La nuova era dell’IA: governance, responsabilità e diritti nella Legge 132/2025

Con l’entrata in vigore della Legge 132/2025, il quadro normativo italiano sull’intelligenza artificiale assume una prima fisionomia nazionale, destinata a integrarsi con il Regolamento UE 2024/1689 (AI Act) e con i successivi decreti attuativi, incidendo progressivamente sulle scelte quotidiane di imprese, professionisti e pubbliche amministrazioni attraverso principi, competenze, responsabilità e verifiche concrete.

La norma si colloca in un contesto europeo già tracciato dal Regolamento UE 2024/1689 (AI Act), ma ne sviluppa una declinazione nazionale che contribuisce a rendere più concreta l’applicazione di principi fino a poco tempo fa percepiti come orientamenti generali.

Nel lavoro quotidiano con aziende che integrano sistemi algoritmici nei propri processi dal marketing predittivo alla gestione delle risorse umane, fino alla profilazione dei clienti emerge con chiarezza come la vera novità risieda nella progressiva strutturazione di presidi organizzativi, informativi e di controllo, che impone di ripensare la governance interna, la gestione del dato e il rapporto tra decisione automatizzata e responsabilità umana.

Principi normativi e bilanciamento tra innovazione e diritti

Nel disegno complessivo della Legge 132/2025, prende forma un impianto che integra sviluppo tecnologico e tutela individuale attraverso un insieme di principi operativi che non restano confinati a dichiarazioni di intenti, ma orientano obblighi, verifiche e responsabilità da leggere in coordinamento con il quadro europeo.

La centralità della persona, anzitutto, non viene trattata come un valore astratto: si traduce nella necessità di preservare autonomia, potere decisionale e supervisione umana nei casi in cui l’utilizzo dell’IA incida su diritti fondamentali.

Allo stesso tempo, il principio di trasparenza assume una dimensione concreta nella necessità di rendere comprensibili i criteri decisionali degli algoritmi, soprattutto nei contesti lavorativi, dove l’utilizzo di sistemi di valutazione automatica può incidere su carriere, retribuzioni e condizioni contrattuali.

La chiarezza richiesta coincide con la capacità di spiegare logiche, variabili e impatti in termini accessibili anche a soggetti non tecnici.

La sicurezza, letta in chiave sia informatica sia organizzativa, si intreccia con gli obblighi derivanti dalla cybersicurezza nazionale, imponendo una gestione strutturata del rischio lungo tutto il ciclo di vita dell’IA; parallelamente, la protezione dei dati personali rafforza l’impianto del GDPR, richiedendo particolare attenzione alla provenienza, tracciabilità e utilizzo dei dataset. In questo quadro, inclusione e accessibilità non restano margini etici, ma diventano criteri progettuali che incidono sulla conformità dei sistemi.

Governance aziendale e supervisione umana nei sistemi IA

Nel momento in cui l’IA entra stabilmente nei processi decisionali aziendali, la legge spinge verso la costruzione di una governance dedicata che supera la logica della compliance documentale per diventare architettura organizzativa stabile, integrata nelle funzioni di risk management e controllo interno.

Le imprese sono chiamate a individuare ruoli chiari, spesso trasversali tra IT, legale e compliance, con responsabilità definite nella gestione dei sistemi algoritmici.

La necessità di controlli periodici introduce una dimensione dinamica della gestione, che non si limita alla fase di implementazione ma accompagna l’intero ciclo operativo dell’IA, richiedendo test, aggiornamenti e verifiche sull’affidabilità dei modelli nei casi in cui ciò sia imposto dalla normativa applicabile o risulti necessario in base al rischio.

Questo comporta, nella pratica, la costruzione di flussi documentali strutturati, capaci di tracciare le decisioni automatizzate rilevanti e di dimostrarne la coerenza rispetto ai criteri dichiarati.

In questo contesto si inserisce il principio della supervisione umana, che assume un valore operativo preciso: non basta prevedere un intervento umano formale, ma occorre garantire che tale intervento sia effettivo, informato e dotato di potere decisionale. L’operatore umano deve essere in grado di comprendere, contestare e, se necessario, correggere l’esito prodotto dall’algoritmo.

Come osserva l’avvocato Antonino Polimeni, esperto di diritto digitale e fondatore dello studio Polimeni. Legal, “la vera discontinuità introdotta dalla Legge 132/2025 risiede nell’obbligo di rendere la governance dell’intelligenza artificiale un elemento strutturale dell’organizzazione aziendale: non si tratta di verificare se un sistema è conforme, ma di dimostrare continuamente come viene gestito, controllato e, se necessario, limitato”.

Una lettura che riflette quanto emerge nella pratica: l’adeguamento è un processo che deve essere permanente.

Sovranità digitale e gestione della filiera dei dati

Nel momento in cui il dato rappresenta la materia prima dell’intelligenza artificiale, la legge interviene in modo puntuale sulla sua origine, circolazione e conservazione, introducendo un livello di controllo che impatta direttamente sulle scelte infrastrutturali, in particolare nell’ambito pubblico e nei settori strategici.

La promozione della sovranità digitale si riflette anche nelle scelte pubbliche di approvvigionamento, dove possono essere privilegiate soluzioni che garantiscano localizzazione, sicurezza e continuità operativa dei dati strategici, con l’obiettivo di ridurre dipendenze tecnologiche da fornitori extra-UE.

La tracciabilità dei dati diventa un requisito centrale, imponendo attenzione documentale e organizzativa nelle fasi rilevanti del loro utilizzo, dall’acquisizione all’addestramento dei modelli, fino alla loro eventuale cancellazione o anonimizzazione. Questo comporta l’adozione di sistemi di data governance avanzati, capaci di integrare aspetti legali, tecnici e organizzativi.

Particolare rilievo assume la disciplina dei trattamenti di dati personali connessi all’utilizzo di sistemi di IA e alla futura regolazione dell’addestramento dei modelli, elemento che introduce una variabile significativa nella costruzione dei dataset e nella sostenibilità dei modelli di business basati sull’analisi massiva delle informazioni.

Le aziende si trovano così a dover bilanciare esigenze di performance algoritmica con vincoli giuridici sempre più stringenti.

Responsabilità penale e amministrativa nell’uso dell’IA

Nel momento in cui l’IA diventa strumento operativo diffuso, il legislatore interviene anche sul piano sanzionatorio, ampliando il perimetro delle responsabilità penali e amministrative in modo coerente con i rischi specifici associati all’utilizzo di sistemi automatizzati.

L’introduzione di aggravanti e fattispecie specifiche legate all’impiego dell’IA segna un passaggio rilevante, perché sposta l’attenzione anche sulle modalità con cui la tecnologia viene utilizzata nella commissione degli illeciti.

La diffusione illecita di contenuti generati o manipolati tramite IA - inclusi i deepfake - viene trattata con particolare severità, prevedendo pene detentive che riflettono l’impatto potenziale di tali strumenti sulla reputazione individuale, sulla sicurezza pubblica e sull’integrità dei processi democratici.

A ciò si aggiungono aggravanti specifiche per reati commessi mediante sistemi algoritmici, che ampliano la responsabilità anche a contesti economici e finanziari.

Per le imprese, questo scenario implica l’opportunità di valutare l’integrazione della gestione dell’IA nei modelli organizzativi ex D.Lgs. 231/2001, nei casi in cui l’utilizzo di sistemi algoritmici incida su aree di rischio rilevanti; sul piano operativo, ciò si traduce in procedure più rigorose, verifiche interne più frequenti e una maggiore attenzione alla formazione del personale.

Diritto d’autore, creatività e trasformazione culturale

Nel rapporto tra intelligenza artificiale e produzione creativa, la legge introduce un criterio che incide direttamente sulle pratiche di content creation, ambito particolarmente rilevante per chi opera nel digitale: la tutela delle opere generate con il supporto dell’IA è subordinata alla presenza di un contributo umano effettivo, riconoscibile e non meramente esecutivo.

Questo implica una distinzione sostanziale tra utilizzo dell’IA come strumento e delega totale della produzione creativa.

La regolamentazione dell’uso dei contenuti per l’addestramento dei modelli rafforza il controllo degli autori sulle proprie opere, aprendo una fase attuativa nella quale dovranno essere definiti con maggiore precisione diritti, limiti e condizioni di utilizzo dei materiali protetti.

Per chi lavora nella produzione di contenuti, questo apre scenari complessi: da un lato, maggiore tutela; dall’altro, necessità di verificare con attenzione le fonti e i diritti associati ai dataset utilizzati.

Parallelamente, la legge interviene sul piano culturale, promuovendo programmi di formazione diffusa che coinvolgono lavoratori, professionisti e studenti, con l’obiettivo di sviluppare competenze adeguate a un contesto in cui l’IA non rappresenta più una tecnologia emergente, ma un’infrastruttura operativa.

L’attenzione all’accessibilità e alla parità di opportunità contribuisce a definire un modello di innovazione che integra dimensione tecnologica e responsabilità sociale.

Questo si traduce in un cambiamento tangibile: la qualità si misura attraverso la capacità di dimostrare trasparenza, tracciabilità e rispetto delle regole, elementi che diventano parte integrante del valore percepito da clienti e stakeholder.

Informazioni fornite in modo indipendente da un nostro partner nell’ambito di un accordo commerciale tra le parti. Contenuti riservati a un pubblico maggiorenne.