L’Italia è il primo paese d’Europa ad emanare una legge nazionale sull’intelligenza artificiale (legge n.132 del 23 settembre 2025). Un primato che sicuramente ha profili di interesse.
La legge non si discosta particolarmente da quelli che sono i principi generali già in vigore con l’arrivo dell’AI Act europeo. Anche in questo caso, infatti, l’uso dell’AI dovrà essere improntato alla sicurezza, alla trasparenza, alla spiegabilità e all’antropocentrismo.
Le novità più rilevanti, invece, si rifanno alla regolamentazione degli ambiti specifici previsti al capo II e, soprattutto, alla scelta delle autorità di controllo e del sistema sanzionatorio per le violazioni in materia di AI.
Iniziamo la nostra analisi concentrandoci sul Capo I della nuova legge.
| Capo I – PRINCIPI E FINALITA’ | |
| Art. 1 | Finalità e ambito di applicazione |
| Art. 2 | Definizioni |
| Art. 3 | Principi generali |
| Art. 4 | Principi in materia di informazione e di riservatezza dei dati personali |
| Art. 5 | Principi in materia di sviluppo economico |
| Art. 6 | Disposizione in materia di sicurezza e difesa nazionale |
Capo I: i principi e gli obiettivi della legge italiana sull’intelligenza artificiale
La finalità è quella di “Promuovere un utilizzo corretto, trasparente e responsabile, in una dimensione antropocentrica, dell’intelligenza artificiale, volto a coglierne le opportunità. Garantire la vigilanza sui rischi economici e sociali e sull’impatto sui diritti fondamentali dell’intelligenza artificiale”.
Si prosegue con l’articolo 2 che, sostanzialmente, opera un rimando alle definizioni già ampiamente date nel Regolamento europeo, eccetto la definizione di “dato”, ispirata a quella di “dato informatico” che si trova nella Convenzione di Budapest.
Quanto ai principi generali elencati all’art. 3, è interessante osservare l’inserimento al comma 5 di una prescrizione dove si dichiara che “la presente legge non produce nuovi obblighi rispetto a quelli previsti dal Regolamento (UE) 2024/1689”. Una dichiarazione che vuole forse incoraggiare un’interpretazione restrittiva della nuova fonte normativa ma che, di fatto, risulta incoerente con la funzione stessa della legge italiana.
In ambito di competenza concorrente tra Unione Europea e Stato nazionale, la legge italiana deve rispettare il diritto europeo, senza introdurre norme in contrasto con esso. Tuttavia, può integrarlo disciplinando aspetti non trattati dalla normativa europea. È quindi normale che una legge nazionale aggiunga nuove regole o obblighi in tali materie e, anzi, non potrebbe fare altrimenti.
Al netto di ciò, la funzione sostanziale del comma 5 dell’art. 3 risulta poco consistente, assomigliando più che altro ad uno slogan politico o ad una rassicurazione diretta agli operatori di mercato.
A dimostrazione dell’incongruenza della prescrizione appena citata, l’AI Act si limita a “lasciare impregiudicati” il Reg. (UE) 2016/679 (GDPR) ed a trattare genericamente la sicurezza informatica come prerequisito di alcuni sistemi AI.
La legge italiana sull’intelligenza artificiale, invece, ritiene che:
- debba essere assicurata, quale precondizione essenziale, la cybersicurezza lungo tutto il ciclo di vita dei sistemi e dei modelli di intelligenza artificiale per finalità generali, secondo un approccio proporzionale e basato sul rischio (art. 3, c. 6);
- debba essere garantito il trattamento lecito, corretto e trasparente dei dati personali e la compatibilità con le finalità per le quali sono stati raccolti, in conformità al diritto dell’Unione europea in materia di dati per sonali e di tutela della riservatezza (art. 4, c. 7).
L’intento pare quello di rafforzare degli obblighi, già esistenti e derivanti dal rispetto delle normative in materia di sicurezza informatica e gestione dei dati, rendendoli prerequisiti essenziali all’idoneità della tecnologia AI.
L’art. 4, poi, introduce anche una novità per i minori di 14 anni: l’accesso a tecnologie AI, ed il conseguente trattamento dei dati, potrà avvenire solo con il consenso di chi esercita la responsabilità genitoriale. Per i minori tra i 14 ed i 18 anni, invece, si raccomanda ai gestori di rendere le informazioni chiare, facilmente accessibili e comprensibili per un minore di tale età, altrimenti anche in questo caso servirà il consenso dell’adulto.
Con l’art. 5, invece, si cerca di incoraggiare lo sviluppo e il mercato dell’AI verso una sovranità tecnologica italiana, prevedendo anche che la PA sia indirizzata, nella scelta dei fornitori di sistemi e di modelli di intelligenza artificiale, verso soluzioni che garantiscano la localizzazione e l’elaborazione dei dati strategici presso data center posti nel territorio nazionale.
Infine, con l’art. 6 si prevedono ampie deroghe all’applicazione della legge sull’AI per – praticamente – quasi tutte le attività svolte in materia di sicurezza e difesa nazionale.
Conclusioni
In conclusione, possiamo affermare che il Capo I della legge italiana sull’intelligenza artificiale non introduca grandi novità rispetto all’AI Act, riprendendo in buona sostanza quelli che sono i suoi principi e le sue definizioni ed incoraggiandone uno sviluppo a livello nazionale.
Viene rafforzata la connessione normativa tra Intelligenza Artificiale, sicurezza informatica e dato, tre elementi che operano insieme in modo concreto e profondamente interconnesso. Appare quindi comprensibile la volontà del Legislatore di sottolineare ulteriormente come la responsabilità, nell’uso dell’AI, non possa prescindere dalla responsabilità nella gestione dei dati e della sicurezza informatica.
Nei prossimi articoli approfondiremo gli altri Capi, per analizzare nel dettaglio tutte le novità introdotte dalla nuova legge italiana.
Barbara Tombini