La Legge 132/2025 rappresenta il quadro nazionale di riferimento per la promozione e lo sviluppo dell’intelligenza artificiale in Italia, in raccordo con il Regolamento (UE) 2024/1689, noto come AI Act europeo. Questo regolamento, pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 12 luglio 2024, è entrato in vigore il 2 agosto 2024 e costituisce il primo quadro giuridico armonizzato al mondo per l’intelligenza artificiale, basato su un approccio proporzionale al rischio dei sistemi di IA.
La legge italiana non si limita a recepire gli obblighi di conformità derivanti dal regolamento europeo, ma definisce un impianto nazionale proattivo, orientato alla crescita dell’ecosistema digitale, alla sperimentazione e al rafforzamento della competitività delle imprese. Il testo richiama esplicitamente i principi di analisi del rischio, proporzionalità e tutela dei diritti fondamentali, prevedendo strumenti di accompagnamento, linee guida operative e spazi di confronto tra autorità e operatori economici.
L’AI Act europeo prevede un’applicazione graduale delle sue disposizioni: pratiche di IA ritenute inaccettabili sono state vietate a partire dal 2 febbraio 2025, obblighi specifici per i modelli di intelligenza artificiale generativa e per le regole di governance sono entrati in vigore il 2 agosto 2025, mentre la maggior parte delle regole concernenti i sistemi ad alto rischio dovrebbero essere pienamente applicabili dal 2 agosto 2026, con alcune estensioni fino al 2 agosto 2027 per sistemi integrati in prodotti regolamentati.
La norma italiana, approvata e in vigore dal 10 ottobre 2025, si pone come esempio in Europa di legge nazionale organica sull’intelligenza artificiale che affianca e integra il quadro europeo, definendo principi generali, obblighi e governance sul territorio nazionale, in linea con gli obiettivi e i tempi di attuazione dell’AI Act.
L’obiettivo è favorire un’adozione consapevole dell’AI, sostenendo innovazione, interoperabilità e sovranità tecnologica, evitando che la regolazione venga percepita esclusivamente come vincolo sanzionatorio. In questa prospettiva, la legge si configura come leva abilitante per imprese e pubblica amministrazione.
Ne abbiamo parlato con Mario Nobile, Direttore generale dell’Agenzia per l’Italia Digitale (AgID), approfondendo in particolare il rapporto tra imprese, regolazione e adozione dell’intelligenza artificiale, tra opportunità, rischi e necessità di un cambiamento di paradigma culturale.
Direttore, qual è la principale novità introdotta dalla Legge 132/2025?
L’AI Act e la legge italiana si basano sull’analisi del rischio, come la legge 81/2008. Ma mentre nella sicurezza sul lavoro esistono standard consolidati, nell’AI Act gli standard per distinguere alto, medio e basso rischio sono in fase di predisposizione da parte del CEN (Comitato Europeo di Normazione) e del CENELEC (Comitato Europeo di Normazione Elettrotecnica)
Siamo di fronte a un oggetto regolato che evolve mentre viene normato: questo rende inevitabilmente il processo più articolato rispetto a settori in cui le tecnologie hanno cicli di vita più lunghi.
Se un’impresa aspetta la completa definizione del quadro applicativo, perde competitività. Per questo ragioniamo sui casi concreti. La norma è condizione necessaria ma non sufficiente. Bisogna chiedersi: cosa voglio fare?
L’analisi del rischio non può essere un esercizio astratto: deve partire dall’obiettivo industriale, organizzativo o di servizio che si intende perseguire.
È un approccio molto imprenditoriale…
Ed è anche previsto dalla Legge 132/2025, in quanto si parla di promozione e sviluppo. In altre parole, l’errore più grave che possiamo fare è trattare questa rivoluzione in termini di compliance, cioè chiederci solo “come mi adeguo?”.
La domanda che ci dobbiamo fare non è come essere conformi a regole che a volte sono ipertrofiche – e lo dice un regolatore – ma qual è il nostro obiettivo. Perché poi, in base all’obiettivo, dobbiamo spingere affinché alcune regole cambino.
Il GDPR, ad esempio, ha rappresentato e rappresenta un importante punto di riferimento rispetto ai diritti fondamentali, ma come sempre ricordo, oltre alla protezione della privacy c’è il “free movement” nel sottotitolo. Noi ci siamo concentrati invece sulla protezione a volte ideologica della privacy senza concretizzare la libera circolazione dei dati.
Guardiamo l’obiettivo. Dopodiché, in base all’obiettivo, vediamo quello che c’è da fare. Dobbiamo far emergere i problemi e risolverli, non limitarci a dire cosa si può o non si può fare.
Perché sostiene che si tratta soprattutto di una rivoluzione culturale?
Perché non eravamo abituati a trattare questi temi. Oggi si parla di una “torta a cinque strati”: energia, semiconduttori, data center, modelli, applicazioni. Un imprenditore, di qualunque settore, dovrà per forza di cose occuparsi di tutti questi aspetti.
Non basta più acquistare una soluzione software: occorre comprendere dove risiedono i dati, quale infrastruttura li elabora, quali modelli vengono utilizzati e con quali implicazioni in termini di costi, sicurezza e controllo.
Ci troviamo nell’era della cosiddetta agentic AI: non è un’automobile da mettere in linea di montaggio bensì un insieme di orchestratori che usano una molteplicità di sistemi. In altre parole, l’intelligenza artificiale non è un prodotto finito, ma un cantiere permanente di integrazione tra modelli, dati e strumenti.
Applicato alla PA, ad esempio, si parla di agentic State: basta click day, se lo Stato ha già i dati, deve metterli a sistema tra loro.
Per questo motivo si tratta di una rivoluzione mentale, culturale e organizzativa: il tema non è solamente tecnologico, ma anche umano.
Quanto è attivo il dialogo tra imprese e autorità?
Il dialogo è aperto. Le imprese stanno cercando di capire il valore di queste tecnologie.
Come Agid abbiamo pubblicato già delle linee guida sull’adozione dell’AI e sono disponibili sul sito; quelle su sviluppo e procurement sono in uscita. In questo senso il compito dell’autorità non è sostituirsi all’impresa nelle scelte tecnologiche, ma fornire un perimetro chiaro entro cui innovare con consapevolezza. Abbiamo attivato un tavolo di lavoro con Confindustria, rappresentata dal Presidente Alberto Tripi, special advisor per l’AI.
Quali errori vedete più spesso?
L’uso non regolato, probabilmente, la cosiddetta Shadow AI. La regola non è negativa, va spiegata. Non si possono inserire documenti aziendali riservati in strumenti pubblici senza consapevolezza dei rischi, soprattutto in materia di intellectual property.
Quanto è centrale quindi la formazione?
È fondamentale. Molti ancora non sono in grado di strutturare un prompt in modo ottimale. Dare ruolo, task, chiedere fonti, distinguere inferenza e fonte qualificata cambia il risultato. Non mi stancherò mai di ripeterlo: l’AI non è un prodotto a scaffale, è uno strumento con mille sfumature. E l’utilizzo spontaneo e non governato di strumenti generativi può generare vulnerabilità rilevanti, non tanto sul piano tecnico quanto su quello strategico e reputazionale.
A livello internazionale, che ruolo possiamo giocare?
USA e Cina presidiano la leadership tecnologica. Il Medio Oriente investe enormemente in data center. C’èperò un dato quando si parla di intelligence grid: per servire 8 miliardi di persone servirebbero 300 gigawatt di potenza IT installata; oggi nel mondo ce ne sono circa 60 e un gigawatt di potenza IT in un data center costa circa 45 miliardi di dollari.
In Europa possiamo giocare la carta del “bollino europeo” per costruire applicazioni concrete nel settore pubblico e nel settore privato, pienamente rispettose dei diritti fondamentali e della trasparenza. La nostra efficacia, in questo senso, l’abbiamo già vista con firma digitale e identità digitale. La reputazione regolatoria europea può diventare un vantaggio competitivo, soprattutto nei mercati che attribuiscono valore alla tutela dei diritti e alla trasparenza dei processi.
Nei prossimi 12-24 mesi cosa dovrebbero fare gli imprenditori?
Aprire il “cantiere AI” nelle proprie aziende il prima possibile. Anche con investimenti contenuti. Sperimentare, comprenderne valore e rischi, soprattutto sull’intellectual property. Poi rivolgersi all’Autorità e chiedere: come inquadro questa attività nell’analisi del rischio? Non troveranno qualcuno che gli dirà cosa fare, ma qualcuno che gli potrà spiegare le caratteristiche degli strumenti e li potrà accompagnare nel percorso verso il “bollino”. Uno strumento utile per l’impresa e dotato del bollino assume un importante valore non solo per le attività della stessa impresa, ma un segnale che anche in Europa riusciamo a costruire strumenti AI. Se tra 12 mesi avremo imprenditori che hanno aperto questo cantiere, avremo fatto un passo decisivo.