La Legge 132/2025 è la prima normativa nazionale che “aggancia” l’AI Act dell’Unione europea (Reg. UE 2024/1689) e ne prepara l’attuazione in Italia. Il testo, pubblicato sulla Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed entrato in vigore il 10 ottobre 2025, non crea obblighi generali ulteriori rispetto al Regolamento (UE) 2024/1689, ma chiarisce principi, disegna la governance e introduce regole settoriali che toccano Pubblica Amministrazione, sanità, lavoro e giustizia, con alcune novità penali e precisazioni in materia di diritto d’autore e text and data mining.
Principi e ambito di applicazione
La legge copre l’intero ciclo di vita dei sistemi di IA — inclusi quelli a finalità generali — e si fonda su sei principi chiave: trasparenza e proporzionalità, sicurezza e protezione dei dati, non discriminazione e controllo umano effettivo
Le previsioni sono coerenti con l’AI Act e non impongono oneri ulteriori per i sistemi già regolati a livello europeo. Sul piano informativo, la norma valorizza un linguaggio chiaro per l’utente finale.
Per i minori sotto i 14 anni è necessario il consenso dei genitori per l’uso di tecnologie di IA; tra i 14 e i 17 anni il consenso può essere autonomo, purché supportato da informazioni comprensibili.
Dal punto di vista economico-strategico, le gare pubbliche potranno privilegiare soluzioni che trattano dati in data center situati in Italia, nel rispetto dei principi di concorrenza e non discriminazione.
Governance nazionale dell’AI
La cabina di regia nazionale è condivisa tra AgID e ACN, designate come Autorità per l’IA. AgID presidia gli aspetti di promozione e sviluppo e svolge funzioni di notifica e accreditamento; ACN esercita la vigilanza di mercato, effettua ispezioni e applica sanzioni con uno sguardo specifico alla cybersicurezza.
Un Comitato di coordinamento presso la Presidenza del Consiglio assicura l’integrazione tra le Autorità. Restano intatte le competenze di Garante Privacy, AGCOM, Banca d’Italia, Consob e IVASS nei rispettivi settori. Entro 12 mesi sono attesi i decreti attuativi, che definiranno dettagli su sanzioni, formazione e responsabilità.
Regole settoriali principali
- Sanità e disabilità
Nel sistema sanitario l’IA ha un ruolo di supporto alla prevenzione, alla diagnosi e alle scelte terapeutiche, ma la decisione finale resta ai medici. È richiesto che i pazienti siano informati quando si impiega l’intelligenza artificiale e che i sistemi siano verificati e aggiornati periodicamente insieme ai dati che li alimentano. Per ricerca e sperimentazione, i trattamenti — anche di dati personali — sono qualificati di rilevante interesse pubblico: è sempre consentito l’uso secondario di dati pseudonimizzati o privi di identificativi diretti con adeguata informativa, e sono ammessi trattamenti funzionali ad anonimizzazione, pseudonimizzazione e sintesi. La prassi operativa prevede la notifica al Garante con possibilità di procedere dopo trenta giorni, salvo interventi inibitori. - Lavoro e professioni
Presso il Ministero del Lavoro nasce un Osservatorio dedicato all’adozione dell’IA, con compiti di strategia, monitoraggio e formazione. Nelle professioni intellettuali l’IA rimane uno strumento di supporto: l’uso va comunicato in modo chiaro al cliente o all’assistito, senza che la tecnologia sostituisca la responsabilità professionale. - Pubblica Amministrazione e giustizia
Nella PA l’IA serve a migliorare efficienza e qualità dei servizi, ma occorre garantire la conoscibilità e la tracciabilità del suo impiego. La responsabilità delle decisioni resta sempre in capo alla persona responsabile del procedimento. In ambito giudiziario, l’IA può agevolare organizzazione e semplificazione delle attività amministrative; le decisioni interpretative e i provvedimenti rimangono prerogativa del giudice, con percorsi di formazione pensati per magistrati e personale. - Sicurezza nazionale e cybersicurezza
Alcune attività legate a sicurezza e difesa esulano dall’ambito applicativo della legge, fermo restando il rispetto dei diritti costituzionali. L’ACN è inoltre chiamata a promuovere iniziative per rafforzare la cybersicurezza del Paese, anche valorizzando strumenti e metodologie di intelligenza artificiale.
Diritto d’autore e TDM (text and data mining)
La Legge 132/2025 conferma che solo un’opera con apporto creativo umano può ottenere tutela autoriale. Le creazioni generate interamente da IA non sono protette, mentre lo sono quelle in cui l’autore umano guida o controlla il processo creativo.
Viene inoltre introdotto l’articolo 70-septies nella Legge sul Diritto d’Autore, che:
- chiarisce la liceità di estrazioni e riproduzioni tramite sistemi generativi conformi alle eccezioni di TDM (text and data mining);
- inasprisce le sanzioni quando tali attività violano i limiti di legge o ignorano gli opt-out dei titolari dei diritti.
Novità penali e finanziarie
Sul fronte penale compaiono due elementi di rilievo. Da un lato un’aggravante comune quando il reato è commesso “mediante IA”, inserita al n. 11‑decies dell’articolo 61 del codice penale. Dall’altro il nuovo reato di deepfake: l’articolo 612‑quater punisce l’illecita diffusione di immagini, video o voci alterati con IA e idonei a trarre in inganno, con pena della reclusione da uno a cinque anni e procedibilità a querela, salvo circostanze aggravanti. In ambito finanziario, l’impiego di IA come mezzo per aggiotaggio e manipolazione di mercato comporta un inasprimento delle sanzioni, con cornici che arrivano fino a due–sette anni di reclusione e significative sanzioni pecuniarie, in particolare per l’articolo 185 del TUF.
Quanto può costare la non conformità
Il sistema sanzionatorio ricalca i livelli dell’AI Act:
- fino a 35 milioni € o 7% del fatturato mondiale per pratiche vietate;
- fino a 15 milioni € o 3% per violazioni di obblighi;
- fino a 7,5 milioni € o 1% per comunicazioni inesatte o omesse.
Sono previste misure proporzionate per PMI e startup, per evitare barriere all’innovazione.
Cosa fare adesso (Checklist per DPO, legali e IT)
Per aziende, enti pubblici e professionisti è il momento di passare dalla teoria alla pratica.
Ecco le azioni prioritarie:
- Mappa i sistemi di IA utilizzati (anche esterni o generativi).
- Classifica i rischi in linea con l’AI Act e assegna responsabilità chiare.
- Aggiorna informative e policy su trasparenza e decisioni automatizzate.
- Prevedi il consenso genitoriale per i minori e percorsi informativi dedicati.
- Mantieni l’human-in-the-loop, con tracciabilità delle decisioni finali.
- Rivedi DPIA e registri dei trattamenti, documentando provenienza e basi giuridiche dei dataset.
- Verifica la conformità del text & data mining (artt. 70-ter/quater/septies).
- Inserisci clausole “AI-Act-ready” nei contratti con i fornitori.
- Predisponi piani di risposta a incidenti e deepfake con procedure di take-down.
Domande frequenti
La legge vale anche per i modelli generativi “general purpose”?
Sì. La Legge 132/2025 si applica anche ai modelli per finalità generali, nel rispetto dell’AI Act e dei principi di trasparenza e sicurezza.
Chi controllerà e potrà sanzionare?
ACN svolge la vigilanza in merito all’utilizzo di tali strumenti con ispezioni e sanzioni. AgID cura notifica e accreditamento.
Banca d’Italia, Consob e IVASS restano competenti nei rispettivi mercati.
Un professionista può delegare all’IA?
No. L’IA è uno strumento di supporto, ma non può sostituire il giudizio e la responsabilità del professionista.
Quali sono le pene per chi diffonde deepfake senza consenso?
La presente legge ha introdotto il nuovo art. 612-quater c.p. per coloro che diffondono immagini prodotte o alterate tramite strumenti di intelligenza artificiale al fine di cagionare un danno ad una persona, con sanzioni che vanno da 1 a 5 anni.
Il supporto di PrivacyStudio
La Legge 132/2025 “localizza” l’AI Act nel contesto italiano, stabilendo chi governa l’ecosistema, come si controllano i rischi e in che modo trattare i casi sensibili in sanità, PA, giustizia e lavoro. Per le organizzazioni è il momento di trasformare i principi in prassi: processi chiari, informative complete, contratti aggiornati e un presidio documentato del rischio.
PrivacyStudio affianca aziende, studi professionali ed enti pubblici nel percorso di adeguamento alla Legge 132/2025 e all’AI Act europeo.
Il nostro team multidisciplinare supporta le organizzazioni nella fase di audit dei sistemi di IA e mappatura dei rischi, redazione di policy e informative trasparenti, formazione su AI Act, privacy e responsabilità etica. Attraverso un approccio pratico e orientato al rischio, aiutiamo imprese e pubbliche amministrazioni a gestire la compliance con strumenti chiari, documentati e sostenibili.
Per saperne di più o richiedere una consulenza personalizzata, contattaci direttamente tramite l’apposito form.
