Il Senato italiano ha approvato, con 77 voti favorevoli, 55 contrari e due astensioni, il disegno di legge n. 1146-B recante Disposizioni e deleghe al Governo in materia di intelligenza artificiale: in pratica, la legge italiana sulla IA. Questo provvedimento, presentato dal Consiglio dei Ministri ad aprile e già licenziato dalla Camera il 25 giugno scorsa, segna l'adozione della prima legge quadro nazionale sull'IA nel contesto europeo dell'AI Act. Composto da 28 articoli suddivisi in sei capi, il testo non introduce obblighi aggiuntivi rispetto al Regolamento UE 2024/1689 (l'AI Act, appunto), ma lo integra con principi nazionali, deleghe legislative e misure immediate per adattare il quadro giuridico italiano alle esigenze settoriali e costituzionali. L'Italia si posiziona così come il primo Stato membro UE a implementare una normativa pienamente coerente con l'AI Act.

Il contesto normativo deriva dall'esigenza di bilanciare l'innovazione tecnologica con la tutela dei diritti fondamentali, come sancito dall'articolo 1 della legge. Essa richiama esplicitamente i principi costituzionali italiani e quelli europei, enfatizzando un approccio che ponga l'essere umano al centro dello sviluppo e dell'uso dell'IA. Il Sottosegretario alla Transizione digitale Alessio Butti ha commentato l'approvazione definendola una «scelta che riporta l'innovazione nel perimetro dell'interesse generale, orientando l'IA alla crescita, ai diritti e alla piena tutela dei cittadini». Il testo stabilisce che lo sviluppo, l'immissione sul mercato e l'impiego di modelli e sistemi di IA devono garantire trasparenza, non discriminazione, responsabilità e rispetto della privacy, in linea con il GDPR (Regolamento UE 2016/679) e il Codice in materia di protezione dei dati personali (D.lgs. 196/2003).

Per esempio, il trattamento dei dati personali tramite IA richiede che vengano fornite informazioni chiare e accessibili agli interessati, inclusa la possibilità di opporsi al profiling automatizzato, con enfasi su trattamenti leciti, leali e minimizzati. Una delle innovazioni principali riguarda la classificazione dei rischi, mutuata dall'AI Act ma adattata al contesto nazionale. I sistemi IA sono infatti categorizzati in base al potenziale impatto: inaccettabili (proibiti, come il riconoscimento biometrico in tempo reale per sorveglianza di massa o manipolazioni subliminali), alti (soggetti a valutazioni di conformità, come IA in sanità per diagnosi o in giustizia per previsioni di recidiva), limitati (con obblighi di trasparenza, per esempio chatbot che interagiscono con utenti) e minimi (senza restrizioni specifiche). La legge vieta esplicitamente l'uso di IA per scopi che violino i diritti umani, come la sorveglianza biometrica indiscriminata o l'attribuzione di un "punteggio sociale".

Nel settore della difesa e della sicurezza nazionale, permessi vengono concessi per applicazioni strategiche, ma solo con la garanzie di una supervisione umana e conformità ai principi di proporzionalità. Per i deepfake, l'articolo integra il Codice penale con l'art. 612-quater, punendo la diffusione non consensuale di contenuti generati o alterati da IA (immagini, video o audio) che inducano in inganno sulla loro autenticità, con pene detentive da 1 a 5 anni, aggravate se usate per frodi o furti d'identità. Ciò si applica anche a contesti come la disinformazione elettorale o il revenge porn, con meccanismi per la rimozione rapida dei contenuti illeciti tramite piattaforme digitali.

Per approfondire:

Milano Linate sospende il riconoscimento facciale FaceBoarding: dubbi sulla sicu...

Apertus: la IA svizzera open source che punta su trasparenza e privacy per il be...

Salesforce abbraccia l'IA: 4.000 centralinisti licenziati in nome dell'e...

Lo stetoscopio con l'intelligenza artificiale: diagnostica le malattie cardi...

I fornitori di modelli IA generali (come GPT o simili) devono condurre valutazioni di rischio sistematiche, mitigare bias algoritmici e pubblicare riassunti dettagliati sui dati di addestramento, escludendo contenuti protetti da copyright salvo eccezioni per ricerca scientifica o istituzioni culturali. Gli utilizzatori, inclusi datori di lavoro e amministrazioni pubbliche, sono tenuti a informare i destinatari sull'impiego di IA (per esempio in processi di selezione del personale o decisioni amministrative) e a garantire tracciabilità delle decisioni automatizzate. Nel mondo del lavoro, la legge modifica il Codice civile e penale per attribuire responsabilità ai datori di lavoro in caso di discriminazioni indotte da IA, richiedendo valutazioni d'impatto ex ante e formazione per i lavoratori. Per i minori, l'accesso a sistemi IA è limitato sotto i 14 anni senza consenso genitoriale esplicito, estendendo le tutele del GDPR a contesti educativi e ludici, con divieto di profilazione senza base legale.

Nel settore sanitario, l'articolo 8 introduce basi giuridiche specifiche per l'anonimizzazione e la generazione di dati sintetici da informazioni sensibili, facilitando la ricerca scientifica tramite IA. Per esempio, ospedali e centri di ricerca potranno usare algoritmi per creare dataset anonimi per studi su malattie rare o epidemie, purché conformi al D.lgs. 101/2018. Questo aspetto è stato elogiato dall'avvocato Luca Bolognini, presidente dell'Istituto Italiano per la Privacy, che ha notato come il legislatore abbia recepito proposte per snellire i processi di elaborazione dei dati in sanità, riducendo i rischi di violazioni privacy. Analogamente, in ambito giudiziario, l'IA è ammessa per analisi predittive o supporto a indagini, ma con obbligo di revisione umana e divieto di decisioni automatizzate irrevocabili.

Per quanto riguarda il copyright, le opere create con ausilio di IA sono protette se derivano da «lavoro intellettuale» dell'autore umano, mentre l'estrazione di testi e dati per addestramento è consentita solo su materiali non coperti o per scopi non commerciali, in armonia con la Direttiva DSM (UE 2019/790).

Leggi anche:

ChatGPT si evolve: invita gli utenti a prendersi una pausa e si preoccupa della ...

Salute, Garante Privacy lancia allarme sulle IA usate come diagnosi

AGCOM vara il codice di condotta per gli influencer. Multe fino a 600.000 euro p...

Meta non firmerà il Codice di Condotta per lo sviluppo delle IA. Va contro ...

La gestione di tutto ciò è affidata a un Comitato di coordinamento per l'innovazione digitale, presieduto dal Dipartimento per la Transizione digitale, con ruoli centrali per l'Agenzia per la Cybersicurezza Nazionale (ACN) e l'Agenzia per l'Italia Digitale (AgID) come autorità competenti per vigilanza e promozione. L'ACN monitorerà i rischi di sicurezza, inclusi attacchi cibernetici a sistemi di IA, mentre l'AgID supporterà l'adozione in PA e imprese, con linee guida per assicurare il rispetto della normativa. Il governo è delegato a emanare decreti legislativi entro 12 mesi per uniformare regole sui dati di addestramento, sugli algoritmi e sulle applicazioni settoriali, inclusa una strategia nazionale sull'IA aggiornata biennalmente.

Per garantire il rispetto della legge, le sanzioni derivano dall'AI Act (fino al 7% del fatturato globale per violazioni gravi), integrate da pene penali nazionali; ad esempio, l'uso di IA per reati come frode informatica aggrava le condanne ex art. 615-ter c.p. L'AgID e ACN potranno stipulare accordi con enti privati UE o NATO per collaborazioni, mantenendo invariato il bilancio statale grazie alla clausola di invarianza finanziaria.

La legge approvata adesso non sarà però l'ultima parola in materia. Con l'AI Act che imporrà obblighi dal 2026, il quadro nazionale potrebbe evolvere per affrontare sfide emergenti, come l'integrazione di IA agentica o i rischi di bias in modelli open source. Il dibattito resta dunque aperto sui modi per bilanciare la crescita economica - con stime che indicano il contributo della IA al PIL italiano fino al 15% entro il 2030 - e le garanzie individuali.

Leggi anche:

Robotaxi di Tesla iniziano il servizio: IA e supervisore umano, ma niente Lidar....

Meta rinuncia a lanciare la propria IA in Europa

IA, 18 Paesi firmano le linee guida per lo "sviluppo sicuro"

La legge europea sull'IA è una scatola vuota?