Legge 132/2025 sull’intelligenza artificiale: cosa cambia per aziende e professionisti

Molte aziende conoscono l’AI Act, meno la legge italiana che lo accompagna. Eppure è la legge 132/2025 a toccare due situazioni quotidiane: l’IA nella gestione del personale e il lavoro dei professionisti con i clienti. In questa guida riassumo cosa prevede, cosa hanno aggiunto i decreti attuativi del 2026 e cosa conviene fare subito.

Che cos’è la legge 132/2025 e da quando si applica

La legge 23 settembre 2025, n. 132, «Disposizioni e deleghe al Governo in materia di intelligenza artificiale», è stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è in vigore dal 10 ottobre 2025. Fissa principi generali per un uso dell’IA antropocentrico, trasparente e sicuro, regole per settori specifici, le autorità nazionali, deleghe al Governo e nuove norme penali.

Due punti aiutano a inquadrarla. Si interpreta e si applica in conformità all’AI Act (art. 1) e non crea nuovi obblighi rispetto all’AI Act per i sistemi e i modelli di IA (art. 3). Detta però regole proprie su come l’IA viene usata in ambiti come il lavoro e le professioni.

Articolo 11: l’informativa ai lavoratori sull’uso dell’IA

Secondo l’articolo 11, l’IA nel lavoro deve essere sicura, affidabile e trasparente, non può ledere la dignità umana né la riservatezza dei dati personali e non deve discriminare. Il datore di lavoro o il committente deve informare il lavoratore dell’utilizzo dell’IA «nei casi e con le modalità» dell'articolo 1-bis del D.Lgs. 152/1997, introdotto dal decreto trasparenza.

Quell’articolo riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati che forniscono indicazioni su assunzione, gestione o cessazione del rapporto, assegnazione di compiti, sorveglianza, valutazione e prestazioni. In questi casi l’informativa, scritta e consegnata prima dell’inizio dell’attività, indica:

• gli aspetti del rapporto di lavoro su cui incide il sistema;
• scopi, finalità, logica e funzionamento del sistema;
• categorie di dati e parametri principali usati per programmarlo o addestrarlo, compresi i meccanismi di valutazione delle prestazioni;
• misure di controllo, eventuali processi di correzione e responsabile del sistema di gestione della qualità;
• livello di accuratezza, robustezza e cybersicurezza, con le metriche usate e i loro possibili impatti discriminatori.

Le informazioni vanno comunicate in formato strutturato e leggibile da dispositivo automatico, anche alle RSA o alla RSU; il lavoratore può chiedere ulteriori dati e ha diritto a una risposta scritta entro trenta giorni. Resta fermo l’articolo 4 dello Statuto dei lavoratori sui controlli a distanza.

La portata esatta del rinvio è discussa tra gli interpreti. In linea generale, usare un chatbot per scrivere un’email non rientra in questi casi; un sistema che assegna turni o valuta le prestazioni in modo automatizzato, di norma sì. La linea di confine va valutata con il consulente del lavoro o il legale. La legge istituisce anche, presso il Ministero del lavoro, un Osservatorio sull’adozione dell’IA nel mondo del lavoro (art. 12).

Articolo 13: professionisti e informativa al cliente

L’articolo 13 riguarda le professioni intellettuali: avvocati, commercialisti, consulenti del lavoro, ingegneri, architetti e, in generale, chi presta un’opera intellettuale. Contiene due regole:

• l’IA può essere usata solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale del professionista;
• per tutelare il rapporto di fiducia, le informazioni sui sistemi di IA utilizzati vanno comunicate al cliente con linguaggio chiaro, semplice ed esaustivo.

In pratica l’informativa indica quali strumenti o categorie di strumenti usi, per quali attività (ricerca, bozze, sintesi), come proteggi dati e riservatezza, e che ogni risultato è verificato da te, che ne resti responsabile. Confprofessioni e l’Associazione nazionale forense hanno messo a disposizione un modello di informativa da allegare alla lettera d’incarico, e diversi ordini professionali hanno diffuso indicazioni. Nel corso IA per professionisti e studi lavoriamo proprio su strumenti, riservatezza e informativa.

Gli altri punti chiave della legge

• Minori: sotto i 14 anni l’accesso alle tecnologie di IA e il relativo trattamento dei dati richiedono il consenso di chi esercita la responsabilità genitoriale; dai 14 anni il minore può consentire, se le informazioni sono facilmente comprensibili (art. 4).
• Autorità: AgID è autorità di notifica e promuove l’innovazione; ACN è autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori, e punto di contatto con l’UE. Restano le competenze di Banca d’Italia, Consob e Ivass (art. 20).
• Sanità, PA e giustizia: l’IA è un supporto; la decisione resta al medico, alla persona responsabile del provvedimento o al magistrato (artt. 7, 14 e 15).
• Diritto d’autore: sono protette le opere dell’ingegno umano anche create con l’ausilio dell’IA, purché frutto del lavoro intellettuale dell’autore; l’estrazione di testo e dati tramite IA è consentita nei limiti degli articoli 70-ter e 70-quater della legge sul diritto d’autore (art. 25).
• Reati: il nuovo articolo 612-quater c.p. punisce con la reclusione da uno a cinque anni chi, senza consenso, diffonde immagini, video o voci falsificati o alterati con l’IA e idonei a ingannare, causando un danno ingiusto. Sono previste anche un’aggravante comune, quando l’IA è usata come mezzo insidioso o aggrava le conseguenze del reato, e pene più alte per aggiotaggio e manipolazione del mercato (art. 26).
• Investimenti: fino a un miliardo di euro in capitale di rischio per imprese dell’IA, della cybersicurezza e delle tecnologie abilitanti (art. 23).

I decreti attuativi del 2026

L’articolo 24 ha delegato il Governo ad adottare, entro dodici mesi dall’entrata in vigore della legge, decreti legislativi per adeguare l’ordinamento all’AI Act: poteri delle autorità, sanzioni, percorsi di alfabetizzazione e formazione, anche tramite ordini professionali e associazioni di categoria. Il Consiglio dei ministri ha approvato due decreti in via preliminare il 10 giugno 2026 e in via definitiva il 4 agosto 2026.

Il primo è il D.Lgs. 9 settembre 2026, n. 160, dedicato all’uso dell’IA nelle attività di polizia e alla responsabilità civile e penale: pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, è in vigore dal 30 settembre 2026. Per le imprese contano tre novità:

• il nuovo articolo 437-bis c.p. punisce l’omessa adozione delle misure di sicurezza o di sorveglianza umana nei sistemi di IA ad alto rischio, quando ne deriva un pericolo per la vita o l’incolumità; la norma riguarda anche l’utilizzatore professionale che omette intenzionalmente la sorveglianza umana;
• i reati degli articoli 437-bis e 612-quater c.p. entrano tra quelli che generano la responsabilità degli enti ai sensi del D.Lgs. 231/2001;
• nelle cause di risarcimento, se il danno deriva dalla violazione di obblighi dell’AI Act, il nesso di causalità si presume, salvo prova contraria.

Il secondo decreto riguarda i poteri delle autorità nazionali e l’uso dell’IA nella formazione, con norme su professioni e lavoro: tra queste, il principio per cui le decisioni su costituzione, modifica o risoluzione del rapporto di lavoro, compresi provvedimenti disciplinari e licenziamenti, non possono basarsi unicamente su un trattamento automatizzato. Al momento in cui scrivo ne vanno verificati la pubblicazione in Gazzetta Ufficiale e il testo definitivo.

Cosa fare in pratica: checklist per aziende e studi

1. Mappa gli strumenti di IA che incidono sulla gestione del personale: selezione, turni, assegnazione dei compiti, valutazioni, monitoraggio.
2. Per i sistemi che rientrano nell’articolo 1-bis, prepara l’informativa scritta e consegnala a lavoratori e rappresentanze prima dell’uso.
3. Se uno strumento consente il controllo a distanza dei lavoratori, verifica il rispetto dell’articolo 4 dello Statuto dei lavoratori.
4. Se sei un professionista, aggiorna la lettera d’incarico con l’informativa sull’IA e conserva traccia della verifica umana.
5. Aggiorna il Modello 231 alla luce dei nuovi reati legati all’IA.
6. Inserisci nella policy aziendale regole su immagini, video e voci di persone reali: niente contenuti che le imitano senza consenso.
7. Forma il personale, come chiede anche l'AI Act, e documenta la formazione: il percorso IA sicura in azienda copre anche la legge 132/2025.
8. Segui la pubblicazione del secondo decreto attuativo e le indicazioni di AgID e ACN.

Per l’uso dei dati personali con i chatbot trovi le regole pratiche nella guida su ChatGPT e GDPR in azienda; il quadro completo degli adempimenti è nella pagina AI Act e GDPR.

Questa guida ha finalità informative e formative e non costituisce consulenza legale. Le informazioni sono aggiornate alla data indicata: per valutazioni specifiche rivolgiti al DPO o al consulente legale della tua organizzazione.