il cosiddetto deployer, cioè l’azienda che lo impiega.
Le conseguenze toccano anche la società. L’art. 15 del D.Lgs. 160/2026 inserisce il 437-bis tra i reati presupposto della responsabilità amministrativa degli enti, con il nuovo art. 25-vicies del D.Lgs. 231/2001, che espone l’impresa a sanzioni pecuniarie e interdittive. Sul piano civile, infine, gli artt. 16-19 introducono la presunzione del nesso di causalità a carico di chi viola gli obblighi dell’AI Act: in caso di danno, sarà l’azienda a dover dimostrare che la violazione non lo ha causato.
Il messaggio per RSPP e HSE manager è chiaro. Un DVR che censisce i sistemi di IA e definisce chi li sorveglia non è più solo un adempimento: è la prima difesa dell’azienda, sul piano penale, su quello 231 e in sede civile.
Guarda la nostra infografica riassuntiva.
