Il decreto legislativo 7 ottobre 2026, n. 179 è stato pubblicato in Gazzetta Ufficiale l'8 ottobre ed entra in vigore il 23 ottobre 2026. Non è un documento di principi: contiene articoli precisi su decisioni sul personale, valutazione dei rischi, formazione, sandbox e sanzioni. Per uno studio professionale o una PMI che già usa strumenti AI, alcune di queste disposizioni scattano immediatamente.
Nello stesso fine settimana, Satya Nadella — CEO di Microsoft — ha pubblicato un lungo intervento su X in cui ha scritto senza giri di parole: «Dobbiamo assumere che un modello sia compromesso e tenerlo sotto controllo fin dall'inizio». Ha paragonato il meccanismo di controllo necessario a un "freno d'emergenza". Non è un allarme isolato: è la direzione che stanno prendendo i principali operatori del settore, e coincide esattamente con ciò che la normativa italiana ora richiede.
Questo articolo spiega cosa cambia davvero per chi non sviluppa AI ma la usa ogni giorno per gestire clienti, documenti, comunicazioni e decisioni. E cosa serve fare — concretamente — per non trovarsi esposti a sanzioni, contestazioni dei lavoratori o perdita di fiducia da parte dei clienti.
- Le decisioni su assunzioni, licenziamenti e disciplina non possono essere delegate in modo esclusivo a un algoritmo: serve una persona fisica con potere decisionale reale.
- I rischi legati all'AI che influenza i ritmi di lavoro o i processi decisionali devono entrare nel Documento di valutazione dei rischi (DVR).
- Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato globale annuo.
- Satya Nadella ha chiesto pubblicamente di trattare ogni modello AI come potenzialmente compromesso e di dotarsi di un "freno d'emergenza" per poterlo bloccare.
- La sandbox normativa italiana è istituita dal decreto ma non è ancora operativa: servono ulteriori provvedimenti di AgID e ACN.
- Gli ordini professionali hanno fino al 23 aprile 2027 per adeguare i percorsi formativi sull'AI.
In questo articolo
- Cosa prevede il decreto 179/2026 sull'intelligenza artificiale
- AI e lavoro: quando il licenziamento automatico è nullo
- Sicurezza sul lavoro e AI: il DVR deve aggiornarsi
- Cosa significa che i modelli AI sono 'compromessi' secondo Nadella
- Cos'è la sandbox AI italiana e chi può usarla
- Come dimostrare ai clienti e agli ispettori che usi l'AI in modo sicuro
- Il punto di vista Ovia
- Domande frequenti
Cosa prevede il decreto 179/2026 sull'intelligenza artificiale
Il decreto 179/2026 non nasce dal nulla: dà attuazione alla legge italiana sull'AI, la n. 132 del settembre 2025, e recepisce l'AI Act europeo adattandolo all'ordinamento nazionale. Rispetto alla legge quadro, il decreto scende nel dettaglio: chi controlla, come si controlla, cosa si rischia se non si rispettano le regole.
Le autorità di riferimento sono AgID (Agenzia per l'Italia Digitale) e ACN (Agenzia per la Cybersicurezza Nazionale). A loro spetta la vigilanza e la gestione della sandbox. Le sanzioni previste arrivano fino a 35 milioni di euro o al 7% del fatturato globale annuo, a seconda di quale dei due valori sia più elevato. Una soglia che anche per una PMI di medie dimensioni può risultare significativa.
Per gli studi professionali vale un elemento aggiuntivo: gli ordini e i collegi professionali hanno sei mesi dall'entrata in vigore del decreto — quindi fino al 23 aprile 2027 — per aggiornare i propri regolamenti di formazione e includere contenuti sull'AI, affrontandone gli aspetti tecnici, giuridici e deontologici. Chi oggi usa l'AI nel proprio studio senza averla mai studiata formalmente dovrà farlo attraverso percorsi riconosciuti dall'ordine.
AI e lavoro: quando il licenziamento automatico è nullo
L'articolo 41 del decreto introduce una regola chiara che riguarda chiunque usi l'AI per gestire le risorse umane: le decisioni finali su assunzioni, modifiche del contratto, licenziamenti e provvedimenti disciplinari non possono essere adottate esclusivamente sulla base di un trattamento automatizzato. Chi decide deve essere una persona fisica con potere effettivo e autonomo — non qualcuno che si limita a cliccare "approva" sul risultato dell'algoritmo.
La conseguenza più immediata è sul piano della validità degli atti: un licenziamento adottato in violazione di questo divieto è nullo. Non annullabile, non contestabile in sede ordinaria: nullo. E il consenso del lavoratore non può sanare la violazione.
Vale la pena chiarire cosa non è vietato: usare l'AI per analizzare le performance, elaborare dati, suggerire valutazioni o supportare i responsabili HR è del tutto lecito. Il problema nasce quando l'algoritmo sostituisce il giudizio umano anziché informarlo. La distinzione tra "supporto" e "delega" è il cuore della norma — e anche il punto dove molti sistemi attualmente in uso rischiano di essere fuori linea.
Un ulteriore obbligo riguarda la trasparenza: prima di avviare i trattamenti interessati dalla disciplina, il datore di lavoro deve rispettare gli obblighi informativi già previsti dalla normativa vigente. Il lavoratore può chiedere una spiegazione comprensibile della decisione che lo riguarda, inclusa l'indicazione di come i sistemi AI abbiano influenzato il processo.
AI come supporto alla decisione
✅ ConsentitoAI come decisore esclusivo
🚫 VietatoSicurezza sul lavoro e AI: il DVR deve aggiornarsi
L'articolo 42 del decreto introduce un obbligo che tocca direttamente le aziende che usano l'AI per organizzare il lavoro: se un sistema di intelligenza artificiale influenza i ritmi produttivi, le modalità di esecuzione delle prestazioni o i processi decisionali rilevanti per la sicurezza, i rischi connessi devono essere valutati e inseriti nel Documento di valutazione dei rischi (DVR), previsto dall'articolo 28 del D.Lgs. 81/2008.
Non si tratta di un obbligo generico su qualsiasi software. La norma si applica ai sistemi AI che cambiano concretamente le condizioni nelle quali le persone lavorano: un algoritmo che modifica automaticamente i carichi di lavoro, assegna compiti agli operatori o prende decisioni rilevanti per la sicurezza di un impianto è esattamente il tipo di strumento che entra nell'ambito dell'articolo 42.
In parallelo, i lavoratori hanno diritto a ricevere informazione e formazione adeguate sui rischi specifici associati ai sistemi AI usati in azienda e sulle misure di prevenzione adottate. Questo non è un dettaglio: nelle realtà in cui si usano strumenti AI senza che i dipendenti siano stati informati, si apre un'esposizione sia normativa che reputazionale.
Per gli studi professionali che usano AI per gestire scadenze, assegnare pratiche o monitorare i carichi di lavoro dei collaboratori, è il momento di verificare se questi strumenti rientrano nell'ambito della norma — e di documentare la valutazione, nel DVR o in un documento equivalente.
Il tuo studio o la tua PMI è pronta all'articolo 42?
- ✕Mappatura dei sistemi AI in usoHai un elenco aggiornato di tutti gli strumenti AI che influenzano i processi lavorativi?
- ✕Valutazione dei rischi AI nel DVRI rischi legati a questi strumenti sono stati valutati e inseriti nel Documento di valutazione dei rischi?
- ✕Formazione ai collaboratoriI collaboratori sono stati informati su come funzionano i sistemi AI e sui rischi connessi?
- ✕Aggiornamento informativa lavoratoriGli obblighi informativi verso i dipendenti che interagiscono con sistemi AI sono stati rispettati?
- ✕Revisione periodicaEsiste una procedura per aggiornare la valutazione quando si adottano nuovi strumenti AI?
Cosa significa che i modelli AI sono 'compromessi' secondo Nadella
Il 10 ottobre 2026, Satya Nadella — CEO di Microsoft — ha pubblicato un intervento su X che ha fatto discutere. Non per i toni allarmistici, ma per la lucidità con cui ha descritto il problema. Il punto centrale, nella sua formulazione: «Non possiamo trattare la superintelligenza come un insieme di scatole nere annidate e semplicemente accettare o rifiutare le sue raccomandazioni, risposte e azioni».
Nadella non dice che l'AI è inutile. Dice che va contenuta by design: separare il modello dal sistema che ne orchestra il lavoro, esternalizzare i controlli, documentare ogni azione significativa con "prove leggibili dall'uomo e a prova di manomissione". E — punto che lo distingue da altri interventi simili — afferma che «dobbiamo assumere che un modello sia compromesso e tenerlo sotto controllo fin dall'inizio. Pensateci come a un freno d'emergenza».
Per uno studio professionale o una PMI, il significato pratico è questo: usare un modello AI senza poterlo fermare, senza tracciare cosa ha fatto e senza un responsabile umano che ne validi le azioni non è una scelta "prudente ma limitante". È un'esposizione. Normativa, oggi, con il decreto 179/2026. Reputazionale, sempre, con i clienti che si aspettano che i tuoi strumenti siano sotto controllo.
Questa posizione non è isolata. Come abbiamo già esaminato nell'articolo sul controllo degli agenti AI in azienda, la governance degli strumenti AI non è un lusso per grandi organizzazioni: è il requisito minimo per usare l'AI in modo professionale e difendibile.
Attenzione: Se non puoi fermare un modello AI mentre sta lavorando, non sai cosa ha fatto e non puoi dimostrarlo a un ispettore o a un cliente, stai già violando lo spirito — e in alcuni casi la lettera — del decreto 179/2026 e dell'AI Act. La domanda non è "usi l'AI?" ma "puoi dimostrare come la controlli?"
Cos'è la sandbox AI italiana e chi può usarla
Gli articoli dal 26 al 31 del decreto istituiscono lo Spazio di sperimentazione italiano per l'AI, una regulatory sandbox (ambiente regolamentato di test) nel quale le imprese che sviluppano soluzioni AI potranno sperimentarle sotto la supervisione di AgID e ACN, prima di immetterle sul mercato. L'obiettivo dichiarato è ridurre le incertezze regolatorie durante lo sviluppo, non dopo.
È importante chiarire subito chi può accedere e chi no. La sandbox è riservata ai fornitori e ai potenziali fornitori di sistemi AI — cioè a chi sviluppa e vuole portare sul mercato tecnologie AI. Non è uno strumento per gli studi professionali o le PMI che usano software di terzi. Se usi ChatGPT, un CRM con funzioni AI o un gestionale che integra modelli di linguaggio, la sandbox non ti riguarda direttamente.
Chi invece sviluppa soluzioni proprie — o è una startup o PMI che costruisce un prodotto AI — troverà nella sandbox una corsia preferenziale: il decreto attribuisce priorità di accesso alle PMI e alle startup, secondo criteri che dovranno essere definiti con successivi provvedimenti.
Un avvertimento pratico: il decreto istituisce formalmente la sandbox, ma per l'apertura concreta agli operatori saranno necessari ulteriori provvedimenti di AgID e ACN. Al momento non esiste ancora uno sportello operativo. Sul piano europeo, l'AI Act aggiornato dal Digital Omnibus prevede che ogni Stato membro abbia almeno uno spazio di sperimentazione operativo entro il 2 agosto 2027.
Decreto pubblicato8 ottobre 2026
Il D.Lgs. 179/2026 è in Gazzetta Ufficiale e istituisce formalmente lo Spazio di sperimentazione italiano.
Entrata in vigore23 ottobre 2026
Il decreto diventa pienamente efficace, ma la sandbox non è ancora operativa per le domande delle imprese.
Provvedimenti attuativiDa definire
AgID e ACN devono emanare le regole di accesso, i criteri di ammissione e le procedure operative.
Scadenza europea2 agosto 2027
L'AI Act aggiornato impone agli Stati membri di avere almeno uno spazio di sperimentazione operativo entro questa data.
Come dimostrare ai clienti e agli ispettori che usi l'AI in modo sicuro
La domanda più concreta che un titolare di studio o un responsabile di PMI dovrebbe porsi oggi è questa: se domani un ispettore o un cliente mi chiedesse di dimostrare come uso l'AI, cosa gli mostrerei? Il decreto 179/2026 non chiede di non usare l'AI. Chiede che il suo uso sia controllato, documentato e spiegabile.
Tre sono gli elementi che fanno la differenza. Il primo è la tracciabilità: sapere cosa ha fatto ogni strumento AI, su quali dati, in quale momento e con quale output. Non basta sapere che "l'AI ha aiutato a redigere il documento": serve sapere quale modello, con quali istruzioni, e chi ha revisionato il risultato. Il secondo è la supervisione umana effettiva: non un timbro formale, ma una persona che comprende il processo e può intervenire. Il terzo è la documentazione aggiornata: informative ai clienti, informative ai lavoratori, procedure interne che descrivono come l'AI viene usata e controllata.
Sul fronte della privacy, la risposta alla domanda "devo aggiornare l'informativa privacy se uso strumenti AI?" è quasi sempre sì. Se i dati dei clienti o dei dipendenti vengono elaborati da sistemi AI — anche solo per categorizzare email o generare bozze di documenti — l'informativa deve riflettere questa realtà. È un obbligo che discende già dal GDPR, rafforzato oggi dal quadro dell'AI Act e del decreto 179/2026.
Un approccio pratico è partire da una mappatura semplice: quali strumenti AI usi, su quali dati agiscono, chi li supervisiona, come viene documentato l'output. Questo schema — che Ovia aiuta a costruire — non serve solo alla compliance: è anche il modo più diretto per comunicare ai clienti che il loro studio lavora con standard professionali. Come abbiamo spiegato nell'articolo sulla responsabilità professionale e le allucinazioni AI, chi firma risponde — e dimostrare il controllo è l'unica difesa reale.
Sei in grado di dimostrare un uso sicuro dell'AI?
- ✕Registro degli strumenti AI in usoHai un elenco di tutti i sistemi AI attivi nello studio o in azienda, con il tipo di dati che trattano?
- ✕Informativa clienti aggiornataL'informativa privacy menziona l'uso di strumenti AI nel trattamento dei dati dei clienti?
- ✕Informativa dipendenti aggiornataI collaboratori sono stati informati sull'uso dell'AI nei processi che li riguardano?
- ✕Supervisore umano identificatoPer ogni processo AI critico c'è una persona fisica responsabile della validazione dell'output?
- ✕Log delle attività AIEsiste un sistema — anche semplice — per tracciare cosa ha prodotto ogni strumento AI e chi l'ha revisionato?
- ✕Procedura di bloccoSai come fermare o disattivare un sistema AI se si comporta in modo anomalo?
La posizione di Ovia: la compliance è il punto di partenza, non il traguardo
Il decreto 179/2026 e le dichiarazioni di Nadella dicono la stessa cosa con linguaggi diversi: usare l'AI senza un'architettura di controllo non è più una scelta strategica accettabile. È un rischio normativo, reputazionale e — in caso di contestazione da parte di un lavoratore o di un cliente — legale.
Ovia lavora su questo livello: non si tratta di scegliere lo strumento AI più potente, ma di decidere cosa automatizzare, come controllarlo e come dimostrarlo. Ogni sistema che costruiamo per studi professionali e PMI viene progettato con un responsabile umano identificato, una traccia delle azioni e la possibilità di intervenire in qualsiasi momento. Non perché lo richieda una norma — anche se ora lo fa — ma perché è l'unico modo per usare l'AI in modo professionale.
Se il tuo studio o la tua azienda usa già strumenti AI ma non ha ancora una mappatura chiara di cosa fanno, su quali dati agiscono e chi li supervisiona, questo è il momento per costruirla. Non come esercizio burocratico, ma come base operativa per continuare a lavorare con sicurezza.
Domande frequenti
Cosa cambia per la mia azienda o il mio studio dal 23 ottobre 2026?
Dal 23 ottobre 2026 entrano in vigore le disposizioni del decreto legislativo 179/2026. Le principali novità operative riguardano tre aree: le decisioni sul personale non possono essere delegate esclusivamente a sistemi AI; i rischi dei sistemi AI che influenzano il lavoro devono essere valutati nel DVR; e sono previste sanzioni fino a 35 milioni di euro o al 7% del fatturato per le violazioni. Chi usa l'AI solo come assistente per redigere testi o cercare informazioni è meno esposto, ma deve comunque verificare le informative privacy e la trasparenza verso clienti e collaboratori.
Rischio sanzioni se uso l'AI senza controlli?
Sì, se l'uso dell'AI rientra negli ambiti disciplinati dal decreto 179/2026 e dall'AI Act europeo. Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato globale annuo. Per studi e PMI il rischio più immediato non è la sanzione massima, ma le conseguenze civili: un licenziamento basato esclusivamente su un algoritmo è nullo, e un trattamento di dati non dichiarato nell'informativa privacy può aprire contenziosi con clienti e lavoratori.
Cosa significa che i modelli AI sono 'compromessi' secondo Nadella?
Il 10 ottobre 2026, Satya Nadella — CEO di Microsoft — ha scritto che occorre assumere per principio che ogni modello AI possa essere compromesso, e costruire sistemi che permettano di fermarlo in qualsiasi momento. Non intende che i modelli siano necessariamente difettosi o malevoli, ma che la fiducia cieca nei loro output è sbagliata: servono controlli esterni, tracciabilità delle azioni e la possibilità di un intervento umano immediato. Per uno studio professionale, questo si traduce nell'avere sempre un responsabile umano che valida le decisioni rilevanti.
Cos'è la sandbox AI italiana e posso usarla come studio o PMI?
La sandbox istituita dal decreto 179/2026 è uno spazio regolamentato in cui le imprese che sviluppano soluzioni AI possono testarle sotto la supervisione di AgID e ACN. È riservata ai fornitori di tecnologie AI, non agli utilizzatori di software di terzi. Se il tuo studio usa ChatGPT, un CRM con AI o un gestionale automatizzato, la sandbox non ti riguarda. Se invece sviluppi soluzioni AI proprie, potrai fare domanda — ma la sandbox non è ancora operativa: servono ulteriori provvedimenti delle agenzie.
Devo aggiornare l'informativa privacy se uso strumenti AI?
In quasi tutti i casi sì. Se i dati dei tuoi clienti o dei tuoi dipendenti vengono elaborati da sistemi AI — anche solo per categorizzare email, generare bozze di documenti o analizzare scadenze — l'informativa deve descrivere questa realtà. È un obbligo che deriva già dal GDPR e viene rafforzato dal quadro dell'AI Act e del decreto 179/2026. La mancata comunicazione espone a contestazioni in caso di controllo o di reclamo da parte di clienti o lavoratori.
Come dimostro agli ispettori o ai clienti che uso l'AI in modo sicuro?
Attraverso tre elementi: tracciabilità (sapere cosa ha fatto ogni strumento AI, su quali dati e con quale output), supervisione umana effettiva (una persona fisica che valida le decisioni rilevanti, non solo le approva formalmente) e documentazione aggiornata (informative, procedure interne, registro degli strumenti in uso). Non è necessario un sistema complesso: basta che sia coerente, verificabile e aggiornato quando cambiano gli strumenti o i processi.
Gli ordini professionali devono fare qualcosa con il decreto 179/2026?
Sì. Il decreto stabilisce che gli ordini e i collegi professionali abbiano fino al 23 aprile 2027 — sei mesi dall'entrata in vigore — per aggiornare i propri regolamenti di formazione iniziale e continua, includendo contenuti sull'AI sotto il profilo tecnico, giuridico e deontologico. Per i professionisti iscritti, questo significa che la formazione sull'AI diventerà parte strutturata del percorso di aggiornamento professionale obbligatorio.
Conclusione
Il decreto 179/2026 non chiede agli studi professionali e alle PMI di smettere di usare l'AI. Chiede di usarla in modo controllato, documentato e trasparente. È una differenza sostanziale: non è un limite all'innovazione, è la condizione per rendere l'innovazione sostenibile nel tempo.
Le dichiarazioni di Nadella e la normativa italiana convergono sullo stesso punto: l'AI non è un oracolo da seguire ciecamente, è uno strumento da governare. Chi lo governa bene ha un vantaggio competitivo reale. Chi lo usa senza controllo sta accumulando un rischio che prima o poi emerge — davanti a un ispettore, a un cliente insoddisfatto o a un lavoratore che contesta una decisione.
Il punto di partenza è semplice: mappa cosa usi, chi lo supervisiona e come lo documenti. Il resto si costruisce da lì.
I sistemi Ovia per questo tema
Soluzioni costruite su misura che risolvono esattamente il problema di questo articolo.
Ovia CRM
Ovia CRM permette di tracciare ogni attività svolta con o senza AI, associarla al cliente corretto e documentare chi ha validato l'output — esattamente la prova di supervisione umana che il decreto 179/2026 richiede.
Scopri CRMDocumentiOvia Documenti
Con Ovia Documenti ogni richiesta, controllo e sollecito è registrato con uno storico completo: se un ispettore o un cliente chiede come sono stati gestiti i suoi dati, hai una risposta verificabile in pochi secondi.
Scopri DocumentiIl servizio di puntaOvia Second Brain
Ovia Second Brain conserva decisioni, note e procedure collegate al cliente giusto, rendendo possibile ricostruire il ragionamento dietro ogni scelta — un requisito essenziale quando la spiegabilità delle decisioni AI diventa obbligo di legge.
Scopri Second BrainFonti
- AI, nuove regole per le imprese dal 23 ottobre: cosa cambia e cos’è la sandbox per le sperimentazioni — Innovation Post
- Satya Nadella says we should assume all AI models are ‘compromised’ — The Verge AI
- Microsoft’s Satya Nadella says AI models need an ‘emergency brake’ — TechCrunch AI
- AI agent makers are promising privacy — will they deliver? — The Verge AI
Articolo della redazione Ovia, redatto con il supporto di strumenti di intelligenza artificiale a partire dalle fonti citate, che restano di proprietà dei rispettivi autori. Le informazioni hanno scopo divulgativo e non costituiscono consulenza legale o fiscale. Segnalazioni: oviaitalia@gmail.com.