Schema di decreto IA: il Garante dà parere favorevole, con 4 condizioni

Il 14 luglio 2026 il Garante per la protezione dei dati personali ha espresso parere favorevole, con il provvedimento n. 532, sullo schema di decreto legislativo che adegua la normativa interna al Reg. (UE) 2024/1689 (AI Act). Il parere è condizionato: quattro modifiche richieste e un'osservazione sul lavoro. Se produci macchine con componenti di IA, o se usi sistemi di IA verso i tuoi dipendenti, conviene sapere dove si muove il testo.

Il parere è pubblicato sul sito del Garante. Riguarda lo schema trasmesso alle Camere come Atto del Governo n. 421, che esercita la delega dell'art. 24, commi 1 e 2 (lett. a, b, c, d, e, f, g, i, l, m, n), della legge 23 settembre 2025, n. 132. Lo schema parallelo, Atto del Governo n. 418, attua invece l'art. 24, commi 1 e 2 lett. h), 3 e 5 della stessa legge ed è all'esame del Garante a parte.

Come è fatto lo schema

Lo schema conta cinquantuno articoli in cinque Capi. Il Garante ne ricostruisce l'impianto, e qui conta l'assetto delle competenze.

• AgID è designata Autorità nazionale di notifica (art. 4, in attuazione dell'art. 70, par. 1, del Reg. IA). Valuta, designa e notifica gli organismi di valutazione della conformità e ne monitora i requisiti (art. 13).
• ACN è l'autorità di vigilanza del mercato sui sistemi di IA (art. 5, c. 1, lett. a). Ha poteri di vigilanza e ispettivi ai sensi del Reg. IA e del Reg. (UE) 2019/1020 (art. 15) e la competenza per la registrazione nazionale dei sistemi di IA ad alto rischio (art. 14).
• Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio nei servizi bancari, creditizi e finanziari (art. 5, c. 1, lett. b).
• Il Garante è autorità di vigilanza del mercato solo per quanto previsto dall'art. 74, par. 8, del Reg. IA (art. 5, c. 1, lett. c).

Lo schema istituisce anche lo Spazio di sperimentazione italiano per l'IA (art. 26), gestito da AgID e ACN. Per i fabbricanti è la parte da seguire: lì si decide chi controlla cosa e con quali tempi.

Le quattro condizioni

Il Garante giudica lo schema complessivamente coerente con il Reg. (UE) 2024/1689 e con i criteri di delega. Chiede però di:

1. Integrare l'art. 11. La norma consente ad AgID, ACN e alle autorità finanziarie di adottare linee guida, raccomandazioni e buone pratiche. Il Garante vuole lo stesso potere per sé, negli ambiti dell'art. 74, par. 8.
2. Rinviare all'art. 166 del Codice privacy per il procedimento sanzionatorio di sua competenza, compreso il comma 7 sulla destinazione dei proventi. L'art. 24 dello schema già rinvia alle regole di settore delle singole Autorità indipendenti. Il Garante chiede che il rinvio sia esplicito anche per lui.
3. Chiarire la responsabilità sulla valutazione di conformità. Dalle competenze dell'art. 74, par. 8, il Garante discende come organismo notificato ai sensi dell'art. 43, par. 1, del Reg. IA. Lo schema deve dire quale opzione dell'art. 31, par. 9 si intende adottare, cioè se lo Stato si considera direttamente responsabile di quella valutazione.
4. Integrare l'art. 26. Lo schema non prevede la partecipazione del Garante ai progetti dello Spazio di sperimentazione che trattano dati personali. Per il Garante questo contrasta con l'art. 57, par. 10, del Reg. IA.

L'osservazione sul lavoro

La quinta richiesta è un'osservazione, non una condizione. Riguarda l'art. 40 dello schema, che impone al datore di lavoro che usa sistemi di IA di garantire che le decisioni non siano prese unicamente sulla base di un trattamento automatizzato. La decisione finale spetta a una persona fisica con potere effettivo e autonomo.

Il Garante propone di valutare l'estensione del divieto alle decisioni di carattere valutativo, anche queste richiamate dall'art. 1-bis del d.lgs. 152/1997, quando possono avere implicazioni significative sul rapporto di lavoro. Lo schema, nel testo esaminato, prevede già informativa preventiva, motivazione intelligibile con l'indicazione dell'incidenza dell'IA e dei parametri considerati, e le tutele degli artt. 13, 15 e 22 del GDPR.

l'art. 49 dello schema modifica l'art. 98 del codice della proprietà industriale. Tra le informazioni aziendali protette entrano anche dati, algoritmi e metodi matematici usati per addestrare sistemi di IA, comprese architetture dei modelli e procedure di addestramento. Il parere non contesta questa norma.

il parere riguarda lo schema, non il testo definitivo. Prima di agire controlla sempre la versione pubblicata dell'atto.

Cosa significa per te

• Mappa i tuoi interlocutori. Per i sistemi di IA nei tuoi prodotti, i riferimenti nello schema sono AgID per la notifica degli organismi e ACN per vigilanza e registrazione dei sistemi ad alto rischio. Il Garante interviene solo negli ambiti dell'art. 74, par. 8.
• Se usi IA verso i dipendenti, verifica che una persona con potere reale chiuda ogni decisione. Prepara informativa e spiegazione dei parametri. Considera anche le decisioni valutative, non solo quelle di assunzione o cessazione.
• Se pensi a una sperimentazione, tieni conto che lo Spazio di sperimentazione impone riservatezza ai sensi dell'art. 78 del Reg. IA. Se tratti dati personali, il Garante chiede di esserci.
• Proteggi la documentazione di addestramento. Se l'art. 49 resta com'è, la tutela come segreto industriale dipende dalle condizioni già previste dall'art. 98, c. 1, del codice della proprietà industriale.
• Allinea i manuali. Le istruzioni che descrivono funzioni di IA, sorveglianza umana e trattamento dei dati devono dire le stesse cose del fascicolo tecnico e dell'informativa.

Clausify verifica che i contenuti dei manuali tecnici restino coerenti con gli atti che li richiamano, quando questi cambiano.